Seguridad del dominio y DNS: una lista práctica

Por qué el dominio es tu cuenta más importante

Si alguien se hace con tu cuenta del registrador o con tu DNS, puede apuntar tu web a su servidor, leer tu correo entrante y superar las comprobaciones de dominio que usan las autoridades de certificación, de modo que el navegador muestre un candado válido en su copia. Ningún bastionado del servidor sirve si pierdes el DNS. La mayor parte de la protección son unos pocos ajustes que se cambian una vez.

1. Protege las cuentas del registrador y del DNS

• Activa la autenticación en dos pasos en el registrador y en el proveedor de DNS (a menudo la misma empresa, o Cloudflare).
• Usa un correo de recuperación en un dominio distinto. Si la dirección de recuperación está en el propio dominio y el dominio deja de funcionar, no podrás recibir el correo de restablecimiento.
• Registra el dominio a nombre de la empresa, con una dirección de rol compartida, no de un antiguo empleado ni de la agencia que hizo la web.
• Anota quién tiene acceso y retíraselo a quien se haya ido.

2. No dejes caducar el dominio

Los dominios caducados a veces los compran otros en pocos días, junto con el tráfico y el correo que siguen llegando. Activa la renovación automática, mantén la tarjeta al día y revisa la fecha de caducidad y los códigos de estado:

whois yourdomain.com | grep -iE 'expir|status'

3. Activa el bloqueo de transferencia

En las líneas de estado anteriores quieres ver clientTransferProhibited. Significa que el dominio no puede trasladarse a otro registrador hasta que tú lo desbloquees. La mayoría de registradores lo llama «registrar lock» o «bloqueo de transferencia». Para dominios de alto valor, pregunta si el servicio de registry lock (bloqueos en el registro que solo se cambian tras una verificación manual) está disponible para tu extensión.

4. Publica registros CAA

Un registro CAA enumera las autoridades de certificación autorizadas a emitir certificados para tu dominio; toda CA pública debe consultarlo antes de emitir. Averigua qué CA usa tu hosting o tu CDN y publica registros como estos (este ejemplo solo permite Let’s Encrypt y prohíbe los certificados comodín):

yourdomain.com.  3600  IN  CAA  0 issue "letsencrypt.org"
yourdomain.com.  3600  IN  CAA  0 issuewild ";"
yourdomain.com.  3600  IN  CAA  0 iodef "mailto:security@yourdomain.com"

dig +short CAA yourdomain.com

Cuidado: si tu CDN o tu hosting emite certificados con otra CA que no está en la lista, sus renovaciones fallarán. Muchas CDN documentan qué valores CAA añadir, y algunas los añaden por ti.

5. Activa DNSSEC

DNSSEC firma tus respuestas DNS, de modo que los resolvers que las validan pueden detectar respuestas falsificadas. Actívalo en tu proveedor de DNS y añade en el registrador el registro DS que te da (muchos registradores lo hacen automáticamente si también alojan tu DNS). Comprueba que el registro DS existe y que un resolver validador marca la bandera ad (datos autenticados):

dig +short DS yourdomain.com
dig @1.1.1.1 +dnssec yourdomain.com A | grep -E 'flags:'

Una advertencia: cuando traslades el DNS a otro proveedor, elimina primero el registro DS (o sigue los pasos de migración de DNSSEC del nuevo proveedor); si no, los resolvers validadores no podrán resolver tu dominio en absoluto.

6. Elimina los registros huérfanos (toma de subdominios)

Un registro «huérfano» apunta a un servicio que ya no usas: un bucket de almacenamiento en la nube borrado, una herramienta antigua de landing pages, una cuenta de hosting cerrada. Si otra persona puede reclamar ese nombre en el mismo servicio, controla el contenido de tu subdominio, con tu dominio en la barra de direcciones. Saca la lista de subdominios de tu proveedor de DNS y comprueba adónde apunta cada CNAME:

for h in www shop blog staging old mail; do
  t=$(dig +short CNAME "$h.yourdomain.com")
  [ -n "$t" ] && echo "$h -> $t ($(dig +short "$t" | head -n1))"
done

Unos paréntesis vacíos significan que el destino ya no resuelve: averigua qué era y borra el registro. Un destino que resuelve también puede estar huérfano si la cuenta que hay detrás se cerró, así que abre cada subdominio y asegúrate de que muestra lo que esperas. Borra el registro DNS antes de cancelar el servicio al que apunta.

7. Protege el correo del mismo dominio

Publica SPF y DMARC para que nadie pueda enviar correos que parezcan tuyos, y añade una clave DKIM por cada servicio que envíe en tu nombre. Consulta SPF, DKIM y DMARC para pequeñas empresas. Los dominios que nunca envían correo deberían publicar v=spf1 -all y una política DMARC de reject.

Qué comprueba HackGrade

El análisis gratuito comprueba HTTPS, tu certificado y los registros SPF y DMARC de tu dominio. No comprueba los ajustes del registrador, CAA, DNSSEC ni los registros huérfanos, así que usa esta lista para ellos y repítela cada vez que añadas o retires un servicio.