Todas las demás guías de esta serie empiezan diciendo «apunte un subdominio hacia él», y ninguna dice de dónde sale el dominio. Es la única parte de una pila autoalojada que se publica a propósito — una entrada en el registro, una cuenta de registrador, un pago, y un registro público que enumera cada nombre de host para el que haya solicitado alguna vez un certificado. Seis pasos para registrar y conservar un nombre sin que nada de eso remita a usted: los cuatro registros que realmente crea una inscripción, los registros que le rechazarán, pagar en Monero, y las dos fugas que deshacen todo el esfuerzo semanas después de que dejó de mirar.
Modelo
Cuatro registros, no uno
Elegir
El registro marca el suelo
Registrar
Tres modelos de propiedad
Pagar
El exchange es la fuga
Delegar
DNS, TLS y el registro público
Mantener
Renovación, bloqueo, salida ensayada
El sistema de nombres de dominio es un sistema de delegación, y una delegación solo funciona si alguien con autoridad dice quién lo posee. Un registro mantiene la lista de su dominio de nivel superior; un registrador le vende una entrada en esa lista y garantiza que sabe quién es usted; el nombre entonces resuelve porque una cadena de servidores está dispuesta a declarar, de forma constatada, que esa zona pertenece a esos servidores de nombres. No existe ninguna versión de esto en la que nadie sepa nada. Lo que usted puede decidir es cuántas partes lo saben, qué saben, y con qué facilidad se lo sonsaca un desconocido.
Eso es un problema genuinamente distinto del que trata el resto de esta serie. Un servidor se puede alquilar de forma anónima porque una relación de alojamiento es bilateral: usted y el proveedor, y nadie más necesita una copia. Un dominio es multilateral por construcción — un registro, un registrador, a menudo un revendedor, un operador de DNS, una autoridad de certificación, y un conjunto de registros públicos que existen precisamente para que la emisión pueda ser auditada por gente que no es usted. Abordarlo con los reflejos que funcionan para un VPS produce un error muy seguro de sí mismo.
La buena noticia es que la opción por defecto ha avanzado mucho a favor del lector, y la mayoría de los consejos sobre este tema no se han puesto al día. Desde 2018, el registro público de inscripción de un dominio genérico de nivel superior se oculta: los campos de contacto que antes mostraban un nombre, una calle y un número de teléfono ahora no muestran nada, para todo el mundo, sin pagar nada. La política que regula esto — la Registration Data Policy de ICANN, que sustituyó a la medida de emergencia adoptada cuando entró en vigor el RGPD — también establece la vía documentada por la que alguien con un interés legítimo puede solicitar los datos subyacentes. El registro no ha desaparecido. Se conserva en lugar de publicarse, y saber exactamente quién lo conserva es la mayor parte del trabajo.
Tres arreglos se comparan a continuación, y se diferencian en qué parte termina teniendo qué cosa. El tercero no es un dominio en absoluto, que es la razón por la que aparece aquí: para un conjunto significativo de proyectos es la respuesta correcta, y merece la pena saberlo antes de dedicar cuarenta y cinco minutos a los otros dos.
| Propiedad | Su propio nombre, registro oculto | Propiedad por proxy | Una dirección onion de versión 3 |
|---|---|---|---|
| Quién figura en el registro | Usted — recopilado, conservado, no publicado | El proveedor, como registrante legal | No hay ningún registro |
| A quién se le pueden pedir sus datos | El registrador y el registro, mediante una solicitud documentada | Solo el proveedor, según su propia política | Nadie — no hay ningún registro que pedir |
| Quién puede quitarle el nombre | El registro, el registrador, un panel de resolución de disputas, un tribunal | Todos esos, más el propio proveedor | Nadie — la dirección se deriva de su clave |
| Qué cuesta al año | Aproximadamente $10 to $60, según la extensión | Un múltiplo de eso — la prima es el objetivo | Nada, nunca, y no puede caducar |
| Accesible en un navegador normal | Sí | Sí | Solo a través de Tor |
Una revelación, ya que esta es una página sobre quién se beneficia de una recomendación. NordBastion no vende nombres de dominio. Ningún registrador está enlazado desde esta guía, ninguno es afiliado, y no existe ningún acuerdo por el cual se nos pague por nada de lo que haga después de leerla. Lo que se describe a continuación es lo que le diríamos a alguien que preguntara en el panel, que es también el estándar con el que está escrita el resto de la biblioteca.
Registrar un nombre no crea un registro de usted. Crea cuatro, en cuatro lugares distintos, en manos de cuatro grupos de personas con cuatro motivos diferentes para conservarlos y cuatro umbrales diferentes para entregarlos. Casi todos los fallos en este ámbito consisten en que alguien refuerza uno de los cuatro y supone que los demás lo siguieron.
Los datos de registro. Nombre, dirección postal, correo electrónico, teléfono — recopilados por el registrador en el momento de la compra, depositados en custodia con un tercero como condición de la acreditación del registrador, y transmitidos al registro en todo o en parte según la extensión. Este es el que todo el mundo tiene en mente, y el que ya se oculta públicamente para los dominios genéricos. Se revela a petición mediante un proceso documentado, y dentro de la UE tanto los registros como los servicios de registro están sujetos a una obligación positiva, derivada del artículo 28 de la Directiva NIS2, de mantenerlos exactos y completos y de facilitarlos a los solicitantes legítimos sin demora indebida.
La cuenta del registrador. Más rica que los datos de registro y casi nunca se habla de ella. Contiene el historial de accesos con direcciones y marcas de tiempo, el instrumento de pago, los tickets de soporte que ha abierto, y — esta es la parte que importa — todos los demás dominios de la misma cuenta. Una cuenta que contiene un dominio profesional bajo su nombre legal y un proyecto al que preferiría no estar vinculado los ha unido de forma permanente para cualquiera que pueda leer esa cuenta, sea lo que sea lo que diga el registro público sobre cualquiera de los dos.
El pago. Una tarjeta es un documento de identidad que liquida dinero. Una transferencia bancaria es lo mismo con una cola más larga. Un pago en Bitcoin es una entrada pública permanente que se convierte en un documento de identidad en el momento en que se le atribuye a usted cualquier dirección de su historial. Monero es el único riel de esta lista que no deja una entrada legible por terceros — pero la cuenta desde la que lo adquirió puede conservar un registro de un retiro que coincida con la factura en momento e importe, y esa correlación es todo el ataque.
El rastro residual. Todo lo que el registro produce después, con lo que nadie cuenta porque se acumula mientras usted no está mirando. Los registros de transparencia de certificados enumeran cada nombre de host para el que haya solicitado alguna vez un certificado, de forma permanente y consultable. Los conjuntos de datos de DNS pasivo registran qué nombres han resuelto a qué direcciones, que es como dos proyectos no relacionados en un mismo servidor se convierten en un solo proyecto. Los archivos históricos de registros conservan una instantánea del registro de antes de que usted activara la privacidad, y no la eliminan después. Y el propio contenido filtra: un identificador de analítica reutilizado, un hash de favicon repetido, una dirección de soporte que aparece en ambos sitios.
Escriba, en una sola frase, para quién intenta ser ilegible. Un competidor con un cuadro de búsqueda, un scraper masivo que construye una lista de marketing, un litigante con abogado, o un estado con proceso legal — son cuatro problemas distintos, y los dos primeros los resuelven opciones por defecto que usted ya tiene. La mayoría de quienes hacen esta pregunta necesitan la segunda; casi nadie necesita la cuarta, y las medidas que la abordarían empiezan mucho antes del dominio.
Antes de hacer nada más, lea el registro público actual de un nombre que ya posea. La interfaz del lado del registro que sustituyó al antiguo protocolo de texto devuelve datos estructurados, y le mostrará exactamente qué campos publica su extensión, en lugar de lo que diga que publica una entrada de blog de 2017:
whois example.com | sed -n '1,40p' # the legacy view, still served by many registries
curl -s https://rdap.org/domain/example.com | jq '.entities[].roles, .status'
# the structured view — roles, status codes, redaction
Dos cosas en esa salida decantan más que los campos de contacto. El array status le indica si el nombre está bloqueado contra transferencia y si hay alguna retención a nivel de registro en vigor. Y la ausencia de una entidad de contacto es la ocultación funcionando — si ve una dirección postal completa para un dominio genérico en 2026, es porque el registrante la publicó deliberadamente, algo que un número sorprendente de organizaciones todavía hace.
Un registrador solo puede venderle lo que su registro permita. Si el registro exige una presencia local, ninguna cantidad de servicio de privacidad hace que ese requisito desaparezca; si el registro publica el nombre del registrante en su totalidad, ningún complemento lo suprime. Esto es lo contrario de cómo se suele hacer la compra — la gente elige un nombre, luego un registrador, y luego descubre las normas del registro en el momento del fallo. Elija primero la familia de extensión.
En lugar de una lista de extensiones individuales, que quedaría obsoleta en un año porque los registros cambian sus propias condiciones sin anunciarlo a nadie fuera del sector, la división útil es según lo que exige el registro. Hay cinco familias y un elemento que no es un dominio, y casi cualquier extensión que considere encaja limpiamente en una de ellas.
| Familia | Qué exige el registro | Veredicto |
|---|---|---|
| Genérico clásico — .com, .net, .org | Datos exactos recopilados por el registrador, ocultos en el registro público, revelados ante una solicitud documentada. Sin prueba de elegibilidad. | La respuesta por defecto. Aburrida, portátil, aceptada universalmente. |
| Genérico reciente — .dev, .app, .xyz, .site | La misma política central, más lo que añada cada registro concreto en sus propias condiciones. Algunos son permanentemente solo-HTTPS por diseño. | Bien, siempre que haya leído las condiciones propias de ese registro en lugar de suponerlas. |
| Código de país con requisitos — .eu, .us, .ca, .fr | Residencia, ciudadanía o un establecimiento local, declarados en el momento de la compra y verificables después. Una declaración falsa es un motivo de revocación, no un resquicio. | Solo si de verdad cumple la condición. |
| Código de país verificado | Una verificación de identidad, un identificador nacional o un contacto administrativo local, a menudo con el nombre del registrante publicado en su totalidad sea lo que sea lo que le venda el registrador. | Evítelo para este propósito. Decide el registro, no el registrador. |
| Código de país abierto, vendido como genérico | Sin prueba de residencia, pero la política propia del registro es todo el contrato — y algunos lo publican todo, o suspenden a petición informal de un organismo nacional. | Caso por caso. Lea la página de políticas del registro, no la del revendedor. |
| Una dirección onion de versión 3 | Nada. Se deriva de un par de claves que usted genera, así que no hay registro, ni registrador, ni pago, ni fecha de caducidad. | Inmejorable, si un alcance limitado a Tor es aceptable. |
Tres preguntas resuelven la elección, y las tres se responden en la propia página de políticas del registro, no en la tienda. ¿Hay una condición de elegibilidad? Si la hay, o bien la cumple, o bien elige una extensión distinta — afirmar una residencia que no tiene convierte una medida de privacidad en una cláusula de cancelación que se activa a la primera denuncia. ¿Qué publica el propio registro? La ocultación para los dominios genéricos está impuesta de forma centralizada; los registros de código de país redactan sus propias normas, y varios publican el nombre del registrante sin importar lo que le cobre su registrador por la privacidad. ¿Qué historial tiene en materia de suspensiones? Un registro que aplica un proceso de disputas publicado es uno con el que se puede discutir; un registro con un historial de actuar ante una simple llamada informal no lo es.
Hay una cuarta pregunta que casi nadie hace en el momento de la compra y que todo el mundo se encuentra en el mes trece: ¿cuánto cuesta la renovación? Un primer año promocional en una extensión poco habitual seguido de una renovación estándar varias veces mayor es una decisión que tiene que volver a tomar cada año, y un nombre que no puede permitirse renovar con comodidad es un nombre que con el tiempo caerá en manos de alguien que ha estado esperando precisamente eso. Calcule el precio del décimo año, no el del primero.
Para casi todo el que lea esto, una extensión genérica clásica registrada a través de un registrador que acepta cripto es la respuesta correcta, y el código de país exótico con el juego de palabras ingenioso es el que generará el ticket de soporte en tres años. La privacidad que obtiene de una extensión conocida es idéntica; lo que cambia es cuántas partes pueden quitársela, y de cuántas de ellas ha oído hablar alguna vez.
Modelo uno — sus propios datos, detrás de la ocultación por defecto. Usted es el registrante, los datos son exactos, y el registro público no muestra nada de ello. El nombre es legalmente suyo, se transfiere como cualquier otro activo, y nadie puede decidir un martes cualquiera que preferiría que usted no lo tuviera. Lo que usted acepta es que el registrador conserva un registro veraz de usted, y que una solicitud documentada puede extraerlo. Para la inmensa mayoría de los proyectos esto es a la vez suficiente y correcto, y quienes lo descartan suelen estar comparándolo con una alternativa imaginaria en lugar de una real.
Modelo dos — un registrante seudónimo que es genuinamente localizable. Un nombre operativo y una dirección operativa que conducen hasta usted, sin que su identidad legal esté escrita en ellos. Esto es lícito en sí mismo, y es lo que mucha gente entiende por «registro anónimo»; lo que lo hace duradero en lugar de frágil es que debe ser localizable. Un registrador está obligado a actuar ante una denuncia de que los datos de registro son inexactos, y el primer paso para actuar es enviar un mensaje a la dirección que consta. Si ese mensaje llega, el proceso normalmente termina ahí. Si no llega, el nombre se suspende mientras usted duerme, y se suspende exactamente por la razón que no puede arreglar fácilmente — usted no es la persona que figura en el registro.
Modelo tres — propiedad por proxy. Un proveedor registra el nombre bajo su propio nombre legal y le concede a usted el uso de él. Usted no figura en ninguna parte del registro, porque no es el registrante; lo que tiene es un contrato. Es la protección más fuerte disponible para que los datos de registro no tengan que ver con usted en absoluto, y es un único punto de fallo con una empresa unida a él. Todo depende ahora de que ese proveedor siga siendo solvente, mantenga sus políticas, y esté de acuerdo en actuar según sus instrucciones — incluida la instrucción de entregarle el registro si más adelante quiere marcharse. Comparamos un operador consolidado de este modelo en nuestra página de comparación de Njalla; la valoración allí es la misma que aquí, que es que se trata de un producto real con una contrapartida real, y no de una mejora gratuita.
| Modelo | Falla cuando | Elíjalo cuando |
|---|---|---|
| Datos propios, ocultos | Alguien con legitimación presenta una solicitud de revelación documentada. | Quiere que el nombre sea inequívocamente suyo e ilegible para el público. |
| Seudónimo, localizable | La dirección que consta deja de funcionar y llega una denuncia por inexactitud. | El proyecto no es su persona jurídica, y usted de verdad leerá ese buzón. |
| Propiedad por proxy | El proveedor es adquirido, cambia de política, o simplemente deja de responder. | El nombre se puede cambiar si es necesario, y el registro importa más que la portabilidad. |
Sea cual sea el modelo que elija, la cuenta que lo rodea es la parte que decide cómo termina la historia, y se construye en cinco minutos antes de registrar nada. Una dirección de correo electrónico dedicada que existe para esta cuenta y para nada más — no la de su historial de commits, no la de un corpus de una filtración de 2019, y no una alojada en el dominio que está a punto de registrar, porque un nombre cuya dirección de recuperación vive en el propio nombre no se puede recuperar una vez que caduca. Una contraseña que no existe en ningún otro sitio. Un segundo factor de contraseña de un solo uso basado en tiempo, con los códigos de recuperación guardados en algún sitio distinto del buzón que protegen. Y ningún número de teléfono si el registrador le permite omitirlo, porque un número es un identificador más fuerte que cualquier otra cosa del formulario.
Para los dominios genéricos, el registrador debe verificar la dirección de correo electrónico del registrante, y lo hace enviando exactamente un mensaje con un enlace. Si no se sigue ese enlace dentro de quince días, el registrador está obligado a suspender el nombre — el sitio se apaga, el correo se detiene, y los certificados no se renuevan. Llega a los pocos minutos de la compra, se parece a cualquier otro mensaje transaccional de un registrador, y es la forma más habitual, con diferencia, en que un registro anónimo cuidadosamente planeado muere en menos de quince días. Siga el enlace antes de cerrar la pestaña, y luego confirme en la cuenta que la dirección aparece como verificada.
Un hábito más que no cuesta nada y evita el error más irreversible de este ámbito: un compartimento, una cuenta. Si un proyecto necesita ser indesvinculable de otro proyecto, los dos nombres no comparten cuenta de registrador, fuente de pago, conjunto de servidores de nombres ni dirección de servidor. Separarlos más adelante es imposible, porque el vínculo quedó registrado el día en que se crearon, y los conjuntos de datos que lo registraron no lo olvidan.
Un registrador que acepta criptomonedas resuelve el problema obvio: sin número de tarjeta, sin dirección de facturación, sin ningún banco que presente un informe sobre un pequeño pago al extranjero. No resuelve el problema que realmente rompe el anonimato, que se sitúa un paso más arriba, en el lugar de donde procede la moneda. Casi toda cadena de razonamiento que termina en la identidad de alguien empezó en una cuenta verificada de un exchange y avanzó hacia delante, no en un registrador y retrocedió.
Monero es el riel con menos piezas móviles en este caso, porque no se publican los importes, los remitentes ni los destinatarios. No hay ninguna entrada en el libro mayor con la que un tercero pueda correlacionar algo más adelante, lo que elimina toda la clase de problemas que Bitcoin crea en un horizonte de diez años. Nuestra guía paso a paso de Monero cubre monederos y confirmaciones, y la mecánica es idéntica tanto si la factura es de un servidor como de un dominio.
Bitcoin, on-chain o a través de Lightning, se acepta mucho más ampliamente y deja una entrada permanente, pública y localizable. Eso no es automáticamente un problema — lo es si alguna dirección en el historial de esas monedas llega a atribuírsele a usted, y la atribución es un servicio que varias empresas venden. Lightning es mejor que on-chain en este sentido porque el pago en sí no es una entrada en el libro mayor, pero la financiación del canal sí lo fue, y las monedas llegaron de algún sitio. La guía de Lightning cubre ambos rieles.
Tres hábitos hacen más que la elección de la moneda. Ponga distancia entre la adquisición y el gasto — tiempo, y al menos un salto que no sea un retiro directo desde una cuenta verificada hasta el comerciante. Rompa la correlación de importes financiando un saldo prepagado con una cifra redonda en lugar de pagar cada factura por su precio exacto e inusual, ya que «un retiro de 0.0413 XMR a las 14:07» y «una factura de 0.0413 XMR a las 14:09» es una coincidencia que cualquiera puede hacer. Y no permita que el registrador conserve un método de pago guardado para la renovación automática: una tarjeta guardada es el documento de identidad que eliminó de la compra reapareciendo en el año dos, y un saldo en cripto guardado es la mejor respuesta a esa misma necesidad.
Presupueste la renovación en el mismo momento en que paga el registro, porque es aquí donde mueren en silencio la mayor cantidad de nombres anónimos. Regístrelo por tantos años como el registro permita en una sola transacción — la mayoría de las extensiones genéricas permiten hasta diez — y habrá convertido una exposición recurrente en un único pago, eliminando nueve oportunidades para que una renovación fallida le arrebate el nombre. Es la reducción de riesgo más barata de esta página, y suele rechazarse porque el primer año parece suficiente.
La máquina a la que apunta el nombre es la mitad más fácil de este problema, porque una relación de alojamiento es bilateral y no hace falta publicar nada. En NordBastion no hay verificación de correo electrónico al darse de alta, ni documento de identidad, ni tarjeta, ni nombre legal en la cuenta; el saldo se financia en Monero, Bitcoin o varios otros activos, y el servidor se pide con cargo a ese saldo. El dominio sigue siendo la superficie expuesta. El alojamiento no tiene por qué ser una segunda superficie expuesta.
La delegación en sí son dos registros y cinco minutos. Configure los servidores de nombres en el registrador, cree un registro de dirección para el host, espere a que el cambio se propague al registro, y confírmelo desde fuera de su propia red en lugar de desde la máquina que ya conoce la respuesta. Lo que merece los cuarenta minutos restantes es todo lo que la delegación deja visible después.
dig +short NS example.com @1.1.1.1 # the delegation as the world sees it, not your cache
dig +short A app.example.com # must return the VPS address before you deploy anything
dig +short CAA example.com # empty today; step 05 fills it in
dig +short DS example.com # non-empty only if DNSSEC is actually signed
Sobre quién gestiona los servidores autoritativos, la respuesta honesta no es la que suele dar el resto de esta serie. Autoalojar el DNS autoritativo es el único componente en el que hacerlo usted mismo es, por lo general, peor: quiere dos o más servidores en redes separadas, tiene que seguir funcionando justo durante la interrupción que ha dejado caída su máquina principal, necesita atención continua para evitar que se abuse de él para amplificación, y cuando falla, todo falla con él — incluida la renovación del certificado que le habría permitido arreglar la situación. También crea una correlación que usted intentaba evitar, porque un servidor de nombres autoalojado compartido entre dos proyectos los vincula públicamente en conjuntos de datos que cualquiera puede consultar. Use un operador de DNS con una red anycast, elíjalo por si exige un documento de identidad y no por su lista de funciones, y conserve un archivo de zona exportado para que trasladarse sea un simple copiar y pegar y no una excavación. Este es un trabajo distinto del resolutor recursivo privado de la serie, que traslada a su propia máquina el registro de lo que usted consulta y sí merece la pena hacer.
Ahora, la fuga que deshace más configuraciones cuidadosas que cualquier otra cosa en esta página, porque actúa en silencio y después de que usted haya dejado de prestar atención. Todo certificado emitido por una autoridad de confianza pública se envía a registros públicos de solo adición, y los navegadores rechazan los certificados que no lo son. Los registros existen para que una emisión indebida sea detectable, lo cual es genuinamente positivo, y están indexados por interfaces de búsqueda gratuitas. La consecuencia es que cada nombre de host para el que haya solicitado alguna vez un certificado está a una búsqueda de palabra clave de distancia, para cualquiera, de forma permanente — incluidos staging., vpn., backup. y el nombre administrativo que usted suponía que nadie adivinaría.
# every certificate ever issued under the zone, and every hostname inside each one
curl -s 'https://crt.sh/?q=%25.example.com&output=json' | jq -r '.[].name_value' | sort -u
La mitigación es un único certificado comodín para la zona, servido para cada nombre de host interno que haya debajo. La entrada del registro entonces constata que existe un certificado para la zona y nada sobre lo que vive dentro de ella. El costo es que un comodín requiere el desafío basado en DNS en lugar del más sencillo basado en archivo, lo que significa un token de API para su operador de DNS en la máquina — diez minutos de configuración, sopesados frente a una lista pública permanente de su esquema de nomenclatura interno. Emita un comodín, manténgalo en el proxy inverso, y deje de solicitar certificados por nombre de host.
Dos registros terminan el trabajo. Un registro CAA indica qué autoridades de certificación tienen permiso para emitir para el nombre, de modo que una emisión indebida por parte de cualquier otra autoridad se rechaza en el origen en lugar de detectarse después. Y DNSSEC, si tanto su registro como su operador de DNS lo admiten, firma la delegación para que un resolutor pueda distinguir una respuesta falsificada de una real — es un interruptor en la mayoría de los operadores y un registro en el registrador, y lo único de lo que hay que tener cuidado es de que una zona firmada cuyas claves se gestionen mal falla de forma cerrada, es decir, por completo.
; in the zone — only this authority may issue, and tell us if anyone tries
example.com. IN CAA 0 issue "letsencrypt.org"
example.com. IN CAA 0 issuewild "letsencrypt.org"
example.com. IN CAA 0 iodef "mailto:abuse@example.com"
Por último, la capa de correlación, que es donde dos compartimentos se convierten en uno sin que nadie cometa ningún error. Los conjuntos de datos de DNS pasivo registran qué nombres han resuelto a qué direcciones y cuándo; una dirección compartida, un conjunto de servidores de nombres compartido o un servidor de intercambio de correo compartido bastan para unir dos proyectos que no tienen nada más en común. Si dos nombres deben permanecer sin vincular, necesitan servidores separados, conjuntos de servidores de nombres separados y un enrutamiento de correo separado — y lo mismo vale para las pequeñas cosas que nadie cuenta, como un identificador de analítica reutilizado en ambos sitios o un favicon idéntico, ambos localizables a escala de internet por cualquiera a quien le interese.
Un dominio es el único componente de esta serie con fecha de caducidad, y perderlo es el único fallo de todos estos que es genuinamente irreversible. Cuando un nombre caduca, el sitio se cae, el correo se detiene, los certificados no se renuevan, todas las cuentas ancladas a una dirección de ese dominio quedan irrecuperables, y después de una ventana fija cualquiera puede registrarlo — incluido alguien que lo estuvo observando caer precisamente porque tenía tráfico. No hay ninguna copia de seguridad que restaure esto.
Merece la pena conocer la cronología con exactitud, porque cada etapa tiene un precio distinto y la última no tiene precio alguno. Al vencer, el nombre normalmente deja de resolver de inmediato mientras transcurre un período de gracia, durante el cual renovarlo cuesta la tarifa ordinaria. Después entra en un período de redención de unos treinta días, durante el cual todavía se puede recuperar, pero a una tarifa punitiva que fija el registro y no el registrador. Luego, una breve fase de eliminación pendiente en la que nadie puede hacer nada. Después cae, y se lo queda el primero que llegue a él. Los intervalos varían según el registro; la forma no.
| Etapa | El nombre es | Recuperación |
|---|---|---|
| Gracia, tras el vencimiento | Normalmente, ya sin resolver | Renovar al precio normal |
| Redención, unos 30 días | En manos del registro, apagado | Posible, con una tarifa punitiva del registro |
| Eliminación pendiente, unos 5 días | En cola para su liberación | Ninguna, para nadie |
| Liberado | Disponible para el mundo entero | Recómprelo a quien haya sido más rápido |
Cuatro cosas mantienen un nombre frente a todo eso. Regístrelo a largo plazo — diez años donde el registro lo permita, lo que elimina nueve oportunidades para que una renovación falle. Mantenga activado el bloqueo de transferencia, el código de estado que impide que se inicie una transferencia sin que usted la desbloquee primero, y añada el bloqueo a nivel de registro si su extensión ofrece uno y el nombre importa. Guarde el código de autorización sin conexión, en el mismo lugar que los códigos de recuperación del segundo factor y el archivo de zona exportado, porque el día que lo necesite será el día en que la cuenta no responda. Y mantenga el vencimiento en un calendario que de verdad consulte, no solo en el sistema de notificaciones del registrador — un registrador que ha cerrado su cuenta también ha dejado de enviarle correos al respecto.
Ensaye la salida una vez, mientras nada va mal. Desbloquee, solicite el código de autorización, confirme que puede recibir el mensaje de transferencia en la dirección que consta en el expediente, y vuelva a bloquearlo — veinte minutos que convierten una emergencia en un procedimiento. Tenga en cuenta que una transferencia no está disponible durante los primeros sesenta días después de un registro o de una transferencia anterior, que es exactamente la ventana en la que con más frecuencia resulta que un registrador nuevo era el equivocado.
Por último, lo que resulta genuinamente resiliente de una forma en que ningún nombre registrado puede serlo. Una dirección onion de versión 3 no tiene registro, ni registrador, ni renovación, ni pago, y nada que nadie pueda revocar, porque la dirección se deriva de un par de claves que usted conserva. Ejecutar una junto al sitio de clearnet cuesta dos líneas de configuración y le da una dirección que sigue funcionando el día en que el registrador cierre la cuenta — publíquela en el sitio, añada la cabecera Onion-Location para que a un usuario de Tor se le ofrezca automáticamente, y se convierte en el respaldo que sobrevive al fallo del que trata todo este paso. La guía de servicio oculto son veinte minutos de principio a fin.
Un mensaje, enviado minutos después de la compra, indistinguible del recibo que tiene al lado. Quince días después, el registrador está obligado a suspender el nombre: el sitio se apaga, el correo se detiene, los certificados no se renuevan. Sígalo antes de cerrar la pestaña, y luego confirme que la dirección aparece como verificada en la cuenta.
Un saldo en cripto agotado, una notificación a un buzón alojado en el propio dominio, un registrador cuyos recordatorios se archivaron como marketing. Tras la redención, cualquiera puede registrarlo, y alguien vigila exactamente para eso. Regístrelo por diez años, guarde la fecha en su propio calendario, y nunca ancle la recuperación al nombre que protege.
Una extensión que exige residencia, ciudadanía o un establecimiento local no deja de preguntar después de la compra. Declarar una que no tiene convierte el registro en una cláusula de cancelación que se activa a la primera denuncia — y el nombre desaparece sin ningún proceso al que merezca la pena sumarse.
Todo certificado de confianza pública se inscribe en un registro de solo adición que cualquiera puede consultar por dominio. No hay forma de excluirse, y no debería haberla. Un único certificado comodín para la zona publica la zona y nada de lo que hay debajo; los certificados por nombre de host publican todo su esquema de nomenclatura interno, de forma permanente.
Los archivos comerciales capturan instantáneas de los registros de inscripción de forma continua y las conservan. Un nombre que en algún momento se registró con sus datos al descubierto sigue así en su historial, sin importar lo que diga el registro de hoy. Compruebe qué se ha almacenado ya antes de suponer que un nombre está limpio — y prefiera un registro nuevo a una transferencia para cualquier cosa que importe.
Un dominio profesional y un proyecto al que preferiría no estar vinculado, en la misma cuenta de registrador, con la misma fuente de pago, detrás de los mismos servidores de nombres. El registro público puede no decir absolutamente nada, y aun así siguen unidos — para cualquiera que pueda leer esa cuenta, y en los conjuntos de datos de DNS pasivo para todos los demás.
Once preguntas que surgen al hacer esto — empezando por la que decide si todo lo demás se sostiene.
Registrar un dominio sin publicar su identidad es legal y corriente; registrar uno con datos que son falsos es otra cosa distinta, y es la distinción sobre la que gira todo el asunto. Desde el cambio de 2018 en la forma de tratar los datos de registro, el registro público de un dominio genérico de nivel superior se oculta por defecto — sus datos se recopilan y se conservan, simplemente no se publican a quien los pida. Ese es el estado normal de un dominio en 2026, no un truco de privacidad, y es la razón por la que el mercado de la «privacidad de WHOIS» como complemento se ha convertido en gran medida en un mercado de algo que usted ya tiene. Lo que sigue siendo verdaderamente opcional es si los datos exactos residen en un registrador bajo su nombre legal, o si un tercero conserva el registro y usted tiene un contrato con ese tercero. Ambas opciones son lícitas. Lo que no es lícito, o al menos no es sostenible, es proporcionar datos que se sabe que son falsos: en virtud del acuerdo de acreditación de ICANN, un registrador debe actuar ante una denuncia de datos inexactos, y dentro de la UE, el artículo 28 de la Directiva NIS2 impone a los registros y a los servicios de registro una obligación positiva de conservar datos exactos y completos y de verificarlos. Un registro construido sobre una identidad fabricada es un registro que puede cancelarse en el momento en que alguien presente una denuncia, que es el momento en el que menos le gustaría perderlo. La postura viable es: datos exactos, en manos de tan pocas partes como sea posible, publicados a ninguna. Nada de esto es asesoramiento legal.
Menos que antes, y merece la pena entender la diferencia antes de pagar por ello. En un dominio genérico de nivel superior el registro público ya muestra los campos de contacto ocultos, así que un servicio de privacidad de pago no añade nada a lo que puede leer un desconocido. Aun así, hace dos cosas útiles. Sustituye su dirección por una de reenvío en los lugares que la ocultación no alcanza — las propias páginas de directorio del registrador, los datos que algunos registros todavía publican en su totalidad, los volcados masivos de datos, y los correos de confirmación de transferencia. Y coloca a un intermediario entre usted y el volumen de abuso automatizado dirigido a la dirección que figure en el registro. Las tres cosas que no hace son más importantes. No afecta a los datos que conserva su registrador, que son los que se revelan ante una solicitud documentada. No se aplica de forma retroactiva: si el nombre se registró alguna vez con sus datos al descubierto, esa instantánea está de forma permanente en media docena de archivos históricos comerciales, y activar la privacidad hoy no la elimina. Y en muchos dominios de código de país sencillamente no está disponible, porque es el registro, y no el registrador, quien decide qué se publica. Júzguelo como control de spam más una capa fina, no como anonimato.
Importa menos que de dónde salió la moneda, y eso es lo que la gente entiende al revés. Un pago en Bitcoin es una entrada pública permanente que vincula un importe y un momento a una dirección, y si esa dirección alguna vez puede vincularse a usted — porque la retiró de una cuenta abierta con un documento de identidad, porque la reutilizó, porque una empresa de análisis de la cadena de bloques la agrupó con una que sí lo estaba — entonces el pago es un vínculo duradero entre su nombre y ese registrador en ese día. Monero no publica importes, remitentes ni destinatarios, así que el mismo pago no deja una entrada equivalente. Pero si el Monero se compró minutos antes en un exchange que verificó su identidad y se retiró directamente hacia el registrador, el exchange conserva un registro de un retiro de un importe casi idéntico al de la factura y en un momento casi idéntico, y esa correlación no es difícil de establecer. La regla que de verdad ayuda tiene que ver con la distancia y no con la moneda: ponga tiempo, una forma de importe distinta y al menos un salto no atribuido entre el lugar donde adquirió el valor y el lugar donde lo gastó, y prefiera financiar un saldo prepagado con una cantidad redonda a pagar cada factura por su precio exacto. Nuestra guía de Monero y nuestra guía de Lightning cubren la mecánica de ambos rieles.
No, y un buen proveedor de este modelo lo dice con claridad. En la propiedad por proxy, el proveedor registra el nombre bajo su propio nombre legal y le concede a usted el derecho de usarlo y dirigirlo; usted tiene un contrato, no una inscripción. Eso es precisamente lo que lo hace eficaz — no hay ningún dato suyo en ninguna parte del registro, porque usted no es el registrante — y es precisamente lo que lo convierte en una concentración de riesgo. Todo depende ahora de la solvencia de una empresa, de sus políticas y de su disposición a actuar según sus instrucciones, incluida su disposición a transferirle la inscripción si más adelante quiere marcharse. Los proveedores que hacen esto bien publican un compromiso declarado de transferir a petición y tienen un historial visible de cumplirlo, y ese historial es la única diligencia debida real que usted tiene a su disposición. Sopéselo frente al modo de fallo: el día en que el proveedor sea adquirido, cambie sus condiciones, decida que su contenido está fuera de su política, o simplemente deje de responder, usted tiene un nombre que no puede trasladar. Para un proyecto al que se le puede cambiar el nombre, la contrapartida suele merecer la pena. Para cualquier cosa cuya dirección sea su identidad — un repositorio de software publicado, un dominio de correo, una tienda con clientes — es una apuesta por un tercero que una inscripción sencilla detrás de un servicio de privacidad no le obliga a hacer. Comparamos un proveedor de este modelo en nuestra página de comparación de Njalla.
En lugar de una lista que quedará obsoleta en un año, use tres preguntas contra la propia página de políticas del registro. Primera: ¿impone una condición de elegibilidad — residencia, ciudadanía, una empresa local, un contacto administrativo local? Si lo hace, cumplir esa condición significa o bien ser esa cosa, o bien afirmar que lo es, y la segunda opción es un motivo de revocación, no un atajo. Segunda: ¿qué publica el propio registro? La política de datos de registro para los dominios genéricos se fija de forma centralizada y oculta los campos de contacto, pero los registros de código de país fijan sus propias normas, y varios publican el nombre del registrante en su totalidad sin importar lo que le venda su registrador. Tercera: ¿quién está detrás del registro y qué historial tiene de suspender nombres? Algunos registros funcionan con un proceso de disputas documentado; otros han retirado nombres a petición informal de un organismo nacional, y un dominio confiscado sin un proceso al que pueda sumarse es un dominio que no puede defender. Hay una cuarta pregunta que nadie hace y que todo el mundo debería hacer: ¿cuánto cuesta la renovación en el año dos? Un primer año promocional en una extensión poco habitual seguido de una renovación estándar considerablemente mayor es una decisión recurrente que tiene que seguir tomando, y un nombre que no puede permitirse renovar es un nombre que con el tiempo perderá ante alguien que esté esperando a que caiga.
Para una clase real de proyectos, sí, y es el único arreglo de esta página sin registrador, sin registro, sin fecha de renovación y sin pago. Una dirección onion de versión 3 no la asigna nadie: es una codificación de 56 caracteres derivada de un par de claves que usted genera, lo que hace que la dirección sea autoautenticada e irrevocable — nadie puede transferirla, suspenderla ni dejar que caduque, porque no hay ningún registro de ella en ningún sitio sobre el que actuar. Lo que se sacrifica a cambio es todo el que no vaya a instalar Tor Browser, que para la mayoría de los proyectos de cara al público es casi todo el mundo, además de visibilidad en buscadores, además del correo, además de toda integración que suponga un nombre de host normal. El arreglo que funciona en la práctica es ambos a la vez: un dominio de clearnet registrado tal como describe esta guía para tener alcance, un servicio onion para quienes lo quieran, y la cabecera Onion-Location en el sitio de clearnet para que a un usuario de Tor se le ofrezca el onion automáticamente. Eso además le da un respaldo que sobrevive a la pérdida del dominio — la dirección onion sigue funcionando el día en que el registrador cierre su cuenta, que es el día en que deseará tener una. Nuestra guía de servicio oculto de Tor es el tutorial paso a paso.
Sí, y esta es la fuga que con más frecuencia deshace una configuración que por lo demás era cuidadosa, porque actúa después de que usted haya terminado y haya dejado de prestar atención. Todo certificado que emite una autoridad de confianza pública se envía a registros públicos de solo adición, y los navegadores rechazan los certificados que no lo son. Los registros se replican y se indexan mediante interfaces de búsqueda gratuitas, así que el nombre de host completo de cualquier cosa para la que haya solicitado un certificado está a una búsqueda de palabra clave de distancia — para cualquiera, para siempre, incluidos los nombres staging., backup., vpn. y admin- que usted suponía que nadie adivinaría. No hay forma de excluirse, y no debería haberla; los registros son lo que hace detectable una emisión indebida. Existe una mitigación limpia: solicite un único certificado comodín para toda la zona y sirva desde él cada nombre de host interno, y la entrada del registro dirá solamente que existe un certificado para la zona. Le cuesta el desafío DNS-01 en lugar del más sencillo basado en HTTP, lo cual son diez minutos de configuración frente a una divulgación permanente. Haga la búsqueda sobre su propio dominio antes de seguir adelante — solo lleva un comando, y a la gente le suele sorprender lo que ya hay allí de un certificado que emitió una vez y olvidó.
Planifique para ello como algo que con certeza sucederá en algún momento a lo largo de una década, y no como un accidente, porque el desencadenante suele ser mundano: una regla automatizada antifraude sobre un pago en cripto, una denuncia sobre algo del dominio, un cambio de propiedad en el registrador, o una jurisdicción a la que la empresa decide que ya no quiere estar expuesta. Cuatro preparativos lo hacen sobrevivible, y los cuatro son gratuitos. Mantenga activado el bloqueo de transferencia, pero conserve un código de autorización vigente guardado sin conexión, porque un registrador que ha cerrado su cuenta no le va a generar uno. Conozca de memoria sus propios datos de registro — la fecha de creación, el correo electrónico del registrante que consta, la fecha de la última transferencia — ya que es lo que pedirá cualquier proceso de recuperación. Conserve el archivo de zona exportado en algún lugar fuera del registrador, de modo que reconstruirlo en uno nuevo sea pegar un archivo durante quince minutos y no un proyecto de arqueología. Y no permita que el registrador sea la misma empresa que su operador de DNS, su proveedor de alojamiento y su proveedor de correo, porque entonces una sola cuenta cerrada se lleva las cuatro cosas a la vez. Si ocurre de todos modos, el registrador está obligado, en virtud de la política de transferencias, a tener un proceso documentado y un punto de escalado, y el registro por encima de él es una parte independiente con su propia vía de reclamación. La respuesta es lenta, procedimental y normalmente exitosa — siempre que no haya perdido también el buzón al que está anclada toda la cuenta.
Normalmente no, y este es uno de los pocos puntos de la serie en los que autoalojarlo es la respuesta más débil. El DNS autoritativo quiere dos o más servidores en redes separadas, un funcionamiento correcto justo durante el incidente que ha dejado caído su servidor principal, y una resistencia al abuso de amplificación que es un trabajo continuo y no un paso de configuración — y si falla, todo lo que resuelve a través de ese nombre falla con él, incluida la renovación del certificado que le habría permitido solucionarlo. También hay un argumento de privacidad en contra que va en sentido contrario al habitual: un servidor autoritativo autoalojado en el mismo bloque de direcciones que todo lo demás que usted opera es un vínculo directo entre todos ellos, visible en los conjuntos de datos de DNS pasivo que cualquiera puede consultar. El arreglo pragmático es un operador de DNS con una red anycast, elegido por si exige un documento de identidad y no por su lista de funciones, y una zona que se pueda exportar con un solo comando. Tenga en cuenta que este es un trabajo distinto del resolutor privado tratado en otra parte de la serie: aquel traslada a su propia máquina el registro de lo que usted consulta, lo cual es una ventaja clara. Este publicaría lo que todos los demás consultan sobre usted, lo cual es un perfil de riesgo completamente distinto.
Sí, y son los cinco minutos de mayor valor de toda esta página. La dirección de una cuenta de registrador no es un dato de contacto, es la llave maestra: recibe el mensaje de verificación cuyo vencimiento puede suspender el nombre, aprueba las transferencias, restablece la contraseña, y es el ancla de todo proceso de recuperación. Importan tres propiedades. Debe ser dedicada, de modo que no sea la dirección de su historial de commits, su perfil de foro y un corpus de una filtración de 2019 — la reutilización es la forma más habitual en que un registro cuidadosamente anónimo termina vinculado a una persona, y evitarlo no cuesta nada. Debe ser duradera: un buzón desechable que deja de existir es cómo la gente descubre su correo de verificación nueve meses tarde, y los proveedores gratuitos cierran las cuentas inactivas. Y debe ser una que de verdad lea, porque los mensajes que importan llegan raramente y se parecen exactamente a los que no importan. O bien su propio dominio en un proveedor de correo, o bien un buzón de pago en un proveedor fuera de la cadena, pero no el mismo dominio que está registrando — un nombre cuyo correo de recuperación vive en el propio nombre no se puede recuperar una vez que caduca. Añada un segundo factor de contraseña de un solo uso basado en tiempo a la cuenta en la misma sesión, y guarde los códigos de recuperación junto con el código de autorización, y no en el buzón que protegen.
Porque exponen cosas distintas, y un adversario que tenga una irá a buscar la otra. El registro del dominio responde a «quién registró este nombre»; la cuenta de alojamiento responde a «quién paga la máquina, desde qué dirección, con qué tarjeta, y qué más ejecuta» — y ese segundo expediente suele ser mucho más rico. Es también el que se solicita mediante un proceso legal en lugar de leerse en una interfaz pública, lo que significa que la jurisdicción en la que se encuentra forma parte de su exposición real. De ahí se derivan dos propiedades. Dónde se encuentra la máquina decide qué proceso puede alcanzarla: Stockholm, Helsinki, Oslo y Reykjavík son cuatro regímenes constitucionales con tradiciones sólidas de libertad de prensa, todos dentro del EEE, lo que además elimina la cuestión de la transferencia internacional de todo lo que tenga que declarar. Y de quién sea el nombre que figura en la cuenta decide qué revela la propia cuenta — en NordBastion no hay documento de identidad, ni nombre legal, ni tarjeta; la factura se liquida en Monero o Bitcoin, y el expediente del cliente sencillamente no contiene lo que alguien estaría pidiendo. Eso no hace privado el dominio; nada hace privado un dominio. Impide que el dominio sea el primer eslabón de una cadena que termina en un expediente de alojamiento con su pasaporte dentro. La guía de jurisdicción cubre el suelo legal de cada uno de los cuatro.
Sentinel — 2 vCPU, 4 GB y 120 GB de NVMe por $3.90 al mes, en Helsinki, Stockholm, Oslo o Reykjavík — basta para el sitio al que apunta el nombre, y se pide sin verificación de correo electrónico, sin documento de identidad y sin tarjeta. El saldo se financia en Monero o Bitcoin. Sea lo que sea lo que publique el registro sobre el dominio, el expediente de alojamiento que hay detrás no contiene nada que merezca la pena pedir.
Última revisión · 2026-10-12 · Fuentes · ICANN Registration Data Policy; ICANN Transfer Policy; ICANN Expired Registration Recovery Policy; el Registrar Accreditation Agreement de 2013 y su Whois Accuracy Program Specification; Directiva (UE) 2022/2555 (NIS2), artículo 28; Reglamento (UE) 2019/517 sobre el dominio de nivel superior .eu; RFC 9082 y RFC 9083 (RDAP); RFC 9162 (transparencia de certificados); RFC 8659 (CAA); RFC 3915 (período de gracia de redención) · Cadencia · anual
This guide is one spoke of a larger series. The pillar walks the three privacy layers end to end — the sibling spokes below dive into the specifics.
Three independent layers — signup, payment, network — explained, legal context included, common mistakes flagged.
What “no KYC” actually means — and what it does not.
Why Sweden, Finland, Norway and Iceland — the legal floor of each.
Deploy your own MCP server on a no-KYC VPS — TLS, streamable HTTP, OAuth.
Host an MCP server with no ID — the privacy stack, crypto-paid.
Alojamiento privado, construido en el Norte.