El candado que impide que se lo lleven sin tu firma

Que actives el bloqueo de transferencia de tu dominio y sepas que solo tú decides el día en que se quita.

Por Yodai · Publicado el 6 de septiembre de 2026 · Actualizado el 12 de octubre de 2026

6 min de lectura

Puedes tener una contraseña que no repites en ningún otro sitio, un correo de recuperación que no es del propio dominio y un segundo paso que pide la aplicación y no el SMS. Aun así, alguien podría llevarse tu dominio a otro registrador sin tocar ninguna de esas tres cosas.

Pasa así: alguien consigue acceso parcial a tu cuenta, o engaña al soporte del registrador para que le entregue lo que hace falta, y pide el traspaso. Si el dominio no tiene puesto el candado de transferencia, el registro procesa la solicitud. Tu registrador tiene que avisarte por correo para que la confirmes o la rechaces, pero si ese aviso va a un buzón que no miras, o que ya controla quien te ataca, en unos días el traspaso se aprueba solo.

Y no es solo la web. Si ese dominio sostiene también el correo del negocio, y con ese correo entras en tu WhatsApp Business, en tu pasarela de pago y en todo lo demás, todo cuelga de ahí. El día que el dominio cambia de dueño, cambia todo lo que dependía de él, a la vez.

Qué corta este candado, y qué no toca

El bloqueo de transferencia no es una contraseña ni un segundo paso. Es un estado que vive pegado al dominio, en el registro central, no en tu cuenta de usuario. En la ficha técnica se llama clientTransferProhibited, y mientras está activo, cualquier solicitud de traspaso a otro registrador se rechaza antes de pedir ningún código.

El proceso normal de traspaso da cinco días para que el dueño del dominio confirme o cancele el cambio antes de que se haga firme. El candado no sustituye ese plazo: lo hace innecesario, porque si está puesto, la solicitud ni siquiera entra en esa ventana de cinco días. Se rechaza en el primer paso, antes de llegarte ningún correo que confirmar.

No confundas esto con lo que sí protege la contraseña. Con el candado puesto, tú sigues entrando en el panel, cambiando los servidores de nombres, renovando, editando registros. El candado no frena nada de eso. Frena una cosa sola: que el dominio cambie de registrador.

Sin el candado, una cuenta a medio robar basta para perder el dominio

Acceso parcial a la cuenta, o a un correo de soporte del registrador, con el candado desactivado→El registro acepta la solicitud de traspaso y el dominio sale hacia otro registrador en pocos días

Con el candado puesto, el traspaso se rechaza de entrada; sin él, solo te queda rechazarlo a tiempo cuando te llegue el aviso

Cómo se activa

Se activa desde el panel de tu registrador, la empresa donde compraste el dominio, no desde el programa con el que haces tu web: el dominio vive donde lo compraste, sea cual sea. El nombre exacto de la opción cambia de uno a otro, pero el efecto que buscas es siempre el mismo estado.

Poner el candado en veinte minutos

1Entra en el panel del registrador
Con tu cuenta, mejor si su correo de recuperación no es del propio dominio.
2Busca la ficha del dominio
Suele estar bajo «Dominios» o «Mis dominios», y dentro, en la pestaña «Estado» o «Seguridad».
3Activa «Transfer Lock» o «Bloqueo de transferencia»
Es la misma casilla aunque el registrador le ponga un nombre distinto: el efecto es clientTransferProhibited.
4Comprueba el estado con un lookup WHOIS
Si en la ficha pública aparece clientTransferProhibited, el candado está puesto de verdad, no solo marcado en tu panel.

El día que sí quieres moverlo

Llegará un día en que sí quieras cambiar de registrador: por precio, por soporte, porque vendes el negocio. Ese día entras al mismo panel, quitas el candado, pides el código de autorización, el auth code o código EPP, y se lo pasas al registrador nuevo.

El candado y el auth code trabajan juntos, no por separado. El código confirma que el traspaso lo pides tú; el candado impide que otra persona lo use mientras no le des permiso. Quitas uno para usar el otro, y en cuanto el traspaso se confirme o se cancele, vuelves a poner el candado en el dominio que se quede contigo.

Qué candado eliges para el dominio

Bloqueo estándar (client lock)

Suele venir gratis con el dominio, aunque no todas las terminaciones lo admiten: pregúntalo a tu registrador
Lo activas y desactivas tú mismo, desde el panel de tu registrador, en un clic

Bloqueo de registro (registry lock)

Lo ofrecen algunos registradores como extra, a veces de pago
Para quitarlo, tu registrador tiene que pedírselo al registro central, con una comprobación a mano fuera del panel, como una llamada con una persona
Ni con tu contraseña ni con tu segundo paso comprometidos se puede saltar
Tarda más en gestionarse el día que tú sí quieres moverlo

Cuál elijo: Para la mayoría de negocios, el bloqueo estándar activado y revisado de vez en cuando basta. Si de ese dominio cuelga toda la facturación y perderlo un solo día te sale muy caro, paga el bloqueo de registro: la llamada de más es el precio de que ni tu propia cuenta pirateada te lo pueda quitar.

El error caro: dejarlo desactivado «por si acaso»

Mucha gente quita el candado para pedir el código de traspaso y lo deja así, pensando en volver a tocarlo pronto. Pasan las semanas, se olvida, y el dominio queda expuesto meses enteros sin que nadie se dé cuenta. Pon una tarea en tu calendario el mismo día que lo desactivas: reactivarlo en cuanto el traspaso se confirme o se cancele, sin esperar a acordarte.

Lo que te llevas

El candado de transferencia está activado en el dominio, no solo en la cuenta
Sabes que solo se quita el día que tú decides mover el dominio, y se vuelve a poner después
Has comprobado con un WHOIS que el estado clientTransferProhibited aparece de verdad en la ficha pública
Sabes cuándo compensa pagar el bloqueo de registro en vez de conformarte con el estándar

Tres casos

Responde antes de abrir cada una. Si alguna se te resiste, vuelve al apartado que la explica.

1. Vendes el negocio y el comprador te pide el código de autorización del dominio esta misma tarde. ¿Qué haces primero?

Entras al panel del registrador y quitas el candado de transferencia antes de pedir el auth code. Si generas el código con el candado puesto, el traspaso se rechazará igual en cuanto el comprador lo intente, y habrás perdido la tarde para nada.

2. Recibes un correo que parece del registrador pidiendo que confirmes tus datos con un enlace, y sin darte cuenta metes tu contraseña en ese enlace. ¿Te protege en algo tener puesto el candado de transferencia?

Poco, si con tu contraseña le basta para entrar: desde tu cuenta puede quitar el candado igual que tú, en un clic. Te protege el segundo paso con la aplicación, porque sin él no entra, y el bloqueo de registro, que no se quita desde la cuenta. Cambia la contraseña en cuanto te des cuenta, revisa que el candado sigue puesto y vigila el correo por si llega un aviso de traspaso que rechazar.

3. Cambias de registrador porque el actual te ha subido el precio de golpe, y llevas dos años sin entrar a tocar nada del dominio. ¿Qué compruebas antes de pedir el traspaso?

Que el candado siga puesto, para saber que nadie lo ha tocado en tu ausencia, y que el correo de recuperación de esa cuenta del registrador siga siendo el tuyo y no uno que ya no usas. Sin eso, el auth code que pidas puede acabar en una bandeja que ya no controlas.

Con el bloqueo de transferencia activo, el candado técnico está completo. Pero hay una puerta que ningún ajuste del panel cierra: la que abres tú mismo cuando crees que respondes a tu registrador y en realidad respondes a quien quiere robártelo.

En Yodai conectas a tu web el dominio que ya tienes y sigue registrado donde está, a tu nombre. Mira cómo va el dominio propio para tu página web.

SiguienteVerifica en el panel, nunca en el enlace del correo