Academia › Publicar › Dominio y correo
El correo de recuperación no puede vivir dentro del dominio que protege
Que el dominio y el correo del negocio tengan una dirección de recuperación ajena a los dos, controlada por el dueño y guardada junto a su contraseña.
Ya separaste la contraseña del correo de la del panel del registrador; toca ver a dónde huye cada una cuando alguien -tú o un atacante- pulsa 'la olvidé'. Abre el panel de tu registrador -la empresa donde compraste el dominio, sea Namecheap, GoDaddy o el panel de Yodai si lo registraste ahí- y busca el campo que dice correo de contacto o correo de recuperación. Es muy probable que veas algo como [email protected] o [email protected]. Ahí está el problema, y no se nota hasta que ya es tarde.
Ese correo depende del dominio que se supone que protege. El día que pierdas el dominio -un impago que se te pasa, un robo de la cuenta del registrador, un fallo del propio proveedor- pierdes también ese buzón. Y sin ese buzón no te llega el aviso para recuperarlo. Es un candado que guarda su propia llave dentro de la caja que cierra.
El bucle que no se ve hasta que ya estás dentro
Un correo @tudominio.com se sirve desde un servidor que depende de que el dominio siga apuntando ahí; sin dominio no hay buzón, y sin buzón no llega la recuperación
Ya dejaste resuelto en la lección anterior que no reutilizas la misma contraseña en ningún otro sitio. Pero una contraseña buena no sirve de nada si el camino de vuelta -el que usas cuando la olvidas, o cuando alguien más entra donde no debe- pasa por el mismo sitio que estás intentando proteger.
El mismo error se repite con tu correo principal, no solo con el dominio. Si usas Gmail o Workspace y pones como recuperación otra cuenta tuya del mismo proveedor, o una segunda dirección del mismo dominio, el fallo es idéntico: pierdes uno y pierdes los dos a la vez, porque nunca fueron dos cosas independientes entre sí.
Son dos sitios distintos donde tienes que mirar este campo. Uno es el panel del registrador, donde figura el correo de contacto del dominio. El otro son los ajustes de tu propio correo electrónico, donde figura la dirección de recuperación de la cuenta. Se configuran por separado, y casi nadie revisa el segundo.
Qué dirección poner en su lugar
La regla es fácil de decir y casi nadie la cumple entera: la dirección de recuperación tiene que sobrevivir a la pérdida de todo lo demás. Eso obliga a tres cosas. Que esté en un proveedor distinto del que usas para el correo del negocio. Que su contraseña esté anotada aparte, en el gestor de contraseñas que ya montaste en la lección anterior, y no memorizada ni guardada en el mismo ordenador que usas cada día. Y que la controle el titular del negocio, no un empleado, ni el diseñador que montó la web, ni un socio que puede dejar de serlo mañana.
Un Gmail personal antiguo, de los que tienes desde hace diez años y abres alguna vez al mes, cumple bien. Una cuenta creada solo para esto, sin nombre del negocio ni relación visible con él, cumple mejor todavía, porque nadie que investigue tu dominio la va a encontrar buscando tu marca.
Hacerlo ahora lleva diez minutos. Hacerlo después de perder el acceso no se puede hacer, porque ya no tienes forma de entrar a cambiar nada: esa es la contradicción de fondo de este tipo de bloqueo. Por eso conviene revisarlo hoy, no cuando el dominio ya haya dado un primer aviso de problema.
- 1En el registrador
Entra al panel del dominio, busca correo de contacto o correo de recuperación, y sustitúyelo por la dirección que has elegido. - 2Confirma antes de que caduque
Te llega un correo de verificación a la nueva dirección. Ábrelo y confirma. Si no lo haces en 24 o 48 horas, según el registrador, el cambio se revierte solo: es una norma que obliga a comprobar que el dueño del dominio sigue siendo alcanzable en la dirección que ha puesto. - 3En tu correo principal
Entra en los ajustes de la cuenta -Gmail, Workspace, Outlook- y busca la misma opción, correo de recuperación o cuenta alternativa. Pon la misma dirección externa que usaste en el registrador, no otra distinta, para no tener que acordarte de dos. - 4Repite en cada cuenta que uses para el negocio
Si tienes más de un correo de trabajo -uno para ventas, otro para facturas- revisa cada uno. La dirección externa puede ser la misma en todos; lo que no puede repetirse es el fallo de dejarla en blanco. - 5Guárdala como crítica
Apunta esa dirección y su contraseña en el gestor de contraseñas, marcada aparte del resto, porque el día que la necesites será porque todo lo demás ha fallado a la vez.
- El dominio y el correo principal del negocio tienen una dirección de recuperación que no vive en ninguno de los dos.
- Esa dirección la controla el titular del negocio, no un empleado ni un colaborador externo.
- Está anotada junto a su contraseña en el gestor que ya usas, marcada como crítica.
- Sabes que el cambio en el registrador tarda hasta 48 horas en confirmarse y que si no confirmas, se revierte solo.
- La siguiente lección coge el testigo aquí: qué usar en el segundo paso de entrada, en vez de un SMS.
Tres casos para decidir
Responde antes de abrir cada una. Si alguna se te resiste, vuelve al apartado que la explica.
1. Tu tienda tiene el correo de recuperación del dominio puesto en [email protected]. Se te pasa la renovación y el registrador suspende el dominio antes de que puedas pagarla. ¿A dónde llega el aviso para recuperarlo?
A ningún sitio que puedas leer: [email protected] deja de funcionar en el mismo momento en que el dominio se suspende. Por eso la recuperación tenía que estar fuera del propio dominio desde el principio, no cuando ya se ha suspendido.
2. El freelance que te montó la web puso su Gmail personal como recuperación del dominio y ya no trabajáis juntos. ¿Esperas a necesitarlo para cambiarlo?
No. Se cambia ahora, mientras todavía puedes contar con que confirme el correo de verificación si hace falta. Esperar a necesitarlo es esperar a que esa persona ya no conteste.
3. Cambias la dirección de recuperación en el panel del registrador y a las tres horas no ha llegado ningún correo de confirmación a la nueva cuenta. ¿Qué pasa si no haces nada más?
El cambio se revierte solo cuando pasan las 24 o 48 horas sin confirmar, y el dominio se queda con la dirección anterior. Toca revisar la carpeta de spam y confirmar antes de que caduque el plazo.
Con el correo de recuperación ya fuera del dominio, queda cerrar la puerta que se abre con un solo código de seis dígitos: la verificación en dos pasos, y ahí no todos los métodos valen lo mismo.