Academia › Publicar › Dominio y correo
Verifica en el panel, nunca en el enlace del correo
Reconoces el aviso falso de caducidad o transferencia de tu dominio y tu correo, y lo compruebas entrando tú en tu registrador, nunca desde el enlace.
Por Yodai · Publicado el 6 de septiembre de 2026 · Actualizado el 13 de octubre de 2026
El candado de transferencia impide que muevan tu dominio a otro registrador sin tu firma. Hay una forma de saltárselo sin tocarlo: convencerte a ti mismo de que lo quites tú. Te llega un correo hoy mismo. Dice que tu dominio caduca en veinticuatro horas, o que alguien ha pedido transferirlo fuera y que hagas clic para cancelarlo. El logo es el de tu registrador, el asunto lleva tu dominio escrito, y el botón dice «Resolver ahora». Sientes la urgencia y estás a un clic de escribir tu contraseña.
Ese clic es el momento exacto en el que se pierde un dominio. No la contraseña débil, no el correo de recuperación mal puesto: el clic. Todo lo que has blindado en este curso, la contraseña que no repites, el correo de recuperación fuera de tu propio dominio, la aplicación en vez del SMS, el candado que impide mover el dominio sin tu firma, no sirve de nada si tú mismo escribes esa contraseña en una copia exacta del panel de tu registrador.
Cómo huele el correo falso
El correo falso comparte un rasgo con muchos timos: el plazo es corto. Un registrador de verdad no te avisa por primera vez con un día de margen. En los dominios genéricos como .com, la política de ICANN para recuperar dominios caducados le obliga a avisarte al menos dos veces antes de que caduque: una, más o menos un mes antes, y otra, más o menos una semana antes. La política deja al registrador mandar más avisos, pero si el primero que ves te acorrala en veinticuatro horas, ya es sospechoso antes de leer una palabra más.
El segundo rasgo es que pide aprobar o desbloquear algo que tú no has pedido. Ahí entra el candado de transferencia: según la guía de ICANN sobre los códigos de estado de un dominio, con ese candado puesto el registro rechaza las peticiones de llevar el dominio a otro registrador, y para transferirlo primero tienes que pedirle tú a tu registrador que lo quite. Un correo que dice que tu dominio «ha sido desbloqueado» y que apruebes la transferencia, sin que tú hayas tocado nada, es mentira por definición. Nadie puede desbloquearlo sin pasar antes por ti.
De dónde sacan tu dominio y tu fecha exacta
Lo inquietante es que el correo acierta con la fecha. Eso no es magia: la fecha de caducidad de un dominio es un dato público. En los dominios genéricos como .com, la política de datos de registro de ICANN obliga a publicar el registrador, la fecha de alta y la fecha de caducidad. Se consulta con una herramienta de WHOIS o RDAP escribiendo el nombre del dominio, sin necesidad de entrar a ningún panel.
Quien manda estos correos no necesita vigilarte a ti. Le basta con consultar esos datos públicos para escribir en el correo tu dominio, tu registrador y la fecha. Por eso acierta el dato exacto, y por eso no hay nada raro en que lo sepa. Lo sabe cualquiera que escriba tu dominio en la caja de búsqueda correcta.
Por qué el enlace es la trampa
El enlace del correo no lleva al panel del registrador. Lleva a una página que es un calco: mismo logo, mismo formulario, hasta el mismo pie con el aviso legal copiado. La única diferencia está en la dirección de la barra del navegador, y esa es la que nadie mira cuando va con prisa.
Ahí no hace falta que te roben nada más que lo que escribes: la contraseña y, si la página te lo pide, el código del doble paso. En cuanto lo escribes, quien montó la página falsa entra con ello al panel real, quita el candado si puede y mueve el dominio antes de que te des cuenta de que el correo era falso.
La página del enlace no es el panel del registrador: es una copia que solo sirve para capturar lo que escribes
La regla que no falla
La regla es simple y no tiene excepciones: ningún aviso sobre tu dominio se atiende desde el enlace del correo. Se atiende abriendo una pestaña nueva, escribiendo tú mismo la dirección del registrador, o usando el marcador que ya tienes guardado, y entrando con tu sesión de siempre. Si hay algo real que resolver, aparece dentro de la cuenta. Si no aparece nada, el correo era falso y el asunto está cerrado. La ayuda de Gmail da la misma pauta: si haces clic en un enlace y se te pide la contraseña, no la escribas y ve directamente al sitio web que quieres visitar.
Esto vale igual si el aviso llega por SMS o por una llamada que dice ser del servicio técnico del registrador. El canal cambia. La regla no: la acción se hace dentro del panel, nunca siguiendo el camino que marca el mensaje que te llegó por sorpresa.
Tampoco hace falta darle a nadie el código de la aplicación de doble paso, ni por teléfono ni por correo ni por chat. La ayuda de Google sobre la verificación en dos pasos lo dice sin rodeos: no compartas tus códigos de verificación con nadie, porque los estafadores pueden intentar hacerse con el control de tu cuenta, y Google nunca te llamará para verificar un código. Si alguien te lo pide para «verificar tu identidad», ya sabes que no es soporte.
- 1No toques el enlace
Ni para leer, ni para cancelar. El botón de cancelar también lleva a la página falsa. - 2Abre una pestaña nueva
No uses el historial ni copies la dirección del correo: escríbela tú, o usa el marcador guardado. - 3Entra con tu sesión habitual
Usuario, contraseña y el segundo paso de la aplicación, igual que cualquier otro día. - 4Mira el estado real del dominio
Fecha de renovación, candado de transferencia, solicitudes pendientes: todo eso vive dentro de la cuenta, no en un correo. - 5Si no hay nada pendiente, borra el correo
Repórtalo como phishing si quieres, pero no hace falta responder ni avisar a nadie más.
El mismo timo apunta también al correo
El mismo montaje sirve para atacar la cuenta de correo, no solo el dominio. Llega un aviso de que el buzón se ha quedado sin espacio, o de que hay actividad sospechosa, con un enlace para «verificar la cuenta». Es la misma trampa con otro disfraz.
La verificación es igual de simple: se entra al correo desde la dirección de siempre, gmail.com, o la consola de administración si gestionas varias cuentas de un mismo dominio, y nunca desde el enlace del aviso. Si hubiera actividad rara, la ves tú dentro de la cuenta: ante un aviso de seguridad que parezca de Google y te haga dudar, la ayuda de Gmail indica ir directamente a myaccount.google.com/notifications, donde aparece la actividad reciente relacionada con la seguridad de tu cuenta. No hace falta que nadie te lo señale con un botón urgente.
Con esto tienes cerrado el reconocimiento del engaño: sabes qué mirar y dónde verificarlo. Si el clic ya ha pasado y has escrito la contraseña donde no debías, la próxima lección cubre qué hacer en las dos horas siguientes.
- Ningún aviso sobre el dominio o el correo se atiende desde el enlace que llega en el mensaje
- Se verifica siempre entrando al panel por tu cuenta, escribiendo tú la dirección o usando tu marcador
- Un plazo de horas y una acción que tú no has pedido bastan para desconfiar del aviso
- Cancelar desde el correo es tan peligroso como aprobar: el botón lleva al mismo sitio falso
- Ningún soporte real pide el código de la aplicación de doble paso por teléfono, correo o chat
Ponte a prueba
Responde antes de abrir cada una. Si alguna se te resiste, vuelve al apartado que la explica.
1. Recibes un correo con el logo exacto de tu registrador diciendo que el dominio se transfiere hoy salvo que canceles en el enlace. Tienes el candado de transferencia puesto desde la lección anterior. ¿Qué decides?
Ignoras el enlace: con el candado puesto, ninguna transferencia puede iniciarse sin que tú lo quites antes desde el panel, así que el aviso es falso por construcción. Entras al panel escribiendo tú la dirección para confirmar que el candado sigue activo.
2. Te llega un SMS, no un correo, avisando de que tu dominio caduca mañana y con un enlace para pagar la renovación. ¿Cambia algo por venir por SMS en vez de por correo?
No cambia nada: el canal es distinto pero la regla es la misma. No se paga ni se renueva desde el enlace del SMS; se entra al panel del registrador por tu cuenta y, si hay una renovación pendiente de verdad, se paga desde ahí.
3. El correo dice que tu buzón de Gmail está casi lleno y que debes verificarlo hoy o perderás mensajes; el enlace lleva a una página que pide tu contraseña de Google. ¿Qué haces antes de escribir nada?
Cierras esa página y entras a Gmail desde gmail.com escrito por ti mismo. Si el aviso fuera real, lo comprobarías dentro de tu cuenta. Y la ayuda de Gmail lo deja claro: si ya has iniciado sesión, Google no te enviará ningún correo pidiéndote la contraseña de esa cuenta.
Con eso sabes distinguir el aviso real del señuelo. Pero blindaje y ojo entrenado no siempre bastan: toca saber qué haces en el momento exacto en que algo de esto ya ha fallado.
Fuentes
- Expired Registration Recovery Policy. ICANN, actualizada el 21 de febrero de 2024 y obligatoria desde el 21 de agosto de 2025 (consultado en octubre de 2026).
- EPP Status Codes | What Do They Mean, and Why Should I Know?. ICANN, consultado en octubre de 2026.
- Registration Data Policy. ICANN, revisada en mayo de 2026.
- Evitar y denunciar los correos de phishing. Ayuda de Gmail, Google, consultado en octubre de 2026.
- Activar la verificación en dos pasos. Ayuda de Cuenta de Google, Google, consultado en octubre de 2026.
En Yodai conectas a tu web el dominio que ya tienes y sigue registrado donde está, a tu nombre. Mira cómo va el dominio propio para tu página web.
SiguienteLas dos horas después de que ya ha pasado