Academia › Publicar › Dominio y correo
La contraseña que no puedes reutilizar aquí
Al terminar tienes dos contraseñas nuevas, generadas y sin repetir en ningún otro sitio: una para el correo y otra para el panel del registrador.
¿Cuál es la contraseña del panel donde compraste tu dominio? Si se parece a la de tu correo, o a la del banco, o a la que usas en todos lados desde hace años, tienes un problema que no se nota hasta que ya es tarde.
Un dominio se roba casi siempre igual: alguien consigue una contraseña tuya en un sitio que no tiene nada que ver con tu negocio, un foro, una tienda, una app que ni recuerdas. Prueba esa misma contraseña en tu correo y en el panel del registrador. Si coincide en alguno de los dos, ya está dentro.
No hace falta que a ti te ataquen a propósito. La lista de correos y contraseñas filtrados de ese foro viejo se vende junto con miles más, y un programa las va probando una a una en registradores y correos conocidos, sin que nadie elija tu negocio en particular. Caes en la lista igual que caería cualquiera con la misma costumbre.
Esta lección resuelve eso: dos contraseñas, una para el correo y otra para el registrador, y ninguna de las dos repetida en ningún otro sitio del negocio.
Por qué el correo y el registrador no pueden compartir nada
El registrador es la empresa donde pagas cada año para que tudominio.com siga siendo tuyo: GoDaddy, Namecheap, IONOS, el que sea. Dentro de ese panel hay un botón que dice "transferir" y otro que dice "cambiar los servidores de nombres". Quien entra ahí puede llevarse tu web a otro sitio en minutos, y tu web deja de estar donde tú la dejaste sin que hayas tocado nada.
El correo es la otra pieza, y pesa más de lo que parece porque casi todo lo demás cuelga de él. Si alguien entra en tu correo, pide "olvidé mi contraseña" en el registrador, en el banco, en la pasarela de pagos, en el panel de Yodai. El correo no es una cuenta más entre otras: es la que abre todas las demás.
Piensa en una peluquería que gestiona su dominio, su correo y su cuenta de reservas con la misma clave que usa desde que abrió. El día que esa clave se filtra en cualquier otro sitio, quien la tenga no necesita adivinar nada más: entra en el correo, pide el cambio de contraseña del registrador, y en menos de una hora la peluquería ya no controla ni su web ni su buzón. No hizo falta ningún fallo técnico, solo una contraseña que servía para todo.
Por eso estas dos contraseñas van solas. Ni la del registrador sirve para el correo, ni la del correo sirve para el registrador, ni ninguna de las dos aparece en la cuenta de Instagram del negocio, en el hosting antiguo, en la wifi de la tienda o en el excel de proveedores. Una contraseña que vive en dos sitios ya no protege ninguno de los dos.
Los ataques automatizados prueban cada contraseña filtrada en miles de paneles de registradores y correos a la vez, no solo en el sitio donde se filtró
Cómo montar las dos contraseñas hoy
- 1Un gestor de contraseñas, no la cabeza
Instala uno -Bitwarden, 1Password, o el que venga con tu navegador si no tienes otro-. La contraseña deja de vivir en tu memoria, así que puede ser larga y sin ningún sentido para ti. - 2Genera, no inventes
Deja que el gestor genere una contraseña aleatoria de al menos dieciséis caracteres para el correo, y otra distinta, también generada, para el registrador. Una contraseña inventada por ti sigue siempre un patrón, y un patrón se adivina. - 3Cambia primero el correo
Entra en tu correo, pon la contraseña generada y revisa la lista de sesiones abiertas. Cierra las que no reconozcas antes de seguir con el paso siguiente. - 4Cambia después el registrador
Con el correo ya asegurado, entra en el panel del registrador y cambia esa contraseña también. Si el correo estuviera comprometido, cambiar antes el registrador no serviría de nada. - 5Busca la contraseña vieja en otros sitios
Repasa qué otras cuentas del negocio usaban esa misma contraseña -hosting, redes, pasarela de pagos- y cámbiala también ahí. Cada cuenta necesita la suya, sin excepción.
- Genera cadenas aleatorias que ningún patrón delata
- Guarda una contraseña distinta por cada cuenta sin esfuerzo de memoria
- Avisa si alguna de tus contraseñas apareció en una filtración conocida
- Se recuerda sin abrir ninguna app, pero solo si es corta y con patrón
- Quien ve una variación adivina las demás en segundos
- No hay forma de saber si ya se filtró en otro sitio
Cual elijo: Usa el gestor. La única razón real para memorizar algo es no tener el teléfono a mano, y para ese caso basta con memorizar la contraseña maestra del propio gestor, no la de cada cuenta.
Comprobar lo que ya tienes antes de dar el cambio por cerrado
Antes de cerrar esta lección, mira si tu correo o tu contraseña ya aparecieron en alguna filtración conocida. Hay páginas que permiten comprobarlo escribiendo tu correo, sin pedir la contraseña, y te dicen en qué filtraciones apareció y de qué año. Si tu correo sale ahí, cualquier contraseña que usaras entonces está quemada para siempre, aunque hayas dejado de usar el sitio donde se filtró.
Haz lo mismo con la contraseña que acabas de dejar atrás: si servía para el correo, para el registrador y también para el panel de tu proveedor de hosting, ese proveedor entra en la misma revisión. La regla no es solo cambiar dos contraseñas, es cambiar todas las que compartían la que ya sabes que estaba mal repartida.
Con estas dos contraseñas cambiadas y guardadas en el gestor, el punto de entrada más común ya está cerrado: el que no depende de ningún fallo técnico, solo de una costumbre. Queda además la revisión de las demás cuentas que compartían la contraseña vieja, que no se hace en un día pero sí en esta misma semana.
La siguiente lección se ocupa de otro hueco distinto: qué correo usar para recuperar la cuenta del registrador, porque ese correo de recuperación no puede ser el tuyo del propio dominio.
- El correo y el panel del registrador tienen contraseñas distintas, generadas, no inventadas
- Ninguna de las dos se reutiliza en ninguna otra cuenta del negocio
- Ambas quedan guardadas en un gestor de contraseñas, no en la memoria ni en un papel
- Se revisaron las sesiones abiertas del correo antes de dar por cerrado el cambio
Casos para decidir
Responde antes de abrir cada una. Si alguna se te resiste, vuelve al apartado que la explica.
1. Cambias la contraseña del registrador pero dejas la del correo tal como estaba, porque 'esa nunca se ha visto envuelta en nada'. ¿Qué falta y por qué importa?
Falta cambiar el correo. Si alguien entra ahí, pide un enlace de recuperación al registrador y entra igual, así que dejar el correo con la contraseña vieja anula el cambio hecho en el registrador.
2. Tu contraseña del registrador es la misma que usabas hace tres años en una tienda online que ya cerró. ¿Se puede seguir usando si nunca hubo un aviso de filtración?
No. La ausencia de aviso no significa que no se haya filtrado: muchas filtraciones se venden sin que la tienda afectada las anuncie. Se cambia igual, porque comprobarlo cuesta más que generar una nueva.
3. Memorizas una contraseña larga y la usas también en el correo, porque es más cómodo que abrir el gestor cada vez. ¿Vale la comodidad aquí?
No. Por larga que sea, si es la misma en las dos cuentas, una sola filtración compromete ambas a la vez. La comodidad se resuelve con el gestor, no con la repetición.
Con las dos contraseñas ya no repetidas, queda la grieta que nadie mira: a qué correo huye tu cuenta cuando pulsas 'olvidé mi contraseña', y si ese correo vive dentro del propio dominio que se supone que protege.