Academia › Publicar › Dominio y correo
La contraseña que no puedes reutilizar aquí
Al terminar tienes dos contraseñas nuevas, generadas y sin repetir en ningún otro sitio: una para el correo y otra para el panel del registrador.
Por Yodai · Publicado el 6 de septiembre de 2026 · Actualizado el 12 de octubre de 2026
¿Cuál es la contraseña del panel donde compraste tu dominio? Si se parece a la de tu correo, o a la del banco, o a la que usas en todos lados desde hace años, tienes un problema que no se nota hasta que ya es tarde.
A la cuenta de un registrador se puede entrar como a cualquier otra cuenta de internet: adivinando la contraseña, robándola de un ordenador, cazándola mientras la escribes o sacándotela con un engaño, según una guía de la ICANN para proteger las cuentas de dominio. Hay una vía que no necesita nada de eso: alguien consigue una contraseña tuya en un sitio que no tiene nada que ver con tu negocio, un foro, una tienda, una app que ni recuerdas. Prueba esa misma contraseña en tu correo y en el panel del registrador. Si coincide en alguno de los dos, ya está dentro.
No hace falta que a ti te ataquen a propósito. Los delincuentes saben que mucha gente usa la misma contraseña en varias cuentas, así que prueban la que han robado en otras cuentas distintas, como explica el NCSC, el centro de ciberseguridad del Reino Unido. Nadie elige tu negocio en particular: caes igual que caería cualquiera con la misma costumbre.
Esta lección resuelve eso: dos contraseñas, una para el correo y otra para el registrador, y ninguna de las dos repetida en ningún otro sitio del negocio.
Por qué el correo y el registrador no pueden compartir nada
El registrador es la empresa donde pagas cada año para que tudominio.com siga siendo tuyo. Dentro de ese panel hay un botón que dice «transferir» y otro que dice «cambiar los servidores de nombres». Quien entra ahí puede cambiar esos servidores y mandar a tus visitas a los suyos, dejarte sin web y sin correo o quedarse con el dominio, como describe la misma guía de la ICANN. Tu web deja de estar donde tú la dejaste sin que hayas tocado nada.
El correo es la otra pieza, y pesa más de lo que parece porque casi todo lo demás cuelga de él. Si alguien entra en tu correo, pide «olvidé mi contraseña» en el registrador, en el banco, en la pasarela de pagos, en el panel de Yodai. El correo no es una cuenta más entre otras: es la que abre todas las demás. La guía de la ICANN lo recuerda: a ese correo llegan los avisos del registrador y los mensajes para restablecer la contraseña de tu cuenta en el registrador.
Piensa en una peluquería que gestiona su dominio, su correo y su cuenta de reservas con la misma clave que usa desde que abrió. El día que esa clave se filtra en cualquier otro sitio, quien la tenga no necesita adivinar nada más: entra en el correo, pide el cambio de contraseña del registrador, y la peluquería deja de controlar su web y su buzón. No hizo falta ningún fallo técnico, solo una contraseña que servía para todo.
Por eso estas dos contraseñas van solas. Ni la del registrador sirve para el correo, ni la del correo sirve para el registrador, ni ninguna de las dos aparece en la cuenta de Instagram del negocio, en el hosting antiguo, en la wifi de la tienda o en el excel de proveedores. Una contraseña que vive en dos sitios ya no protege ninguno de los dos.
Quien roba una contraseña la prueba también en otras cuentas, como el correo o el registrador, no solo en el sitio donde se filtró
Cómo montar las dos contraseñas hoy
- 1Un gestor de contraseñas, no la cabeza
Instala uno: Bitwarden, 1Password o el que venga con tu navegador si no tienes otro. La contraseña deja de vivir en tu memoria, así que puede ser larga y sin ningún sentido para ti. - 2Genera, no inventes
Deja que el gestor genere una contraseña aleatoria de al menos quince caracteres para el correo, y otra distinta, también generada, para el registrador. Quince es el mínimo que la guía del NIST, el instituto de normas de Estados Unidos, pide a los servicios cuando la contraseña es lo único que protege la cuenta. Una contraseña inventada por ti suele seguir un patrón, y un patrón se adivina. - 3Cambia primero el correo
Entra en tu correo, pon la contraseña generada y revisa la lista de sesiones abiertas. Cierra las que no reconozcas antes de seguir con el paso siguiente. - 4Cambia después el registrador
Con el correo ya asegurado, entra en el panel del registrador y cambia esa contraseña también. Si el correo estuviera comprometido, cambiar antes el registrador no serviría de nada. - 5Busca la contraseña vieja en otros sitios
Repasa qué otras cuentas del negocio usaban esa misma contraseña, como el hosting, las redes o la pasarela de pagos, y cámbiala también ahí. Cada cuenta necesita la suya, sin excepción.
- Genera cadenas aleatorias que ningún patrón delata
- Guarda una contraseña distinta por cada cuenta sin esfuerzo de memoria
- Muchos avisan si alguna de tus contraseñas apareció en una filtración conocida
- Se recuerda sin abrir ninguna app, pero solo si es corta y con patrón
- Quien conoce una variación puede adivinar las demás con pocos intentos
- Nada te avisa si ya se filtró en otro sitio
Cuál elijo: Usa el gestor. La única razón real para memorizar algo es no tener el teléfono a mano, y para ese caso basta con memorizar la contraseña maestra del propio gestor, no la de cada cuenta.
Comprobar lo que ya tienes antes de dar el cambio por cerrado
Antes de cerrar esta lección, mira si tu correo o tu contraseña ya aparecieron en alguna filtración conocida. Hay herramientas en línea que lo comprueban con tu correo, como haveibeenpwned.com, una de las que cita el NCSC en su guía sobre filtraciones de datos, y a menudo los antivirus y los gestores de contraseñas traen un servicio parecido. Si tu correo sale en alguna filtración, la contraseña que usabas en el sitio filtrado está quemada para siempre, aunque ya no lo uses: la guía del NIST pide a los servicios que rechacen las contraseñas sacadas de filtraciones anteriores.
Haz lo mismo con la contraseña que acabas de dejar atrás: si servía para el correo, para el registrador y también para el panel de tu proveedor de hosting, ese proveedor entra en la misma revisión. La regla no es solo cambiar dos contraseñas, es cambiar todas las que compartían la que ya sabes que estaba mal repartida.
Con estas dos contraseñas cambiadas y guardadas en el gestor, ya está cerrada la puerta de entrada que no depende de ningún fallo técnico, solo de una costumbre. Queda además la revisión de las demás cuentas que compartían la contraseña vieja, que no se hace en un día pero sí en esta misma semana.
La siguiente lección se ocupa de otro hueco distinto: qué correo usar para recuperar la cuenta del registrador, porque ese correo de recuperación no puede ser el tuyo del propio dominio.
- El correo y el panel del registrador tienen contraseñas distintas, generadas, no inventadas
- Ninguna de las dos se reutiliza en ninguna otra cuenta del negocio
- Ambas quedan guardadas en un gestor de contraseñas, no en la memoria ni en un papel
- Se revisaron las sesiones abiertas del correo antes de dar por cerrado el cambio
Casos para decidir
Responde antes de abrir cada una. Si alguna se te resiste, vuelve al apartado que la explica.
1. Cambias la contraseña del registrador pero dejas la del correo tal como estaba, porque «esa nunca se ha visto envuelta en nada». ¿Qué falta y por qué importa?
Falta cambiar el correo. Si alguien entra ahí, pide un enlace de recuperación al registrador y entra igual, así que dejar el correo con la contraseña vieja anula el cambio hecho en el registrador.
2. Tu contraseña del registrador es la misma que usabas hace tres años en una tienda online que ya cerró. ¿Se puede seguir usando si nunca hubo un aviso de filtración?
No. La ausencia de aviso no significa que no se haya filtrado: el artículo 34 del Reglamento general de protección de datos solo obliga a la tienda a avisarte cuando es probable que la filtración suponga un alto riesgo para ti. Se cambia igual, porque comprobarlo cuesta más que generar una nueva.
3. Memorizas una contraseña larga y la usas también en el correo, porque es más cómodo que abrir el gestor cada vez. ¿Vale la comodidad aquí?
No. Por larga que sea, si es la misma en las dos cuentas, una sola filtración compromete ambas a la vez. La comodidad se resuelve con el gestor, no con la repetición.
Con las dos contraseñas ya no repetidas, queda la grieta que nadie mira: a qué correo huye tu cuenta cuando pulsas «olvidé mi contraseña», y si ese correo vive dentro del propio dominio que se supone que protege.
Fuentes
- A Registrant’s Guide to Protecting Domain Name Registration Accounts, SAC 044. Comité Asesor de Seguridad y Estabilidad de la ICANN (SSAC), 2010 (consultado en octubre de 2026).
- Recovering a hacked account. National Cyber Security Centre (NCSC), Reino Unido, 2018, revisado en 2022 (consultado en octubre de 2026).
- NIST Special Publication 800-63B. Instituto Nacional de Estándares y Tecnología (NIST), Estados Unidos, revisión 4, 2025 (consultado en octubre de 2026).
- The Tangled Web of Password Reuse. Anupam Das, Joseph Bonneau, Matthew Caesar, Nikita Borisov y XiaoFeng Wang, NDSS Symposium, 2014 (consultado en octubre de 2026).
- Data breaches: guidance for individuals and families. National Cyber Security Centre (NCSC), Reino Unido, 2021 (consultado en octubre de 2026).
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), artículo 34. Diario Oficial de la Unión Europea, publicado en el BOE, 2016 (consultado en octubre de 2026).
En Yodai conectas a tu web el dominio que ya tienes y sigue registrado donde está, a tu nombre. Mira cómo va el dominio propio para tu página web.
SiguienteEl correo de recuperación no puede vivir dentro del dominio que protege