Domain transfer lock explicado: qué es y cómo desactivarlo

clientTransferProhibited bloquea la transferencia de tu dominio. Qué protege, cómo verificar el estado y cómo desactivarlo de forma segura.

El bloqueo de transferencia de dominio es un estado de seguridad que tu registrador activa sobre tu dominio e impide que sea transferido a otro registrador sin una acción explícita de tu parte. En la terminología RDAP y WHOIS aparece como clientTransferProhibited. Existe para proteger contra el robo de dominios y solo debes eliminarlo cuando estés iniciando tú mismo una transferencia legítima. Este artículo cubre el bloqueo en detalle, para el proceso completo de transferencia, consulta cómo transferir un dominio.

¿Qué es clientTransferProhibited?

clientTransferProhibited es un código de estado EPP estandarizado definido en la RFC 5731. Cuando tu registrador establece este estado sobre un dominio, cualquier solicitud de transferencia iniciada en otro registrador es rechazada automáticamente por el registro. Sin importar el código de autorización, sin aprobación del contacto administrativo, la solicitud simplemente no prospera.

Así aparece en una respuesta WHOIS cruda:

Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited

Y en una respuesta RDAP (formato JSON):

{
  "ldhName": "example.com",
  "status": [
    "client transfer prohibited"
  ]
}

La distinción clave: clientTransferProhibited lo establece el registrador y tú puedes eliminarlo a través de la interfaz de tu registrador. Esto lo diferencia de otros estados de protección.

Los diferentes estados de protección de un dominio

Estado	Qué bloquea	Quién puede eliminarlo	Caso de uso típico
clientTransferProhibited	Transferencia a otro registrador	Tú, vía el registrador	Seguridad estándar para todos los dominios
serverTransferProhibited	Transferencia (nivel de registro)	Solo el registro, no el registrador	Dominios en litigio o en período de rescate
clientDeleteProhibited	Eliminación del dominio	Tú, vía el registrador	Dominios premium o críticos para el negocio
clientUpdateProhibited	Modificación de DNS o datos de contacto	Tú, vía el registrador	Dominios donde la estabilidad es crítica

Un dominio puede llevar varios estados simultáneamente. serverTransferProhibited no puedes levantarlo a través de tu registrador, si lo ves, contacta con el registro o el soporte de tu registrador para entender por qué fue establecido.

Por qué existe el bloqueo de transferencia

Antes de que los bloqueos de registrador se generalizaran, el robo de dominios era sorprendentemente sencillo. Un atacante que obtenía un código de autorización válido (mediante phishing, ingeniería social al soporte del registrador, o filtraciones de datos) podía iniciar una transferencia y tomar el control del dominio en cuestión de horas. El titular legítimo no tenía tiempo de reaccionar.

Dos casos hicieron visible el problema: el secuestro de Panix en 2005 (el dominio de este proveedor de internet fue transferido a un registrador australiano sin conocimiento del propietario) y el intento de transferencia de Twitter.com en 2009. El bloqueo de registrador fue diseñado como una fricción deliberada, no hace imposible el robo, pero exige una acción explícita de alguien con acceso a la cuenta, lo que da al verdadero propietario una ventana para detectar y detener la actividad no autorizada.

Por eso tampoco debes desactivar el bloqueo de forma permanente. Solo te cuesta 10 minutos cuando inicias una transferencia legítima.

Cómo verificar si tu dominio está bloqueado

Tres métodos, ordenados por facilidad:

1. El panel de tu registrador. Busca en los ajustes del dominio o de seguridad un interruptor llamado "Transfer Lock" o "Bloqueo de transferencia". Es el método más rápido.

Acens: Panel de control > Dominios > [dominio] > Bloqueo de transferencia
Arsys: Mi cuenta > Dominios > [dominio] > Seguridad > Bloqueo de transferencia
Namecheap: Domain List > Manage > Security > Transfer Lock

2. Consulta WHOIS. Revisa el campo "Domain Status" en la respuesta WHOIS de tu dominio. Si ves clientTransferProhibited, el bloqueo está activo. Puedes usar cualquier herramienta pública de WHOIS o ejecutar whois example.com desde la terminal.

3. Consulta RDAP. RDAP es el sucesor moderno de WHOIS y devuelve JSON estructurado. Ejecuta:

curl https://rdap.org/domain/example.com

Busca "client transfer prohibited" en el array status de la respuesta. Domain Sentinel realiza esta comprobación y la muestra de forma legible, útil si quieres confirmar el estado sin parsear JSON manualmente.

Cómo desactivar el bloqueo de transferencia

Namecheap

Inicia sesión y ve a Domain List.
Haz clic en "Manage" junto al dominio.
Ve a la pestaña "Security".
Cambia "Transfer Lock" a Off.
El cambio es inmediato.

GoDaddy

Inicia sesión, ve a Mis productos > Dominios.
Haz clic en el nombre del dominio y accede a Configuración.
Encuentra "Transfer Lock" y haz clic en "Deshabilitar".
GoDaddy puede mostrar un diálogo de confirmación, acéptalo.
Puede tardar varias horas en reflejarse en WHOIS.

Acens

Accede al panel de control.
Dominios > [dominio] > Bloqueo de transferencia.
Desactivar. El cambio suele ser inmediato.

Cloudflare Registrar

Cloudflare no usa un interruptor de bloqueo tradicional. Las transferencias desde Cloudflare requieren ir a la sección Registrar del panel, seleccionar el dominio e iniciar una "Authorization to Transfer". Cloudflare genera entonces el código de autorización y marca el dominio para transferencia saliente. No hay un paso separado de "desactivar bloqueo", el flujo de autorización lo gestiona.

Cuándo levantar el bloqueo: y cuándo no

Levanta el bloqueo si	No levantes el bloqueo si
Estás iniciando una transferencia a un registrador que tú controlas	Recibiste un correo no solicitado pidiéndote que lo desactives
La solicitud de transferencia viene exclusivamente de ti	Alguien que dice ser "soporte técnico" te llamó para pedirte que lo hagas
Has verificado que el registrador de destino es legítimo	No estás iniciando tú mismo una transferencia en ese momento

El patrón de ingeniería social es consistente: los atacantes crean urgencia ("tu dominio está a punto de vencer", "necesitamos migrar tu cuenta") y piden al titular que elimine el bloqueo o comparta el código de autorización. Nunca actúes sobre estas peticiones sin verificar directamente a través de la página de inicio de sesión oficial de tu registrador.

Tras la transferencia: reactivar el bloqueo

Una vez completada la transferencia y el dominio estabilizado en el nuevo registrador, vuelve a activar el bloqueo de transferencia. Lleva 2 minutos y te protege de los mismos vectores de ataque en el nuevo registrador.

Algunos registradores reactivabn el bloqueo automáticamente 60 días después de una transferencia (reflejando la regla de los 60 días de la ICANN). Otros lo dejan desactivado indefinidamente. No asumas que fue reactivado, verifícalo en tu panel. Confirma el estado final con una consulta RDAP o a través de Domain Sentinel para asegurarte de que clientTransferProhibited vuelve a estar activo.