Registry lock o registrar lock: qué bloqueo activar en un dominio

Un dominio se puede bloquear en tres niveles. El transfer lock lo pone tu registrador a petición tuya y solo impide una transferencia saliente. El registrar lock, en sentido amplio, añade el mismo interruptor para las modificaciones y el borrado; los tres los quita con un clic cualquiera que tenga acceso a tu cuenta del registrador. El registry lock lo pone el propio registro, por encima del registrador, y quitarlo exige un procedimiento manual con una persona al teléfono. La regla que sale de ahí: transfer lock en todos los dominios que posees, registry lock en los pocos dominios cuya pérdida pararía el negocio. El resto de este artículo es la tabla comparativa, cómo se lee cada bloqueo en RDAP y cuál encaja con qué dominio.

Tres bloqueos, tres niveles

Bloqueo	Quién lo pone	Estados EPP	Qué impide	Cómo se quita	Coste
Transfer lock	El registrador, a petición del titular	clientTransferProhibited	Una transferencia saliente a otro registrador	Un clic en la cuenta del registrador	Gratis, casi siempre activo por defecto
Registrar lock	El registrador, a petición del titular	clientTransferProhibited, clientUpdateProhibited, clientDeleteProhibited	Transferencia, cambio de contactos o de nameservers, borrado	Un clic en la cuenta del registrador, o un ticket al soporte	Gratis
Registry lock	El registro, a través de un registrador que lo ofrece	serverTransferProhibited, serverUpdateProhibited, serverDeleteProhibited	Las mismas operaciones, rechazadas por el registro aunque el registrador las pida	Verificación fuera de línea con contactos designados, y después un plazo de uno a tres días	De pago anual, por dominio

El prefijo indica el nivel: los estados client los gestiona el registrador, los estados server el registro. La lista completa está en la guía de códigos de estado de un dominio.

El bloqueo del registrador protege de los errores, no de una cuenta robada

Los estados client* viven en tu cuenta del registrador, y quien controla esa cuenta controla los bloqueos. Eso te incluye a ti en una tarde de despiste, a un compañero con credenciales compartidas y a un atacante que ha robado la contraseña con phishing o la ha restablecido a través del correo del titular. En todos los secuestros de dominio documentados de la última década, el bloqueo del registrador estaba desactivado o lo desactivó el atacante segundos antes de la transferencia.

Aun así, merece la pena activarlo en todas partes, porque evita la transferencia accidental y el incidente de «no sabía que ese botón hacía eso», y es gratis. Tiene que ir acompañado de autenticación en dos pasos en la cuenta del registrador y en la dirección de correo que el registro guarda para el titular, porque ahí llegan los restablecimientos de contraseña y las aprobaciones de transferencia. La guía del bloqueo de transferencia de dominio explica cómo comprobarlo y desactivarlo cuando de verdad quieres mover el dominio.

El registry lock: el propio registro rechaza el cambio

Con un registry lock, los estados server* los pone el registro (Verisign para .com y .net, AFNIC para .fr, Nominet para .uk, EURid para .eu) y tu registrador no puede quitarlos por su cuenta. Para cambiar los nameservers o transferir el dominio, se lo pides a tu registrador, el registrador contacta con el registro, y el registro verifica la petición por otra vía: una llamada a un contacto designado, una frase secreta, a veces un formulario firmado. El bloqueo se retira, se hace el cambio, el bloqueo vuelve. Cuenta con uno a tres días.

Esa fricción es la función. Una cuenta del registrador comprometida no puede mover el dominio, una llamada de ingeniería social al soporte del registrador tampoco, y un error interno en el registrador lo frena el registro. El Registry Lock de Verisign para .com y .net se vende a través de los registradores que lo distribuyen (registradores corporativos como MarkMonitor o CSC, la oferta corporativa de GoDaddy, el Custom Domain Protection de Cloudflare en su plan Enterprise), AFNIC vende el .fr Lock, y Nominet y EURid tienen equivalentes. Pregunta a tu registrador si lo ofrece; muchos registradores minoristas no lo tienen. Se factura al año por dominio, con precios pensados para los dominios que importan.

Lo que no cubre: los registros de tu zona DNS en tu proveedor de DNS, objetivo de la mayoría de los secuestros de DNS; la fecha de caducidad, porque un dominio bloqueado caduca igual; y la cuenta de correo del titular, que sigue siendo el eslabón débil.

Lo que no es el bloqueo de 60 días

Tras un registro, una transferencia o un cambio de titular, las normas de ICANN impiden las transferencias salientes durante 60 días. Es una política, no una protección que tú eliges, y no aparece como estado en RDAP. Está explicada en la guía de la regla de los 60 días. No la confundas con un bloqueo del registrador: cuando termina, nada la sustituye.

Leer los bloqueos en RDAP

Una respuesta RDAP lista los estados del dominio en un array status. Un lookup sobre un dominio con registrar lock y registry lock muestra algo así:

"status": [
  "client transfer prohibited",
  "client update prohibited",
  "client delete prohibited",
  "server transfer prohibited",
  "server update prohibited",
  "server delete prohibited"
]

Lee el prefijo: client significa que lo puso el registrador, server que lo puso el registro. Tres client* y ningún server* es el estado normal de un dominio bien configurado sin registry lock. Una salvedad: un estado server* no siempre es un registry lock. Un serverHold o un serverUpdateProhibited solo puede venir de una disputa, una orden judicial o una acción de cumplimiento del registro, y en ese caso el dominio no está protegido, está congelado. La diferencia entre registro, registrador y titular explica quién puede actuar en cada nivel.

Qué bloqueo para qué dominio

Dominio	Bloqueos a activar
Proyecto personal, dominio secundario o defensivo	Transfer lock y autenticación en dos pasos en la cuenta del registrador
El dominio principal de una empresa (web, correo, API)	Los tres bloqueos client*, más un registry lock si el registrador lo ofrece
Cartera de marca	Registry lock en los uno a cinco dominios que sostienen el negocio, bloqueos client* en el resto

La decisión depende de lo que cuesta perder el dominio durante tres días, no del precio del bloqueo. Si un dominio secuestrado significa correo caído, clientes víctimas de phishing y una semana de recuperación, el registry lock es barato.

Comprobar que los bloqueos siguen puestos

Un bloqueo solo sirve mientras está activo. Pon los dominios críticos en una watchlist: cada uno se comprueba a diario contra el registro, y un cambio de estado dispara un correo en la siguiente comprobación. Un clientTransferProhibited que desaparece sin que hayas hecho nada es la señal a la que hay que reaccionar de inmediato, porque suele preceder a una solicitud de transferencia. La comprobación es diaria, no en tiempo real, y observa en lugar de bloquear; bloquear es el trabajo del bloqueo. La página de protección de marca muestra cómo encaja con el resto de la vigilancia.

Qué hacer hoy

Haz un lookup de tus dominios principales y lee su array status. Activa los tres bloqueos client* en tu registrador donde estén apagados, y la autenticación en dos pasos en la cuenta y en el correo del titular. Para los dominios sin los que no podrías trabajar, pide a tu registrador un registry lock. Después vigila los estados, para que un bloqueo que se cae sea algo que descubres por un correo y no por un cliente.