Cómo registrar un dominio de forma anónima

Cuatro fugas deciden si un dominio apunta a ti: el KYC del registrador, la vía de pago, el registro WHOIS y la dirección de contacto. Ciérralas todas y aloja desde $4.80/mes.

La privacidad WHOIS no es privacidad: el modelo de las cuatro fugas

La receta popular —añade privacidad WHOIS y listo— fracasa porque un registro se filtra por cuatro vías, y la bandera de privacidad tapa solo una. Las cuatro: las exigencias de identidad del propio registrador, el instrumento de pago, el registro público en sí y la dirección de contacto asociada al dominio. Una sola fuga reidentifica las otras tres, y por eso un dominio con escudo de privacidad y pago con tarjeta es anónimo exactamente en el sentido que menos importa.

Merece la pena interiorizar el modelo porque cada fuga tiene un dueño distinto. El registrador controla lo que te exige; la red de pago controla lo que dice la transacción; el registro publica lo que las normas requieren; y tu propio buzón guarda el rastro de renovaciones y avisos. Cuatro custodios separados, cuatro cierres separados, y el dominio es exactamente tan privado como el más débil de ellos — no hay promedios, no hay crédito parcial y no hay descuento por buenas intenciones.

El modelo también explica el factor tiempo: cerrar las fugas en el momento del registro es barato, y cerrarlas cuando el registro ya tiene historial es caro, porque el historial es justo lo que los observadores cruzan entre sí. Un dominio pasado a privacidad hoy sigue arrastrando cinco años de instantáneas públicas en archivos, volcados de zone files y registros de certificados. Los cierres cuestan una tarde el primer día y un juicio judicial en el día mil — elige la tarde.

Los cierres, en orden: un registrador cuyo modelo jamás recopila datos de identidad resuelve la primera; un pago en cripto desde una cartera que controlas resuelve la segunda; el registro por proxy o la privacidad total resuelve la tercera; y un alias creado a propósito resuelve la cuarta. El registro ahora es RDAP en lugar del WHOIS en bruto — cambió el protocolo, no la lógica de exposición, y la RFC 7482 define las consultas que cualquiera puede lanzar hoy contra tu dominio, incluida la búsqueda /domain/example.com que devuelve registrador, fechas y estado en JSON.

La escala de la exposición, para ponerla en concreto: una respuesta RDAP llega en menos de un segundo para cualquier gTLD — registrador, fecha de creación, caducidad, códigos de estado y las secciones de contacto, censuradas o no. Lanza una consulta contra tus dominios actuales y cuenta los campos que preferirías no publicar; esa cuenta es la lista de tareas de esta guía, y hacer 3 de los 4 cierres deja que el cuarto cargue con todo el peso.

Modelos de registrador: registro por proxy frente a bandera de privacidad

Dos arquitecturas de registrador dominan la conversación sobre privacidad, y se diferencian en quién es el dueño del dominio — una pregunta que casi ningún comprador se plantea. Los registradores convencionales ponen el registro a tu nombre y lo ocultan tras un servicio de privacidad; los registradores proxy ponen el registro a su propio nombre y te ceden el uso. El registro público queda igual de limpio en ambos casos; la cuestión de custodia que hay debajo, no, y es la que decide los resultados.

La fortaleza del modelo proxy: el propio registrador nunca sabe quién eres, así que no existe ninguna base de datos con tus datos que puedan exigir, vulnerar o usar mal — Njalla es el ejemplo conocido, acepta XMR y BTC mientras mantiene el registro en tu nombre. La fortaleza del modelo convencional: tú eres el titular registrado, con la posición legal que eso implica, y el servicio de privacidad es una capa que puedes retirar. Una bandera de privacidad en un registrador convencional borra el campo público y conserva el archivo del registrador — una diferencia que importa precisamente cuando más importa.

Los registros y el RGPD complican el mapa: muchos ccTLD europeos censuran los datos del titular a nivel de registro, así que el registro público es escaso haya o no bandera de privacidad. Escaso no es ausente — el registrador y el registro siguen conservando lo que conservan, y las normas de cada ccTLD varían por país. Los gTLD siguen el modelo RDAP de la sección anterior: los campos existen, la censura varía, y el servicio de privacy decide la diferencia; clientTransferProhibited y sus códigos de estado hermanos te cuentan el resto de la historia operativa.

Las advertencias prácticas cortan en ambos sentidos: los departamentos de abuso y los procesos de transferencia hacen preguntas más duras que el registro público, así que planifica el día en que debas demostrar la propiedad — bajo los modelos proxy eso es una relación de soporte en lugar de un documento, y conviene probar la vía de recuperación antes de que una emergencia la pruebe por ti. Sea cual sea el modelo, mantén viva la relación con el registrador: inicia sesión cada trimestre, confirma que el alias de contacto sigue reenviando y lee los avisos.

Dónde se rompe: mezclar modelos a mitad de vida. Un dominio comprado a tu nombre hace 5 años no se vuelve privado por activar una bandera hoy — el historial en archivos y volcados de zone files es anterior a la activación. Elige el modelo deliberadamente en el registro; si el dominio es anterior al plan, trata su historial como público y decide si importa para la carga de trabajo. Decidida la custodia, toca la vía de pago, y esta se filtra de una forma que ningún ajuste del registrador puede arreglar.

La vía de pago sobrevive al dominio

Los dominios se alquilan, los pagos son para siempre: una línea de extracto por un cargo de registrador queda en tus registros financieros mucho después de que el dominio haya caducado y caído en el olvido. De las cuatro fugas, el pago es la única cuyo registro no controlas, no puedes censurar ni puedes borrar — lo que la convierte en la primera que hay que diseñar alrededor, y en la que casi todo el mundo deja para el final.

El cierre es la misma disciplina que usa el pago del hosting: paga en Monero o BTC desde una cartera de autocustodia, así ni un extracto bancario, ni un procesador, ni un registro del comercio vinculan una identidad legal a la compra. Monero oculta por completo el lado del envío; Bitcoin es público pero rompe el vínculo con tu nombre cuando la cartera no es tuya sobre el papel. El pago con tarjeta hace justo lo contrario, y de forma permanente — es el único cierre que no puedes corregir a posteriori, a ningún precio.

Las renovaciones heredan la vía: la renovación automática cobra de la misma fuente en cada ciclo, así que una sola renovación pagada con tarjeta vuelve a atar el nombre años después de un registro en cripto meticuloso. Configura la renovación para que cobre del saldo en cripto guardado y programa en el calendario una comprobación manual — un hábito de dos minutos que mantiene el registro financiero tan silencioso como fue el registro, ciclo tras ciclo, sin aniversarios que nadie pueda citar judicialmente.

Ejecuta el hosting por la misma vía que usó el dominio: coge VPSbit Core a $6/mes de tarifa — $4.80 con cómputo anual — págalo en la moneda con la que registraste, y toda la cadena del nombre al servidor comparte una sola identidad de pago en lugar de dos. Las vías mixtas — dominio privado, servidor pagado con tarjeta — reintroducen exactamente la unión que esta guía existe para romper, y lo hacen en silencio, en la capa que nadie vuelve a revisar.

Dónde se rompe: las recargas por comodidad. Una cartera que se agota a mitad de registro se rellena con lo más rápido a mano, y la fuente más rápida suele ser una cuenta de exchange a tu nombre — la retirada encadena entonces tu identidad a la cartera que pagó al registrador. Financia antes de empezar, guarda un margen de un 10% sobre la cifra, y la fuga de pago sigue cerrada durante toda la vida del dominio; la siguiente es la fuga que nadie planifica, la dirección de contacto.

La dirección de contacto es la fuga que nadie planifica

Registradores, hostings, herramientas de analítica y listas de correo piden todos un email, y la dirección de contacto del dominio se convierte sin hacer ruido en la llave maestra de las otras tres fugas: un alias reutilizado en dos servicios las correlaciona para siempre. La cuarta fuga es totalmente autoinfligida, lo que la hace totalmente reparable — y totalmente común, porque la reparación es una disciplina, no una compra.

El cierre es un alias que no se usa para nada más: creado en el registro, usado en el registrador, el hosting, el proveedor de DNS y en ningún otro sitio. El aliasing moderno — dominios catch-all, servicios de reenvío, direcciones por servicio — reduce el coste casi a cero. Lo que importa es la disciplina: el alias nunca se cruza con el correo diario, nunca aparece en un currículum, nunca se suscribe a un boletín — la correlación es producto de la reutilización, no de la dirección en sí, y reutilizar es una decisión que tomas en cada registro, uno a uno.

El nombre ayuda más de lo que debería: un alias que parece un buzón de proyecto (reg-dom-2026@) sobrevive años de descuido sin invitar respuestas a tu nombre, mientras que un alias con tu nombre derrota su propio propósito. Trata la dirección como infraestructura operativa — neutra, documentada en tus propias notas, sustituible — y no como una identidad, y el alias pasará a ser una credencial más en la rotación en lugar de un hilo más del que tirar.

El correo de renovación es la razón por la que hay que vigilar el alias: avisos, alertas de caducidad y confirmaciones de transferencia llegan todos ahí, y un alias desatendido es como mueren los dominios privados — la sección de renovaciones cubre en detalle el desenlace del drop-catch. Mantén el alias reenviando a un buzón que leas de verdad, guarda un segundo recordatorio en el calendario y no en el correo, y prefiere el reenvío autoalojado en una máquina que controlas, porque los servicios gratuitos de reenvío pueden cerrar y el tuyo nadie más puede revocarlo.

Dónde se rompe: el autoresponder. Una dirección de contacto que responde diciendo que estás de vacaciones y ofrece una dirección real entrega en una línea lo que tres secciones de esta guía han protegido. Desactiva las respuestas automáticas en los buzones de alias y audita cada año qué servicios conocen el alias — la lista debería ser lo bastante corta para memorizarla. Registrador y DNS vienen a continuación; el buzón, bien hecho, queda cerrado.

DNS: nameservers de terceros frente a tu propia máquina

DNS es la más silenciosa de las cuatro fugas y la que la gente externaliza sin pensarlo: cada relación con un nameserver de terceros es otra cuenta con tu identidad, otro depósito de datos de zona, otra base de datos que pueden exigir o vulnerar. La zona en sí es pública por diseño — la cuestión es quién la custodia, y qué más sabe ese custodio sobre la persona que le paga.

Tres arquitecturas, en orden creciente de control: el DNS gratuito del registrador, un servicio de DNS de terceros, y tu propio servidor autoritativo en una pequeña porción anual. El DNS del registrador mantiene toda la custodia en una sola cadena pero acopla la disponibilidad del dominio al registrador; un servicio de terceros añade resiliencia y una cuenta más; tu propia máquina no responde ante la base de datos de cuentas de nadie. Reparte los papeles si prefieres no gestionarlo todo: DNS neutral al registrador con una cuenta anónima para la disponibilidad, tu propia máquina para los registros que rotas, y el alias de la sección anterior en cada una de esas cuentas.

Montar tu propio DNS autoritativo es un proyecto de media jornada: instala el servidor, publica la zona con los registros A/AAAA, entrega dos glue records al registrador y observa la propagación. La RFC de conceptos de DNS explica la delegación; Knot DNS — knot-dns.cz — o NSD convierten la configuración en una página en lugar de un capítulo, con /etc/nsd/nsd.conf como toda la superficie a tocar en el caso de NSD. Delega al menos 2 nameservers: el protocolo lo espera y los registradores lo exigen.

Las esperas de propagación son el único paso lento — reserva una hora para los cambios de delegación y prueba con un resolvedor que no operes tú, porque tus propias respuestas cacheadas mienten con educación. Confirma la delegación desde fuera: consulta los registros NS en un resolvedor público, consulta luego directamente esos nameservers, y solo da la migración por terminada cuando el camino de un desconocido a través del DNS llegue a tu máquina sin tocar al antiguo custodio.

Dónde se rompe: los puntos únicos de ausencia. Una configuración autoritativa de una sola máquina cae con la máquina, así que empárela — dos porciones en dos ubicaciones, o una autoalojada más una de terceros como secundaria — y la zona sobrevive a cualquier fallo. La disponibilidad del DNS es todo el juego aquí: un dominio privado que no resuelve es una nada privada, y los registros de correo son lo siguiente que esa historia tiene que contar.

El correo en el objetivo: SPF, DKIM y DMARC sin revelar tu marca

En el momento en que un dominio privado envía correo, empieza a generar evidencia, y casi toda es hostil: los dominios nuevos no tienen reputación de remitente, y los proveedores de bandeja de entrada tratan el anonimato como sinónimo de spam hasta que se demuestre lo contrario. Publicar SPF, DKIM y DMARC no es opcional — es la diferencia entre no probado y falsificado, que es como los filtros leen la misma cabecera con y sin esos registros.

Los registros, en breve: SPF nombra las IP autorizadas a enviar en nombre del dominio, DKIM firma el correo con una clave publicada en registros TXT, y DMARC dice a los receptores qué hacer cuando los dos primeros discrepan. Los tres son públicos; ninguno te identifica a ti — identifican al correo. Empieza con p=none e informes rua, observa una semana de informes agregados, y después endurece la política a medida que llegan los datos y los fallos se delatan solos.

La rotación es la parte que las guías se saltan: las claves DKIM merecen el mismo trato que las claves SSH — de 2048 bits o Ed25519, rotadas unas cuantas veces al año y con los selectores antiguos conservados para verificación. Los selectores son públicos por diseño; la mitad privada vive en el host emisor y en ningún otro sitio, lo que acopla en silencio esta sección a la disciplina de primer inicio de sesión de la guía del área de operaciones — un host que filtra sus claves filtra con ellas su identidad de correo.

La entregabilidad se apoya en la historia del rDNS: IP de envío con un PTR que coincida con su nombre HELO, una IP estática y volumen templado. Un dominio que arranca enviando sus primeras mil direcciones caerá en spam sin importar los registros; uno que acumula consentimiento y volumen a lo largo de semanas asciende sin trucos. Los registros te hacen legible; solo el comportamiento te hace confiable, y ningún registro sustituye a la segunda parte.

Dónde se rompe: el correo en frío. Volumen no solicitado desde un dominio anónimo es la vía más rápida tanto a las listas de spam como a un informe de abuso, y el segundo llega a las instalaciones bajo su ley — la política de uso aceptable prohíbe el spam en términos que no se doblan por entusiasmo. Si el plan de crecimiento del proyecto exige prospección en frío, el plan de privacidad del dominio necesita un segundo dominio para ello, no el mismo; reserva el nombre privado para la infraestructura y deja que los registros hagan su tranquilo trabajo.

Calendarios de renovación: cómo mueren de verdad los dominios privados

Los dominios privados casi nunca mueren por un compromiso de seguridad; mueren por los calendarios. El alias deja de vigilarse, la renovación falla en silencio o tiene éxito en silencio sobre una fuente de pago muerta, y el nombre cae en el mercado del drop-catch — donde un nuevo propietario compra su historial entero: backlinks, reputación de correo y todo lo que los archivos públicos recuerden. Un dominio privado caducado es uno desanonimizado y con lector, y el lector no hizo más que esperar.

El historial es el activo que compra el drop-catcher: años de reputación de correo, enlaces entrantes, registros de certificate-transparency que nombran subdominios y archivos de cada página que existió. Los registros de certificados merecen mención aparte — cada emisión TLS es pública para siempre, así que los subdominios que consideraste privados hace años siguen siendo enumerables, y los visores de registros tipo crt.sh reducen la búsqueda a una sola casilla. La privacidad en el registro no borra retroactivamente el historial; solo impide que el historial siga creciendo.

La mecánica tiene una forma: caducidad, luego un periodo de gracia del registrador, luego un periodo de redención de unos 30 días con una tasa de recuperación, y después la liberación al mercado del drop-catch, donde esperan pujadores automatizados. Cada etapa es recuperable hasta la última, a precios que se disparan; tras la liberación, la recuperación es una compra a desconocidos al precio que dicte el mercado. La política de los gTLD fija los huesos de ese calendario; los registradores lo decoran con correos de recordatorio a la dirección del archivo — el alias, si seguiste la cuarta sección.

El cierre es aburrido y mecánico: renovación automática financiada del saldo en cripto guardado, más recordatorios de calendario a 30 y 7 días que no dependan del correo, más una auditoría anual de que el alias sigue reenviando. El registro plurianual estrecha aún más la ventana — un plazo de 5 años convierte un modo de fallo anual en uno quinquenal, al precio de más capital en custodia de un solo registrador. Sopesa ambos lados; no hay lado gratis en ese intercambio.

Dónde se rompe: el lado del pago de la renovación automática. Una tarjeta caducada, una cuenta de exchange cerrada, una cartera barrida — las renovaciones fallan en silencio justo cuando nadie mira. Empareja la renovación automática con el saldo en cripto y el par de recordatorios de calendario, y la muerte del dominio pasará a ser una decisión y no un accidente; con el dominio vivo, la última sección pone el servidor debajo.

Un hosting a la altura de la disciplina

La misma lógica de datos mínimos que compró el dominio debería gobernar la máquina que hay detrás, porque el hosting es la fuga hermana del registrador: un hosting cargado de KYC reatacha con un solo registro todo lo que el registro por proxy quitó. El hosting es donde el modelo de las cuatro fugas se audita en la práctica — el registro dice una cosa, y la custodia de la máquina dice si es verdad.

La propiedad se asoma por rincones raros: de qué nameservers responden, qué PTR cuenta la historia del correo, de qué cuenta cuelgan las renovaciones TLS. Cada uno es una pequeña cuestión de custodia con respuesta binaria — tuya o de otro — y la auditoría lleva diez minutos. Hazla contra el dominio en producción, no contra el plan: los valores por defecto se acumulan, y cada uno es una fuga con fecha, discretamente más vieja que el último post de seguridad que leíste.

La lista de auditoría es corta: un registro que pide un token o un email más una contraseña de 12 caracteres y nada más; un pago cripto puro con diecinueve monedas; facturación retenida, payload no; rDNS editable desde el panel para que la historia del correo de arriba siga siendo tuya que contar. Luego el mapa físico: doce ubicaciones de Reikiavik a Taipéi, cada una con su tier publicado, su uplink y su ley aplicable — la decisión de jurisdicción que el dominio no toma por ti, y la página de ubicaciones lista las doce.

Apunta el registro a una porción Core: VPSbit Core a $6/mes de tarifa, $4.80 con cómputo anual, pagado en la moneda con la que se registró el dominio, así nombre y servidor comparten una sola custodia de pago — abre deploy y la factura que sigue es la misma disciplina que acabas de leer. Si la carga de trabajo crece hacia correo, bases de datos o metal, el mismo pago tasa Forge a $49 de tarifa ($39.20 con cómputo anual) bajo las mismas reglas, con IPMI donde el acceso fuera de banda pasa a ser el requisito.

Dónde se rompe: el DNS en el registrador por defecto. La máquina sale con NS y PTR editables de cualquier forma, pero el camino por defecto — zona en el registrador — significa que el tiempo de caída del registrador es tu tiempo de caída y que los registros del registrador son una base de datos más pegada a la identidad. Mueve la zona o divídela como describía la sección anterior, y la cadena de custodia queda cerrada de extremo a extremo; la mitad de la cuenta ya la cubre el propio registro — token o email, factura solo en cripto, nada más recopilado.

El dominio anónimo, en el orden en que hay que montarlo

Orden de operaciones, primero el registrador: elige el modelo — registro por proxy o convencional con privacidad —, crea el alias que no tocará nada más y registra desde una cartera de autocustodia, Monero o BTC, con margen sobre la cifra. El registro ahora dice lo que querías que dijera, y el calendario guarda la fecha de caducidad dos veces: una en el panel, otra donde de verdad la verás.

DNS segundo: decide la custodia de la zona — registrador, servicio neutral o tu propio par autoritativo — y delega al menos dos nameservers. Pon los registros A/AAAA para los nombres que el dominio necesite de verdad, publica SPF, DKIM y DMARC si el correo entra en el objetivo, y deja todos los demás campos vacíos hasta que algo real los exija. El vacío es una característica en esta capa; cada registro es una frase pública sobre cómo trabajas.

Hosting tercero: la máquina bajo el dominio lleva la misma cuenta de datos mínimos — token o email, factura solo en cripto — en la ubicación cuya ley encaje con la carga de trabajo, con los sitios premium con su precio correspondiente y las demás banderas en base. Edita el PTR desde el panel para que la historia inversa coincida con la directa, y deja que la propagación termine mientras observas con dig desde un resolvedor que no operes tú, porque tu propia caché miente con educación.

Cuarto, el correo y el calendario: el alias reenviando a un buzón que leas, los informes DMARC hacia el alias, recordatorios a 30 y 7 días independientes del correo, renovación automática cobrando del saldo en cripto. Quinto, la auditoría: lanza una consulta RDAP contra el dominio terminado, lee lo que lee un desconocido y arregla lo que te sorprenda — la auditoría es el único paso que nunca deja de ser útil, porque los valores por defecto vuelven a colarse.

Ejecutado en ese orden — registrador, DNS, hosting, correo, auditoría —, las cuatro fugas quedan cerradas sin heroísmos, y el dominio pasa a ser lo que siempre debió ser: un nombre en internet sin el nombre de nadie dentro. La lista de comprobación cabe en una ficha; la disciplina es recordar que el día de renovación forma parte de la configuración, no una ocurrencia tardía que aparece un año después con la puja de un desconocido sobre tu historial.