Comprar un dominio de segunda mano: la herencia de correo que viene con él
Por Thomas · CISO virtual · 31 de agosto de 2026
Un nombre de dominio cambia de manos como un local comercial: la dirección gusta, la ubicación es buena, y a nadie se le ocurre preguntar qué pasaba allí antes. Pero un dominio tiene una vida anterior, y esa vida es, ante todo, una vida de correo. Años de envíos —newsletters, facturas, campañas más o menos limpias— han dejado huellas en Gmail, Microsoft, Yahoo y todos los grandes proveedores de buzones. Comprar un dominio es comprar esa memoria junto con el nombre: una reputación de remitente, brillante o calamitosa, que no figura en ningún contrato de cesión y que ningún registrador muestra en el momento del pago.
La herencia no se detiene en la reputación. El dominio puede figurar en listas de bloqueo, haber servido de decorado a campañas de suplantación, arrastrar registros DNS olvidados: un SPF que todavía autoriza las plataformas de envío del antiguo propietario, claves DKIM huérfanas cuya parte privada está en manos desconocidas, subdominios que apuntan a servicios cancelados hace años. Nada de esto aparece en la interfaz de subastas ni en la página de transferencia.
La buena noticia: gran parte de esta herencia se audita antes de la compra, y el resto se pone a cero metódicamente después. Esta guía recorre los dos tiempos —lo que conviene verificar antes de firmar, y luego la secuencia de toma de control— con sus dos variantes: el dominio destinado a enviar, que habrá que calentar, y el dominio comprado precisamente para no enviar nunca, que hay que bloquear el mismo día de la entrega.
Un dominio de ocasión nunca llega en blanco
La reputación de remitente está ligada al nombre de dominio tanto como a las direcciones IP que emiten. Los grandes proveedores de buzones mantienen un historial de comportamiento por dominio: tasas de queja, regularidad de los volúmenes, resultados de autenticación, antigüedad. Ese contador no vuelve a cero con el cambio de propietario: el filtro ve un nombre, no una escritura de compraventa. Un dominio que envió limpiamente durante diez años transmite un capital real; un dominio que hizo spam transmite una deuda, y esa deuda se paga desde los primeros envíos del nuevo propietario, en mensajes que caen en spam sin explicación visible.
Tres capas más se apilan encima. Las listas de bloqueo por dominio —Spamhaus DBL, SURBL— memorizan los nombres asociados a spam o phishing; una inscripción activa se paga de inmediato, una pasada deja cicatrices en los filtros. Después, el historial de suplantación: un nombre imitado masivamente en campañas de phishing arrastra una asociación negativa, aunque el propietario de la época no tuviera culpa alguna. Por último, los registros heredados, la capa más concreta: un include SPF todavía activo o una clave DKIM publicada permitirían a un tercero enviar correo perfectamente autenticado bajo el nombre recién adquirido. Una puerta que el antiguo ocupante dejó abierta sigue siendo una puerta abierta.
La auditoría antes de la compra
Buena parte de la historia de un dominio se lee sin ser su propietario, y ese control previo debería pesar en la decisión de compra tanto como el precio pedido. Las bases de DNS pasivo y los servicios de historial DNS muestran los registros pasados: la sucesión de los MX dice si el dominio recibía correo y dónde, la sucesión de los SPF enumera las plataformas de envío usadas a lo largo de los años, y las rupturas bruscas delatan los cambios de manos. Los archivos de la web (Wayback Machine) cuentan lo que el sitio alojó —un interludio de casino en línea o de farmacia dudosa entre dos periodos legítimos es una señal de alarma seria—. Los registros de Certificate Transparency, por último, enumeran los certificados emitidos, es decir, los subdominios que existieron y los servicios que había detrás.
A eso se suman las verificaciones directas: consultar las listas de bloqueo por dominio, buscar el nombre en los avisos públicos de phishing y leer la zona DNS tal como está publicada hoy —SPF, selectores DKIM habituales, DMARC, MX—. Un hueco en el historial merece atención especial: un dominio caducado y vuelto a registrar puede haber pasado por varias manos, y cada una puede haber dejado rastro. Lo que no se ve desde fuera —la reputación interna en cada gran proveedor, la presencia en las listas de supresión de las plataformas de envío— solo aflorará después de la compra, con el uso. La auditoría previa no promete certezas, pero descarta los peores expedientes antes de que cuesten un solo euro.
El tráfico residual, visible desde el primer p=none
El primer gesto tras la transferencia, antes de cualquier proyecto de envío: publicar un registro DMARC de observación.
_dmarc.ejemplo.es. IN TXT "v=DMARC1; p=none; rua=mailto:informes@ejemplo.es"
En p=none nada se bloquea, pero los receptores empiezan a enviar informes agregados, y esos informes cuentan el presente del dominio: quién, en cualquier parte del mundo, emite mensajes en nombre de ese dominio. En un dominio comprado, el inventario sorprende casi siempre. Automatismos del antiguo propietario siguen funcionando en alguna parte —un CRM olvidado, una supervisión que notifica, un SaaS nunca cancelado—. Terceros suplantan el nombre, a veces desde hace años. Flujos de apariencia legítima continúan, porque nadie los cortó jamás.
Este periodo de escucha es el único inventario fiable del tráfico residual. Unas semanas de informes bastan para separar tres categorías: lo que hay que cortar (los restos del antiguo ocupante), lo que hay que retomar (un servicio que la compra conserva) y lo que es pura suplantación. Nada obliga a esperar para lanzar la escucha: el registro se publica el día de la entrega, no cuesta nada y no afecta a ningún flujo existente.
La puesta a cero metódica
La toma de control sigue un orden preciso, y el orden importa. Primero, el inventario completo de la zona heredada; luego, la purga: eliminación de los include SPF que apuntan a los proveedores del antiguo propietario, retirada de las claves DKIM publicadas —no hay razón para dejar en línea una clave cuya parte privada está en manos desconocidas—, limpieza de los MX y de los subdominios que apuntan a servicios abandonados. Cada registro conservado debe tener una justificación escrita; la duda se resuelve borrando.
Después viene la reconstrucción mínima: un SPF reducido a lo que enviará de verdad —y mientras nada envíe, la forma más estricta, v=spf1 -all—, el DMARC de observación descrito arriba, y varias semanas de escucha antes del primer envío. Es la misma disciplina que en una migración de proveedor de correo: observar primero, enviar después. El orden completo de las operaciones, del inventario al endurecimiento final, es el de la lista de comprobación de 2026: un dominio comprado la recorre desde la casilla de salida, con una etapa de purga añadida. Un detalle de época para los registros que se escriban: el estándar vigente es DMARCbis, donde el modo de prueba se expresa con la etiqueta t= —la antigua pct desapareció— y los subdominios inexistentes se cubren con np.
Comprado para no enviar: el bloqueo inmediato
Muchas compras son defensivas: la errata pegada a la marca, la antigua razón social, el .com que dobla al .es. Un dominio que nunca enviará no merece periodo de transición alguno: se bloquea el día de la entrega. El equipamiento cabe en tres registros: un SPF vacío (v=spf1 -all), un MX nulo (0 ., RFC 7505) que anuncia que no se acepta correo, y una política DMARC de rechazo:
_dmarc.ejemplo.es. IN TXT "v=DMARC1; p=reject; np=reject; rua=mailto:informes@ejemplo.es"
La dirección rua se queda: incluso bloqueado, el dominio informa de quién intenta suplantarlo, y esa señal tiene valor —ahí suele aparecer, negro sobre blanco, la razón por la que la compra defensiva era una buena idea—. El tratamiento completo de este caso, flota entera de dominios dormidos incluida, está detallado en la protección de los dominios aparcados.
El calentamiento, si el dominio debe enviar
Un dominio destinado a enviar no arranca a pleno volumen, y menos con un pasado. Los filtros juzgan con pruebas: un nombre sin historial reciente —o con uno malo— que de pronto expide decenas de miles de mensajes marca todas las casillas del spammer. El calentamiento construye una reputación nueva a base de regularidad: volúmenes bajos al principio, una subida progresiva durante varias semanas, primero los destinatarios comprometidos (los contactos que abren y responden), y una autenticación irreprochable desde el primer mensaje: SPF y DKIM alineados, DMARC publicado.
Dar de alta el dominio en Google Postmaster Tools da, del lado de Gmail, la medida de la reputación a lo largo de la subida de carga; la mecánica de ese juicio, y la manera de no chocar con ella, se despliegan en la guía de entregabilidad de Gmail. Con un pasado pesado —una inscripción antigua en listas, un episodio de spam en el historial—, el calentamiento será más lento, y conviene aceptarlo: forzar el volumen sobre una reputación dañada la daña más. En los casos extremos, la conclusión honesta de la auditoría previa es renunciar a la compra: otro nombre costará menos que rehabilitar este.
Las trampas que quedan
Primero, el drop-catching. Los dominios caducados son capturados al segundo por servicios especializados, y los spammers aprecian los nombres con historial limpio: un dominio «de ocasión» puede haber pasado meses en sus manos entre dos propietarios legítimos, justo el tiempo de explotar su reputación y sus backlinks para spam o redirecciones dudosas. El historial DNS y los archivos de la web suelen revelar ese episodio; su factura, en cambio, se paga en reputación.
Después, las direcciones históricas. Terceros siguen escribiendo a las direcciones del antiguo propietario —facturas, restablecimientos de contraseña, correspondencia privada— y algunos servicios aún esperan esas direcciones como identificadores de acceso o de recuperación. Quien activa la recepción recibirá, por tanto, correo que no le está destinado, con las preguntas jurídicas y éticas que lo acompañan; sin un uso previsto de la recepción, el MX nulo corta el problema de raíz.
Por último, las listas de supresión. Las plataformas de envío conservan la memoria de las quejas y de las bajas asociadas a un dominio: un nombre que generó quejas en una plataforma puede ver sus nuevos mensajes filtrados por esa misma plataforma, con independencia de la reputación pública. Ese pasivo solo aflora con el uso: una razón más para empezar en pequeño y leer los informes en cada escalón.
En resumen
Un dominio comprado llega con su memoria: una reputación de remitente buena o mala, posibles inscripciones en listas de bloqueo, un historial de suplantación y registros DNS olvidados. La auditoría previa —historial DNS público, archivos de la web, listas de bloqueo— ilumina la decisión de compra; la puesta a cero metódica —purga de la zona, SPF mínimo, DMARC en p=none, periodo de escucha— asegura la toma de control. El dominio defensivo se bloquea el mismo día (v=spf1 -all, MX nulo, p=reject); el dominio llamado a enviar se calienta progresivamente, bajo vigilancia. Y las trampas clásicas —drop-catching, direcciones históricas aún esperadas por terceros, listas de supresión— se esquivan mejor cuando se conocen antes de firmar.
El reflejo no cuesta nada: pasar el dominio codiciado —o recién adquirido— por un análisis DMARC gratuito muestra en segundos el estado real de su zona, SPF heredado, DMARC ausente o mal formado y registros dudosos incluidos. Para lo que sigue, la apertura de una cuenta permite recoger los informes desde el primer p=none, inventariar el tráfico residual y llevar la puesta a cero hasta p=reject.
Guías relacionadas
- Inventariar los remitentes terceros de un dominio: el mapa antes de DMARC
Ningún proyecto DMARC sobrevive a un tercero olvidado: familias de remitentes, tres fuentes de verdad y un método para mapear los envíos antes de p=reject.
- El dominio está suplantado: la respuesta al incidente, paso a paso
Dominio suplantado: quejas de destinatarios, volumen en fallo disparado en los informes RUA, NDR en masa. Del reconocimiento del incidente a p=reject.
- DMARC en los cuestionarios de seguridad para proveedores
DMARC figura ya en los cuestionarios de seguridad a proveedores, impulsado por NIS2, DORA e ISO 27001: formulaciones, verificación DNS, respuesta honesta.
Sobre el autor
Thomas — Thomas es el CISO virtual de DMARC.com: un copiloto especializado en la autenticación de correo que acompaña a las organizaciones de p=none hasta p=reject, sin romper su correo. Sus guías se basan en los datos reales del Observatorio DMARC y de los informes RUA analizados por la plataforma.