Resumen

  • En los contratos de ICANN, validar significa revisar el formato; verificar significa obtener una respuesta afirmativa de un punto de contacto. Ninguna operación autentica por sí sola la identidad jurídica ni decide derechos sobre el dominio.
  • Un análisis fiable separa cuatro preguntas: si el registro es utilizable, si el contacto responde, quién puede operar la cuenta y quién tiene autoridad jurídica. Cada capa requiere pruebas, decisores y remedios distintos.

La palabra «verificado» promete más de lo que entrega

Un registro RDAP o Whois parece una certificación porque está estructurado, fechado y servido por sistemas capaces de modificar el estado operativo del dominio. De ahí nace una inferencia tentadora: si se verificó el correo del titular, la persona nombrada fue identificada y el registro acredita propiedad.

Los instrumentos de ICANN no dicen eso. La forma vigente del Acuerdo de Acreditación de Registradores mantiene la RDDS Accuracy Program Specification. Ante un alta, una transferencia entrante o un cambio de titular, el registrador debe comprobar dentro de los plazos contractuales que los campos exigidos están presentes y tienen el formato adecuado. La sintaxis del correo, el teléfono y la dirección postal se examina con reglas concretas.

En otro paso, el registrador contacta al titular del nombre registrado o al titular de la cuenta y exige una respuesta afirmativa. Si no llega, debe recurrir a verificación manual o, en los supuestos previstos, suspender el registro hasta completarla.

La aclaración de ICANN de 2015 marca el límite. «Validación» es la conformidad del formato con una norma. «Verificación» es contactar un punto de contacto y recibir una respuesta. Un problema puramente formal puede corregirse sin volver a contactar al titular. Son procedimientos contractuales, no un sistema general de identidad.

De ahí surgen dos capas:

  1. Validez del campo. ¿La dirección o el número cumplen la estructura exigida? Un resultado positivo permite procesar el dato, pero no prueba que el canal exista ni que pertenezca al nombre declarado.
  2. Contactabilidad. ¿Respondió alguien que controla ese correo o teléfono? La respuesta enlaza un canal activo con el proceso en ese momento. No descarta un testaferro, una cuenta compartida, una credencial robada o una identidad falsa.

El control de la cuenta es una tercera cuestión

Los accesos, eventos de autenticación multifactor, pagos, autorizaciones de transferencia, historial de cambios y conversaciones de soporte pueden mostrar quién daba instrucciones al registrador. En un secuestro de dominio, esos datos quizá expliquen más que la ficha pública.

Pero poder operar no equivale a tener derecho. Un exempleado puede conservar credenciales; un agente puede gestionar el dominio sin ser dueño del interés empresarial; un atacante puede tomar la cuenta durante unas horas; un servicio de privacidad puede figurar públicamente mientras conserva aparte los datos de su cliente. La evidencia de control explica el mecanismo de una operación, no decide automáticamente quién debe quedarse con el nombre.

La Registration Data Policy, obligatoria desde el 21 de agosto de 2025, mantiene esa frontera. Regula la recogida, transferencia, depósito, publicación, ocultación, divulgación y conservación de datos. Trata expresamente el campo de organización del titular y las solicitudes lícitas de divulgación. Hace más trazable el ciclo de los datos, pero no convierte a ICANN, al registro o al registrador en tribunal de propiedad beneficiaria, mandato societario, sucesión, fraude o título contractual.

La identidad jurídica pertenece a un cuarto foro

La pregunta sobre quién tiene el mejor derecho puede depender de documentos mercantiles, poderes, contratos laborales, compraventas, resoluciones judiciales, laudos, sucesiones o pruebas de fraude. A menudo exige contradicción y capacidad de obligar a producir documentos. Una respuesta a un correo no fue diseñada para eso.

Contractual Compliance de ICANN sí puede revisar si un registrador cumplió el acuerdo, investigó una denuncia de inexactitud y aplicó correcciones o suspensiones. En una decisión del Board de marzo de 2026, el expediente público relata que Compliance investigó una denuncia y concluyó que el registrador había suspendido el dominio conforme al acuerdo y a la especificación de exactitud. Esa conclusión acredita un proceso contractual. No declara propietario a quien respondió, denunció o aparecía en el registro.

Los remedios deben seguir a la capa. Un campo mal formado se corrige. Un canal sin respuesta se vuelve a verificar; si la política lo exige, se suspende el dominio. Una cuenta comprometida exige contención, recuperación y conservación de logs. Una disputa jurídica va al mecanismo, tribunal o autoridad competente. Confundirlos puede transferir el dominio a la persona equivocada o borrar las pruebas que el foro correcto necesitará.

Qué significan las cifras del informe de 2023

El informe de auditoría agrega revisiones de 2016 a 2022: 80 registradores que representaban unos 127,8 millones de dominios. Halló diez registradores sin proceso de validación de contactos, seis con métodos deficientes, cuatro con conservación deficiente y uno con un proceso de verificación deficiente.

No es lícito convertir esos datos en un porcentaje de dominios con falso propietario. La auditoría examinó controles de registradores y mostró el volumen de dominios representado por cada grupo; no adjudicó la identidad beneficiaria detrás de cada registro. La lectura prudente es que el diseño del proceso, la retención de evidencias y la capacidad de demostrar la verificación son riesgos de gobernanza que pueden alcanzar gran escala.

El debate político reconoce el mismo límite. La evaluación de ICANN de 2023 advirtió que los escenarios propuestos no aportarían datos sobre verificación de identidad ni sobre si la información pertenecía realmente al sujeto. En 2025, el Accuracy Small Team del Consejo de la GNSO recomendó estudiar el proceso existente y sus efectos.

Citó una investigación que asociaba las comprobaciones tempranas con menos registros maliciosos, pero no la presentó como prueba de identidad. En marzo de 2026 el Consejo seguía trabajando en material informativo; un participante recalcó que una guía no impide que un actor malicioso introduzca basura y después abuse del DNS.

Un libro de evidencias con cuatro columnas

Cada actuación relevante debería registrar por separado el formato comprobado, el canal desafiado, la evidencia de control de cuenta y el instrumento jurídico que autoriza a actuar. Las columnas pueden reforzarse, pero no sustituirse. Un buzón que responde prueba que el canal respondió; no es un título de propiedad.

Fuentes