Resumen

  • El grupo de trabajo de ICANN propone que un registrador revise dominios asociados cuando tenga pruebas accionables de que un nombre patrocinado por él se utiliza para una forma definida de abuso del DNS. La propuesta exige investigar, no sancionar automáticamente todos los nombres relacionados.
  • Cuarenta y dos aportaciones públicas generaron 533 respuestas clasificadas, de las cuales cerca del 85% respaldó alguna parte de las trece recomendaciones e instrucciones. Esas respuestas alimentan la siguiente fase; no son una norma final ni una votación de todos los titulares de dominios o usuarios.

Del dominio aislado a la cartera

El contrato vigente de acreditación de registradores ya exige actuar cuando el registrador dispone de pruebas accionables de que un nombre que patrocina se usa para abuso del DNS. La medida debe ser rápida y adecuada, y ponderar tanto el daño como los posibles efectos colaterales. El aviso de cumplimiento de ICANN de 2024 explica esa obligación. La enmienda global del contrato define el abuso como malware, botnets, phishing, pharming y spam cuando este último distribuye alguna de las demás formas.

La obligación actual se refiere al nombre respaldado por pruebas. Pero una campaña puede distribuirse entre muchos dominios: se denuncia uno mientras otros vinculados con el mismo actor siguen activos. El informe inicial del grupo de trabajo de la GNSO, publicado el 18 de agosto, plantea los Associated Domain Checks (ADC) para cubrir esa brecha. Si hay pruebas accionables de abuso en un nombre patrocinado, el registrador tendría que investigar si otros nombres asociados dentro de su propia cartera también se emplean para ello.

Investigar y sancionar son actos distintos. La conexión indica dónde mirar, pero no resuelve qué hace el siguiente dominio. El borrador propone una investigación razonable para determinar si los dominios asociados se usan para abuso. No ordena suspender un nombre porque comparta cuenta, datos de titular, servidor de nombres o revendedor con el dominio que inició la revisión. Tampoco crea una búsqueda obligatoria entre registradores ni una base central de todos los dominios de cada titular.

La propuesta aún no es una obligación vigente. La página de consulta de ICANN incorporó un informe de síntesis fechado el 9 de octubre: a esa fecha, el grupo de trabajo no había aprobado cambios derivados de los comentarios y debía empezar a analizarlos en ICANN87, en Bali. Después tendrá que presentar un informe final para el Consejo de la GNSO; si el Consejo lo aprueba, la Junta de ICANN deberá considerar su adopción antes de que pueda convertirse en una política consensuada. La descripción oficial del proceso de la GNSO separa esas instancias.

La asociación es una hipótesis

El texto no define una única prueba universal de identidad. Entre los indicios posibles figuran los datos del titular o de la cuenta, actividad técnica o coordinada, pautas de registro, servidores de nombres e información razonablemente disponible para el registrador. El informe reconoce que los criterios pertinentes cambian con el caso y que ningún dato aislado demuestra siempre que exista asociación. La revisión debe ser viable y proporcionada a los indicios y a la escala aparente del abuso.

La flexibilidad responde a un problema práctico. Hay campañas que coordinan muchos nombres, pero dos clientes legítimos también pueden compartir alojamiento, servicios de privacidad, un revendedor o infraestructura técnica. Un atributo común puede servir para orientar la búsqueda; también puede ser normal entre clientes sin relación. Que dos dominios aparezcan bajo una misma cuenta no demuestra por sí mismo que ambos participen en una actividad maliciosa.

El umbral inicial es más exigente que una denuncia. La Recomendación preliminar 1 se apoya en las pruebas accionables previstas por el contrato y excluye del disparador los dominios comprometidos. El informe diferencia un nombre registrado para uso abusivo de uno legítimo que después fue tomado o explotado sin conocimiento ni consentimiento del titular. La guía admite pruebas recientes, intermitentes o recurrentes; si la actividad no se observa de forma continua, la denuncia debería acreditar el patrón. La intención es evitar tanto ignorar una campaña creíble como iniciar una revisión amplia a partir de una sospecha sin fundamento.

Las Recomendaciones 2 a 4 mantienen el paso siguiente como investigación. El registrador revisaría información razonablemente accesible en su actividad normal: datos contractuales, sistemas técnicos e informes. No tendría que consultar todas las fuentes en cada caso ni crear datos que normalmente no posee. Una revisión razonable tampoco equivale a escudriñar rutinariamente toda la cartera. Una búsqueda más amplia puede justificarse si la evidencia apunta a una campaña extensa, pero su tamaño debería derivarse de los indicios.

Esta secuencia importa porque la asociación y el abuso son afirmaciones diferentes. Que dos dominios compartan una cuenta puede justificar comprobar si los controla el mismo actor. No demuestra que el segundo se use para phishing, malware, pharming, un botnet o spam. La revisión solo sirve si el registrador evalúa cada nombre asociado frente a la definición de abuso, y no si se limita a encontrar un campo coincidente.

Una responsabilidad que atraviesa al revendedor

La propuesta sitúa la obligación en la cartera del registrador que patrocina los dominios. Permite que un revendedor realice parte de la investigación con los datos que tiene, pero mantiene al registrador responsable de sus compromisos contractuales. Así hay un responsable reconocible ante el cumplimiento de ICANN, aunque la tarea pueda recaer donde se encuentra la información útil del cliente.

El comentario del Registrar Stakeholder Group respalda en general el borrador y propone aclaraciones. Pide medir la eficacia mediante cambios en el panorama de amenazas de abuso del DNS, no contando revisiones, suspensiones o expedientes de cumplimiento. Es una distinción sustantiva: el volumen de actividad no equivale al efecto logrado.

El comentario de Openprovider apoya un umbral común basado en pruebas, pero señala una fricción operativa. En modelos mayoristas, el registrador puede tener los datos técnicos y de registro mientras el revendedor conserva la relación con el cliente, la estructura de cuentas u otra información. El registrador quedaría obligado a un proceso cuyos indicios útiles podrían estar en otro lugar. Openprovider también pregunta cuánto tiempo siguen siendo pertinentes las pruebas antiguas y quién decide si un dominio fue comprometido o registrado con intención abusiva. La cifra de apoyo no resuelve esos detalles.

La regla de responsabilidad solo funciona si autoridad y capacidad coinciden. El registrador no puede justificar una investigación proporcionada si la política espera datos a los que no puede acceder legal o contractualmente. Pero tampoco puede librarse de sus deberes trasladando la tarea al revendedor. La versión definitiva debería aclarar qué información mínima puede obtener razonablemente, qué pasos puede encomendar y cuándo la ausencia de datos limita la investigación sin convertirse en prueba de culpabilidad.

Salvaguardas frente a la ejecución

El borrador incluye varios límites: cumplimiento de la legislación y los contratos aplicables, proporcionalidad, minimización de datos, cautela con asociaciones falsas causadas por servicios de privacidad, revendedores o infraestructura compartida, y consideración del impacto sobre el titular. Propone revisar la política a los dos años para valorar si establece un mínimo coherente, si permite evaluar el cumplimiento y si ayuda a identificar e interrumpir campañas.

También prevé documentar el trabajo ordinario: qué activó la revisión, cuándo empezó, qué información se consultó, cuántos dominios asociados se identificaron, qué medidas se tomaron si correspondía y por qué el proceso fue proporcionado. No exige un formato único ni un sistema de datos amplio. Los registradores mantendrían una descripción interna de su método, disponible para ICANN si la solicita. Esa trazabilidad permite auditar el proceso solo si diferencia el indicio de asociación del hallazgo de abuso.

La distinción afecta servicios reales. Un dominio puede alojar correo, cuentas de clientes, información pública u otros usos legítimos aunque una parte haya sido comprometida o mal utilizada. El aviso de 2024 de ICANN advierte que suspenderlo puede interrumpir contenidos y servicios legítimos. La ADC añade una obligación de investigación; no sustituye la obligación existente de escoger una medida adecuada para cada nombre, teniendo en cuenta el daño colateral. Considerar que una coincidencia de cartera basta para suspender transformaría una verificación acotada en una sanción más amplia que la propuesta.

La medición es el punto pendiente. El texto propone una revisión a los dos años y contempla datos agregados de cumplimiento contractual de ICANN, su oficina técnica y los registradores. También reconoce que el abuso cambia y que resulta difícil atribuir a una sola política la evolución general. Contar revisiones o notificaciones demostraría que se ejecutó un proceso, no que se desarticularon campañas, se evitó daño a titulares legítimos o se impidió que los actores cambiaran de registrador y táctica.

Qué dice el 85% y qué no puede decidir

El informe de ICANN registra 42 aportaciones. Cuarenta y una respondieron a las ocho recomendaciones y cinco guías, con 533 respuestas categorizadas. Alrededor del 85% apoyó el texto o su propósito con cambios de redacción; el 3% pidió cambios sustanciales; ninguna respuesta eligió «no apoyar / eliminar» y el 12% quedó como «otro». El apoyo por propuesta osciló aproximadamente entre el 78% y el 90%.

Las cifras son relevantes: muestran respaldo amplio entre quienes participaron y dan al grupo un registro considerable que examinar. Pero 533 cuenta respuestas a componentes individuales, no 533 personas distintas, y el propio informe reconoce que las categorías no reflejan toda la sustancia. Veintiséis aportaciones incluyeron observaciones adicionales, y quienes apoyaron la orientación también plantearon límites, garantías, obligaciones de los revendedores, documentación y métricas. El comentario informado la decisión; no la reemplaza.

La distinción institucional no desprecia la participación. El grupo puede formular recomendaciones dentro de su mandato. Quienes presentan comentarios pueden poner a prueba supuestos, revelar efectos que falten y sugerir texto. El Consejo y la Junta tienen etapas posteriores en el proceso publicado. Separar participación y autorización asigna un papel concreto a cada acto; no vuelve irrelevante la consulta. En este caso, el resumen dice expresamente que aún no se habían adoptado cambios por los comentarios.

La siguiente versión debería responder a las preguntas que el registro deja abiertas. ¿La asociación se apoya en indicios relevantes para una campaña o en un campo compartido por comodidad? ¿Se evalúa el abuso de cada dominio investigado? ¿Puede el registrador explicar qué consultó y por qué el alcance fue proporcionado? ¿La delegación al revendedor mantiene acceso a pruebas y una responsabilidad clara? ¿La revisión futura distinguirá una interrupción útil del volumen de trámites y del daño colateral?

La idea más sólida no es «revisar todos los nombres relacionados con un dominio denunciado». Es una escalada limitada: las pruebas accionables sobre un nombre patrocinado pueden justificar una investigación proporcionada de otros nombres que vinculen con la misma actividad, pero cada conclusión posterior necesita su propio respaldo. Si la política final mantiene ese límite, podrá abordar campañas de cartera sin convertir una relación débil en culpabilidad heredada. Si lo pierde, la flexibilidad pensada para detectar campañas hará difícil saber cuándo una pista se convirtió en veredicto.