La mayoría de quienes creen tener un dominio anónimo no lo tienen. Pagaron con Monero, marcaron la casilla de privacidad WHOIS del registrador, y confían en que su identidad está oculta. Esa creencia es correcta para el observador casual que hace una consulta whois. No lo es para un adversario determinado con una citación, una orden judicial, o — en el caso del espacio de nombres .com — una escalada de confianza y seguridad de Verisign. La privacidad WHOIS es un problema en capas, y un dominio anónimo serio es una pila de decisiones tomadas deliberadamente en cada capa.
Esta guía recorre la pila. Elección de moneda, elección de registrador, elección de TLD, e higiene operativa que determina si tu privacidad aguanta bajo presión. Al final sabrás qué combinaciones ofrecen realmente anonimato en 2026 y cuáles solo ofrecen la apariencia de él.
El problema del WHOIS: qué es realmente público
Antes de tapar fugas, hay que saber qué fuga.
Qué contiene el WHOIS por defecto
Para cada dominio en un gTLD (.com, .net, .org, .io, etc.) el registro mantiene un registro con el nombre del registrante, organización, dirección postal, correo electrónico y teléfono, los contactos administrativos y técnicos, los servidores de nombres, y las fechas de registro y vencimiento. Hasta 2018 todo esto era público mediante consultas whois sin limitación de velocidad. El ICANN y el RGPD forzaron un régimen de redacción parcial en mayo de 2018, por lo que la mayoría de las respuestas WHOIS modernas para gTLDs ahora muestran REDACTED FOR PRIVACY en los campos personales y un correo de reenvío — pero el registro subyacente en el registrador no ha cambiado.
La realidad de dos capas
Hay dos capas de datos: la respuesta WHOIS pública, que hoy generalmente está redactada, y el registro interno del registrador, que aún contiene los datos reales del registrante y que el registrador debe producir bajo citación. El RDRS (Servicio de Solicitud de Datos de Registro) de ICANN de 2024 ofrece a las fuerzas del orden, titulares de derechos de propiedad intelectual y partes de «interés legítimo» un camino simplificado hacia ese registro interno. Por tanto, la pregunta no es solo «¿qué muestra whois?», sino «¿quién puede obligar al registrador a revelar el registro sin redactar?».
Los ccTLDs son un régimen diferente
Los TLDs de código de país (.is, .ch, .me, .ru, .nl) no están sujetos a las políticas de gTLD de ICANN. Cada registro establece sus propias reglas. Algunos son más estrictos que los gTLDs (el .is de Islandia exige identidad verificada); otros son mucho más permisivos (el .ru de Rusia acepta seudónimos; algunos espacios de nombres tipo .tk del Pacífico no exigen nada). La jurisdicción del TLD importa más que la categoría gTLD frente a ccTLD.
Capa 1: proxy de privacidad en el registrador
La primera y más sencilla capa es el servicio de privacidad WHOIS que ofrecen la mayoría de los registradores.
Cómo funcionan los proxies de privacidad
El registrador (o un socio) se convierte en el registrante técnico de registro y reenvía el correo electrónico / correo postal a ti. Las consultas WHOIS devuelven los datos de contacto del proxy, no los tuyos. Eso es lo que significa «privacidad WHOIS gratuita» en la mayoría de los registradores modernos.
Contra qué protege
Los proxies de privacidad neutralizan al observador casual, al scraper masivo que construye listas de registrantes para spam, al periodista que hace una consulta whois, y al litigante promedio que aún no ha contratado abogado. Para el 90% de los modelos de amenaza esto es suficiente.
Contra qué no protege
Un proxy de privacidad no protege contra el propio registrador, contra una orden judicial al registrador, contra una solicitud de divulgación de política de ICANN, ni contra el registro bajo citación. El proxy es opaco al público; es transparente para el sistema legal. Cualquiera que pueda presentar documentos legales al registrador puede levantar el velo.
Capa 2: la jurisdicción del TLD importa más de lo que crees
El registro del TLD tiene autoridad última sobre el dominio. Si el registro está en un país que coopera con los tribunales de EE. UU. en asuntos rutinarios, el dominio en sí puede ser confiscado independientemente de dónde lo hayas registrado. Combina esta sección con nuestra guía de jurisdicciones.
TLDs a evitar para uso anónimo
- .com, .net, .cc, .tv — Verisign (EE. UU.). Confiscados rutinariamente mediante orden judicial de EE. UU. El ICE ha confiscado históricamente cientos de dominios sin notificación al registrante.
- .org, .info — PIR / Afilias (EE. UU.). Exposición similar.
- .io, .ai — administrados mediante acuerdos vinculados al Reino Unido con cláusulas de extinción (.io está siendo retirado entre 2025-2031). Evitar para uso anónimo a largo plazo.
- .us, .gov, .edu — jurisdicción directa de EE. UU. Obvio.
TLDs que genuinamente protegen contra la confiscación extraterritorial
- .is (Islandia) — el registro es ISNIC en Reikiavik. Exige identidad real en el registro pero los datos no se divulgan sin una orden judicial islandesa formal, y los tribunales islandeses han rechazado reiteradamente las solicitudes de confiscación extraterritoriales de EE. UU. Sólido para casos de uso de libertad de prensa y libre expresión.
- .ch (Suiza) — SWITCH. Régimen de privacidad sólido, exige representante suizo para no residentes.
- .me (Montenegro) — registro local, sin vínculos con EE. UU. Registro permisivo, popular para proyectos anónimos.
- .ru (Rusia) — RU-CENTER. Cooperación efectivamente nula con solicitudes de confiscación civiles extranjeras desde 2022.
- .ro (Rumanía) — RoTLD. Con base en la UE pero con fuerte independencia; no exige verificación de identidad y ha protegido históricamente a los registrantes.
- .li (Liechtenstein) — administrado por SWITCH; privacidad sólida similar a .ch.
Nota especial: TLDs gratuitos
Los .tk, .ml, .ga, .cf y .gq de Freenom eran populares para uso anónimo hasta 2023. A partir de 2024 Freenom está efectivamente desaparecido tras litigios; no registres nuevos dominios allí.
Capa 3: privacidad del pago — el cripto no es anonimato automático
Pagar con Bitcoin no es anónimo; pagar con Monero sí lo es. El checkout del proveedor ve la moneda que enviaste, y el mundo del análisis de blockchain ve todo lo que ocurre en un libro mayor transparente. Combina esta sección con nuestra guía de pagos en cripto para la comparación completa moneda por moneda.
Las fugas del lado del pago
Si pagas con BTC desde una wallet que ha tocado previamente un exchange con KYC, las empresas de análisis de blockchain (Chainalysis, Elliptic, TRM Labs) pueden atribuirte el pago. El registrador tiene entonces un registro que vincula tu dominio con la dirección BTC, la dirección BTC con tu identidad en el exchange, y la identidad en el exchange con tu documento de identidad oficial. Bitcoin te hace rastreable años después por cualquiera con una citación y una suscripción de análisis de blockchain.
La vía Monero
Monero (XMR) es la única moneda ampliamente compatible con privacidad por defecto a nivel de protocolo. Paga desde una wallet nueva financiada mediante un swap que no registre tu identidad (atomic swap, o un swap a través de XMR.com o similar), y el rastro del pago termina en el límite del protocolo Monero. El registrador sabe que recibió Monero; nadie sabe de dónde vino el Monero.
La secuencia práctica
- Adquiere XMR de forma limpia — atomic swap desde BTC, compra P2P en efectivo, o minería. Evita los exchanges centralizados con KYC.
- Guarda en una wallet nueva durante unos días. La mezcla del protocolo Monero mejora con el tiempo transcurrido entre bloques.
- Paga al registrador desde esta wallet nueva en una única transacción.
- Usa una wallet separada para los pagos de renovación. Reutilizar la misma wallet durante años es una heurística suave que vincula el dominio a una identidad persistente.
Los errores operativos que te delatan igualmente
Puedes comprar un dominio rumano con Monero a través de un registrador con sede en Panamá y aun así filtrar tu identidad mediante cualquiera de estos:
- Dirección de correo electrónico. Si el correo de contacto es
[usuario-redactado]@[host-redactado], el registro interno del registrador lo contiene y Gmail lo entregará bajo citación de EE. UU. Usa un proveedor de correo respetuoso con la privacidad (Proton, Tutanota) en un dominio no relacionado con tu identidad real, o autoalójalo como se describe en nuestro caso de uso de alojamiento de correo. - Teléfono de contacto reutilizado. La misma lógica. Usa un número VoIP comprado con cripto o prescinde del teléfono si el TLD lo permite.
- Contacto de abuso que apunta a tu correo real. Muchos registradores exigen un contacto técnico/de abuso separado. Usa el mismo correo anónimo aquí; no los dividas.
- Fugas de DNS. Si los servidores de nombres del dominio están en un proveedor de EE. UU. (Cloudflare, AWS Route53), ese proveedor tiene un registro. Usa los servidores de nombres del propio registrador, o un proveedor de DNS respetuoso con la privacidad en una jurisdicción que coincida con tu elección de TLD.
- Huella del navegador durante la compra. Si navegas por el checkout del registrador desde una IP residencial y una sesión de Google con sesión iniciada, el proveedor de análisis del registrador puede saber quién eres. Realiza el pedido desde Tor o una sesión limpia.
- Pago de renovación con tarjeta. Años después, la tarjeta de crédito que usaste para un servicio no relacionado carga automáticamente una renovación porque olvidaste actualizar el método de pago guardado. Configura el pago automático solo con el mismo método de cripto anónimo.
- Certificado SSL con nombre real. Los certificados gratuitos de Let's Encrypt están bien. Los certificados de validación extendida (EV) de pago exigen verificación de identidad — nunca uses uno en un dominio anónimo.
- Publicar desde el dominio en una cuenta vinculada. El error clásico: el blog de dominio anónimo se comparte en una cuenta real de Twitter que nadie más habría conocido. La higiene operativa es más difícil que la higiene técnica.
La pila completa de dominio anónimo: una lista de verificación
Todo junto. Para un dominio que realmente quieras que sea anónimo en 2026:
- TLD: .is, .ch, .me, .ro, .ru o .li — según la concordancia de jurisdicción con el proveedor. Evita .com, .net, .org, .io para trabajo de alto riesgo.
- Registrador: constituido en la misma jurisdicción que el TLD, u otra jurisdicción favorable. Acepta Monero. Ofrece privacidad WHOIS por defecto.
- Pago: Monero desde una wallet nueva, financiada mediante atomic swap o P2P. Nunca a través de un exchange con KYC.
- Correo de contacto: en un proveedor respetuoso con la privacidad, en un dominio no relacionado con tu identidad. Bonus: autoalojado en el mismo VPS offshore.
- Teléfono: prescinde si el TLD lo permite. De lo contrario, VoIP financiado con cripto.
- Servidores de nombres: los propios del registrador, o un proveedor de DNS respetuoso con la privacidad en una jurisdicción favorable. No Cloudflare para el trabajo de mayor riesgo.
- Alojamiento: que coincida con la jurisdicción del TLD u otra jurisdicción favorable. VPS o dedicado en Islandia, Panamá, Moldavia o similar.
- Higiene operativa: checkout desde Tor o sesión limpia, sin vinculación de cuentas con nombre real, renovaciones pagadas con el mismo método de pago anónimo.