La reventa de dominios y la ley: marcas, UDRP y estafas

Revender dominios es legal. Revender los dominios equivocados te costará el nombre, el dinero que pagaste por él y, a veces, una condena de cinco cifras por encima de todo eso. La diferencia entre esos dos desenlaces no es cuestión de suerte. Es un pequeño cuerpo de leyes que puedes aprender en una tarde, más un puñado de hábitos operativos que mantienen tu cartera limpia y evitan que te roben en el cierre de tus operaciones.

Este es el pilar legal y de seguridad de nuestra serie sobre reventa de dominios. Cubre la línea que separa el domaining del cibersquatting, los dos sistemas de disputas que hacen cumplir esa línea, cómo cerrar una venta sin que te estafen y cómo impedir que alguien te robe un nombre por debajo de la mesa. Nada de esto es asesoramiento legal (consulta el descargo de responsabilidad al final), pero todo ello es el conocimiento práctico que los revendedores con experiencia incorporan al precio de cada operación.

La única línea que no puedes cruzar: las marcas

Toda la cuestión legal se reduce a una sola distinción. Registrar un nombre genérico, descriptivo o inventado para revenderlo es inversión común y corriente. Registrar algo que se aprovecha de la marca de una empresa concreta es cibersquatting, y es la única jugada que convierte una reventa legítima en una perdedora.

La definición de Wikipedia es la estándar: el cibersquatting es the practice of registering, trafficking in, or using an Internet domain name, with a bad faith intent to profit from the goodwill of a trademark belonging to someone else (la práctica de registrar, traficar o usar un nombre de dominio de Internet con la intención de mala fe de lucrarse con el prestigio de una marca ajena). Dos expresiones de esa frase cargan con todo el peso: mala fe y marca registrada. Una palabra de diccionario como loans o un nombre acuñado como Zapio no pertenecen a nadie en particular. nikeshoes-store.com se apoya descaradamente en una marca que sí tiene dueño. Cuanto más cerca esté un nombre de una marca existente, más parecerá que lo registraste para sacarle dinero a esa marca, y esa intención es precisamente lo que la ley castiga. Trazamos toda la frontera en cibersquatting vs. domaining: UDRP y ACPA.

Un filtro práctico antes de comprar: ¿asumiría una persona razonable que este nombre estaba pensado para apuntar a una empresa concreta? Si la respuesta es sí, aléjate por barato que sea. Los fundamentos que hacen que un nombre valga la pena se tratan en cómo tasar un nombre de dominio y qué es un dominio; un nombre que no pasa la prueba de la marca tiene valor negativo, porque conservarlo es un pasivo.

UDRP: cómo el titular de una marca recupera un nombre

La vía de aplicación rápida y barata es la Política Uniforme de Resolución de Disputas de Nombres de Dominio. Forma parte de las reglas de ICANN, incorporada al contrato de registro que aceptas cada vez que registras un nombre, así que ya estás vinculado por ella. ICANN adoptó la UDRP en 1999, y las disputas las resuelven proveedores acreditados, el más destacado de los cuales es la World Intellectual Property Organization (WIPO).

El demandante tiene que probar tres cosas, todas ellas. Como resume Wikipedia la política, el nombre debe ser identical or confusingly similar to a trademark or service mark in which the complainant has rights (idéntico o confusamente similar a una marca de producto o de servicio sobre la que el demandante tiene derechos); el registrante does not have any rights or legitimate interests in the domain name (no tiene ningún derecho ni interés legítimo sobre el nombre de dominio); y el nombre has been registered and the domain name is being used in 'bad faith' (ha sido registrado y se está usando de "mala fe"). Si falla cualquiera de los tres, la demanda fracasa.

Lo que está en juego en una UDRP es limitado pero absoluto. Los únicos remedios son la cancellation or transfer (cancelación o transferencia) del dominio. No se concede dinero, pero pierdes el activo por completo, y un panel puede quitártelo en semanas en lugar de los meses que llevaría un pleito. Este sistema no para: la WIPO informó de que, en 2024, trademark owners from 133 countries filed 6,168 cases under the Uniform Domain Name Dispute Resolution Policy (UDRP) and national ccTLD variations (titulares de marcas de 133 países presentaron 6.168 casos bajo la UDRP y las variantes nacionales de ccTLD). Para un revendedor la lección es sencilla: una UDRP es la herramienta barata y rápida a la que una marca recurre primero, así que cualquier nombre que pueda dar pie a una de forma verosímil es un nombre que no quieres en inventario.

ACPA: cuando escala a un pleito y a dinero

La UDRP solo puede mover el nombre. La ley de Estados Unidos va más allá. La Anticybersquatting Consumer Protection Act, promulgada in 1999, permite que el titular de una marca demande en tribunales federales y reclame daños, no solo el dominio.

La ACPA gira en torno a si el registrante has a bad faith intent to profit from the mark (tiene la intención de mala fe de lucrarse con la marca), y los tribunales sopesan una lista de factores para decidirlo. Varios de esos factores apuntan de lleno a los revendedores: un tribunal examina la intent to divert customers from the mark owner's online location (intención del registrante de desviar clientes del sitio en línea del titular de la marca) y cualquier offer to transfer, sell, or otherwise assign the domain name to the mark owner or a third party for financial gain (oferta de transferir, vender o ceder de otro modo el nombre de dominio al titular de la marca o a un tercero con ánimo de lucro) sin un uso legítimo. Léelo dos veces: enviarle un correo a una marca para ofrecerle "su" nombre por un precio es en sí mismo prueba de mala fe. Esa es la trampa en la que caen los revendedores despistados.

El dinero es la parte que duele. Bajo la ley, el demandante puede optar por daños legales de not less than $1,000 and not more than $100,000 per domain name, as the court considers just (no menos de $1,000 y no más de $100,000 por nombre de dominio, según lo que el tribunal considere justo). Registra un puñado de nombres pegados a marcas y la exposición se multiplica deprisa. Nada de esto afecta a los nombres genéricos y con valor de marca propia que componen una cartera sana. Es totalmente evitable con solo no comprar nunca nombres que se monten sobre la marca de otro.

La defensa del revendedor: el secuestro inverso de nombres de dominio

La ley corta por los dos lados, y esta es la parte que la mayoría de los principiantes no conoce. A veces es el titular de la marca quien actúa de mala fe, intentando echar a la fuerza a un registrante legítimo de un nombre sobre el que no tiene ningún derecho real. La política tiene un nombre para eso. El secuestro inverso de nombres de dominio occurs where a rightful trademark owner attempts to secure a domain name by making cybersquatting claims against a domain name's "cybersquatter" owner (se da cuando un titular legítimo de marca intenta hacerse con un nombre de dominio formulando acusaciones de cibersquatting contra el dueño "ciberocupa" de ese nombre). Las reglas de la UDRP lo definen como the filing of a complaint in bad faith, resulting in the abuse of the UDRP administrative process (la presentación de una demanda de mala fe, que deriva en el abuso del proceso administrativo de la UDRP).

Si registraste una palabra genérica años antes de que alguna empresa la adoptara como marca, tienes un interés legítimo, y un panel puede fallar en contra del demandante por intentarlo. Por eso importan tanto los registros de adquisición fechados y documentados. Cuanto más limpia sea tu historia —nombre genérico, registrado por un motivo evidente y no infractor, jamás usado para apuntar contra nadie—, más fuerte será tu defensa y más probable que un panel señale a un abusón. Mantén en orden tus registros de WHOIS y de compra; son tu prueba.

Cerrar la venta sin que te estafen

El riesgo de marca es el peligro legal. El peligro transaccional es el trato en sí. La venta de un dominio es un clásico pulso de confianza: el vendedor no transferirá antes de cobrar y el comprador no pagará antes de recibir el nombre. Quien se mueve primero queda expuesto, y los estafadores viven en esa brecha.

La solución estándar es el depósito en garantía: un tercero neutral que, según la definición general, receives and disburses money or property for the primary transacting parties, with the disbursement dependent on conditions agreed to (recibe y desembolsa dinero o bienes en nombre de las partes principales de la transacción, con el desembolso supeditado a las condiciones acordadas). El comprador deposita los fondos en el agente de garantía, el vendedor transfiere el dominio, el agente confirma la entrega y luego libera el dinero. Ninguna de las partes tiene que confiar en la otra, solo en el agente. Recorremos la mecánica en qué es una cuenta escrow y cómo funciona y en la entrada de glosario depósito en garantía (escrow).

Hay unos cuantos patrones de estafa que se repiten lo suficiente como para memorizarlos, y catalogamos más en cómo evitar las estafas en la venta de dominios:

• Sitios de depósito en garantía falsos. Un "comprador" insiste en un servicio de garantía del que nunca has oído hablar, con una URL que imita a uno real. El sitio es suyo; tu dominio y cualquier comisión se esfuman. Usa solo servicios de garantía que tú hayas elegido y verificado de forma independiente.
• Fraude de devolución de cargo y reversión. Un comprador paga con un método reversible, tú transfieres el nombre y luego él recupera el pago. El depósito en garantía de buena reputación y la liquidación irreversible existen precisamente para eliminar esto.
• Estafas de sobrepago. Un "comprador" envía de más y pide que le devuelvas la diferencia; el pago original luego resulta rechazado.

El hilo común: nunca cedas el control de un nombre a cambio de una promesa. Para el manual completo del vendedor, consulta cómo vender un nombre de dominio que te pertenece y la panorámica más amplia de comercio de dominios.

Evitar que te roben la cartera

La última amenaza no necesita tu cooperación en absoluto. El secuestro de dominio es the act of changing the registration of a domain name without the permission of its original registrant (el acto de cambiar el registro de un nombre de dominio sin el permiso de su registrante original). Para un revendedor, tu cartera es tu cuenta bancaria, y un nombre premium secuestrado puede venderse a un tercero inocente antes de que te des cuenta de que ya no está.

Los secuestradores rara vez rompen la criptografía. Van por las personas y el correo electrónico. Las vías habituales, según Wikipedia, son el unauthorized access to, or exploiting a vulnerability in the domain name registrar's system, through social engineering (acceso no autorizado al sistema del registrador, o explotación de una vulnerabilidad en él, mediante ingeniería social), o sencillamente getting into the domain owner's email account that is associated with the domain name registration (entrar en la cuenta de correo del propietario del dominio asociada al registro). Compromete el correo que figura en el expediente y un ladrón puede restablecer las contraseñas del registrador y aprobar una transferencia. Cómo ocurre realmente el secuestro de dominios traza toda la cadena de ataque.

Las defensas son baratas y vale la pena incorporarlas a tu rutina en cada registrador que uses:

• Bloquea tus nombres. El estado clientTransferProhibited le indica al registro que reject requests to transfer the domain (rechace las solicitudes de transferencia del dominio) y existe para help prevent unauthorized transfers resulting from hijacking and/or fraud (ayudar a prevenir transferencias no autorizadas derivadas de secuestro o fraude). Déjalo activado en cualquier nombre que no estés transfiriendo activamente.
• Protege el código de autorización. Una transferencia entre registradores legítima necesita el código de autenticación (código de autorización) de tu registrador actual: el secreto required in the transfer between registrars (requerido en la transferencia entre registradores). Trátalo como una contraseña; nunca lo pegues en el "formulario de transferencia" de un desconocido.
• Refuerza el correo del expediente. Activa la autenticación de dos factores en la cuenta de correo vinculada a tu registrador, porque esa bandeja de entrada es la llave maestra de todo tu registro de propiedad de dominio.

Cómo cambia el riesgo la propiedad tokenizada

La mayoría de los peligros anteriores comparten una causa de raíz: la propiedad de un dominio tradicional es una fila en la base de datos de un registrador, demostrable solo a través de la cuenta y la recuperación por correo de ese registrador, y transferible solo mediante un proceso de varios pasos donde cada entrega es una oportunidad para ser estafado o secuestrado. Esa es la superficie sobre la que trabajan atacantes y defraudadores.

Tokenizar un dominio real de ICANN reduce esa superficie. Cuando el control se representa en cadena, la propiedad es auditable en lugar de aceptarse por confianza, y una transferencia se liquida de forma atómica en vez de extenderse a lo largo de una ventana en la que alguien puede intervenir, con continuidad de DNS para que el nombre siga resolviéndose limpiamente durante la entrega. No deroga el derecho de marcas (un nombre que infringe una marca sigue siendo mala idea en cualquier vía), pero ataca directamente la brecha de confianza del depósito en garantía y el problema del secuestro por correo. Esa es la brecha que Namefi está construido para cerrar, y profundizamos en cómo los mercados tokenizados reemplazan el depósito en garantía.

La versión corta

Compra nombres genéricos, descriptivos e inventados; nunca nombres que se apoyen en una marca. Ten presente que una UDRP puede llevarse un nombre rápido y que la ACPA puede llevarse dinero por encima. Mantén registros limpios para poder defender un nombre legítimo, incluso frente al secuestro inverso. Cierra cada venta a través de un depósito en garantía que tú mismo hayas elegido, y blinda tu cartera para que nadie se largue con ella. Haz eso, y la ley será una cerca que protege tu negocio en lugar de una trampa esperando a saltar.

Descargo de responsabilidad amistoso (¡Léeme!)

No somos abogados, contadores, asesores financieros ni médicos, y nada en este artículo constituye asesoramiento legal, financiero, fiscal, contable, médico ni de ningún otro tipo profesional. Escribimos estas publicaciones para educarnos a nosotros mismos y como una comodidad para nuestros clientes. La información aquí puede estar desactualizada, ser específica de una región o sencillamente estar equivocada. Nosotros también cometemos errores.

Para cualquier decisión importante, consulta a un profesional de verdad (¡en serio!). O si ese no es tu rollo, pregúntale a un amigo, pregunta en Twitter, pregunta en Reddit, pregúntale a una IA o pregúntale a un vidente. En resumen: DOYR - Do Your Own Research (Investiga por tu cuenta). Aprendamos y divirtámonos.

Fuentes y lecturas adicionales

• Wikipedia — Cybersquatting (definición; intención de mala fe de lucrarse con una marca)
• Wikipedia — Uniform Domain-Name Dispute-Resolution Policy (los tres elementos; remedio de cancelación o transferencia; WIPO)
• WIPO — Récord de casos de cibersquatting en 2024 (6.168 casos UDRP, 133 países)
• Wikipedia — Anticybersquatting Consumer Protection Act (promulgada en 1999; factores de mala fe)
• Cornell Law / U.S. Code — 15 U.S.C. § 1117(d) (daños legales de $1,000–$100,000 por nombre de dominio)
• Wikipedia — Reverse domain name hijacking (demanda de mala fe; abuso del proceso UDRP)
• Wikipedia — Escrow (un tercero neutral retiene y desembolsa según condiciones acordadas)
• Wikipedia — Domain hijacking (definición; vías de ingeniería social y de cuenta de correo)
• Wikipedia — Extensible Provisioning Protocol (clientTransferProhibited; código de autorización como secreto de transferencia)