Hosting web y dominios: la guía completa de nombres, servidores, copias de seguridad, HTTPS y correo

Montar un sitio web exige tomar varias decisiones distintas: dónde vive el nombre, dónde viven los archivos, cómo se hacen copias de seguridad, cómo llegan los visitantes de forma segura y cómo se da confianza al correo de tu dominio. Las empresas de hosting suelen venderlo todo como un único paquete, lo que dificulta ver qué hace cada parte y qué preguntar antes de pagar. Esta guía junta las piezas en un solo lugar. Cada apartado se basa en fuentes públicas de Mozilla, el Centro Nacional de Ciberseguridad del Reino Unido (NCSC), ICANN, Let's Encrypt, la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA), WordPress.org, Amazon, DigitalOcean y web.dev de Google, y cada uno tiene su propio enlace a la fuente y su fecha de «última comprobación».

Esta guía se basa en las fuentes públicas indicadas en cada apartado (en inglés). No hemos probado ninguna empresa de hosting, registrador ni servicio, y no recomendamos ninguno. Cuando un dato se refiere a un solo proveedor, lo decimos y lo usamos solo como ejemplo. No hemos usado fuentes propias de España; los plazos y las condiciones de los registradores de dominios «.es» pueden diferir.

Mapa rápido: qué hace cada pieza

Qué son un servidor web y el hosting

Fuente: Mozilla (MDN), «What is a web server». Última comprobación: 15 de octubre de 2026.

Un servidor web es hardware (un ordenador que guarda los archivos de un sitio y permanece conectado), software (un servidor HTTP que entiende las direcciones web y responde a las peticiones), o ambos a la vez. Cuando alguien visita una página, el navegador envía una petición HTTP para esa dirección. El servidor busca un archivo que coincida. Si lo encuentra, lo devuelve. Si no, puede construir la página en el momento y, si no, devuelve un error, normalmente 404 Not Found.

MDN describe dos tipos:

• Servidor estático: envía los archivos exactamente como están guardados.
• Servidor dinámico: añade un servidor de aplicaciones y normalmente una base de datos que construye las páginas antes de enviarlas, por ejemplo rellenando una plantilla con contenido de la base de datos.

MDN sugiere empezar con un sitio estático cuando se pueda, porque es más sencillo. Hosting significa simplemente guardar los archivos de tu sitio en una máquina que permanece conectada y normalmente tiene una dirección IP fija, para que los visitantes lleguen a ella mediante tu nombre de dominio.

Así, un pequeño sitio de presentación necesita mucho menos que una tienda con base de datos, inicios de sesión y caja. Ajusta el plan al software que de verdad vas a ejecutar.

Nombres de dominio: de qué se componen y cómo funciona la búsqueda

Fuente: MDN, «What is a domain name». Última comprobación: 15 de octubre de 2026.

Un nombre de dominio es una dirección legible para un servidor. Existe para que la gente no tenga que recordar direcciones IP, que son difíciles de recordar y pueden cambiar. Un dominio se lee de derecha a izquierda:

Cada etiqueta puede tener de 1 a 63 caracteres entre letras, dígitos y guiones, sin guion al principio ni al final.

Qué ocurre cuando alguien escribe tu dirección

1. Escribe un nombre, como example.org.
2. Su ordenador busca en su caché DNS local la dirección IP correspondiente.
3. Si no está en caché, pregunta a un servidor DNS, que devuelve la dirección IP.
4. El navegador se conecta al servidor web de esa dirección y pide la página.

Los datos DNS se guardan en caché un tiempo y luego se actualizan desde servidores autoritativos, así que un cambio en un registro puede tardar horas en extenderse. Por eso un traslado de sitio o una nueva configuración de correo no siempre funciona al instante.

Dominio, registrador, registro y host: quién hace qué

Fuentes: MDN, «What is a domain name»; NCSC del Reino Unido, «Managing public domain names»; páginas de registradores de ICANN. Última comprobación: 15 de octubre de 2026.

No compras un dominio de forma definitiva. MDN explica que pagas por usarlo durante uno o varios años y puedes renovarlo, y las renovaciones tienen prioridad sobre las solicitudes nuevas. Puedes comprobar si un nombre está libre con la búsqueda «whois» de un registrador. Un nombre mal escrito se paga y no se puede deshacer, así que compruébalo con cuidado. Da una dirección real y válida, porque los registradores pueden cerrar dominios sin ella. MDN no da precios, así que compara los precios de renovación en la página de cada registrador.

El registrador y el host pueden ser empresas distintas, y agruparlos es opcional. Registrar un nombre no crea un sitio web: el nombre necesita hosting (o una redirección) para mostrar algo, y el registrador puede «aparcar» los nombres sin usar en una página de publicidad.

El consejo del NCSC para mantener el control de un dominio

La guía del NCSC va dirigida a organizaciones, pero los puntos sirven para cualquier sitio pequeño:

• Mantén el dominio en una cuenta que controles, no bajo el inicio de sesión de la empresa de hosting.
• Asegúrate de que más de una persona de confianza pueda acceder, y activa el inicio de sesión en dos pasos en la cuenta del registrador, con una contraseña fuerte y única.
• Considera un bloqueo del registrador.
• Activa la renovación automática y paga con una tarjeta que no caduque, porque un nombre que caduca puede ser registrado por otra persona.
• Elimina los registros DNS viejos cuando retires un servicio, porque los registros sobrantes pueden ser secuestrados.
• Vigila los cambios inesperados en los servidores de nombres y en los registros de correo.
• Publica registros SPF, DKIM y DMARC para reducir la suplantación de correo (se explica más abajo).
• DNSSEC es opcional y añade complejidad.

Renovaciones y caducidad: cómo no perder un dominio

Fuente: ICANN, «Domain name renewal and expiration FAQs» (página de 2018, así que consulta ICANN para la política vigente). Última comprobación: 15 de octubre de 2026.

ICANN dice que los registradores deben enviar recordatorios de renovación aproximadamente un mes y una semana antes de la caducidad, y un aviso en los cinco días posteriores. Los recordatorios solo ayudan si tus datos de contacto están al día. Muchos registradores ofrecen renovación automática, que necesita datos de pago actualizados.

Qué ocurre tras la caducidad:

1. El registrador puede eliminar el dominio, que entonces puede liberarse para que cualquiera lo registre.
2. Durante unos 30 días tras la eliminación, un periodo de gracia de redención permite al registrador restaurar el nombre, a menudo por una tarifa adicional.
3. Si no se restaura, pasa unos cinco días en «pending delete» (pendiente de eliminación) antes de liberarse.
4. Un dominio caducado puede transferirse, pero uno en redención debe ser restaurado primero por el registrador actual.

Si algo sale mal, contacta primero con tu registrador (la búsqueda WHOIS de ICANN muestra cuál es). Si faltaron recordatorios, falló la renovación o se bloqueó la redención, puede presentarse una Domain Renewal Complaint ante ICANN Contractual Compliance, que dice que las respuestas suelen tardar de 3 a 5 días laborables. Mantén actualizado tu correo de contacto, anota la fecha de renovación en el calendario y no confíes solo en la renovación automática.

Elegir un plan de hosting: qué significan los números

Fuente: documentación de DigitalOcean, «Choosing a plan», usada como ejemplo práctico de servidores virtuales, no como recomendación. Última comprobación: 15 de octubre de 2026.

Un servidor privado virtual (VPS) es una máquina virtual obtenida de un host físico. La documentación de DigitalOcean enumera los recursos que hay que comparar:

Explica también que los planes de CPU compartida reparten el tiempo de procesador con los vecinos, lo que los hace más baratos y válidos para sitios ligeros o con picos, pero sin garantía de rendimiento cuando los vecinos están ocupados, mientras que los planes de CPU dedicada reservan hilos para un rendimiento constante. Su consejo para elegir es medir: mira los gráficos de CPU y memoria con una carga realista y cambia de tamaño cuando un recurso esté siempre al máximo.

Nuestra guía sobre tipos de hosting web (en inglés) compara con más detalle el WordPress gestionado, el hosting en la nube y el compartido.

Qué le pide WordPress a un host

Fuente: WordPress.org, «Requirements». Última comprobación: 15 de octubre de 2026.

Si usas WordPress, su página oficial de requisitos recomienda una versión actual de PHP, MariaDB o MySQL, compatibilidad con HTTPS y Apache o Nginx (con mod_rewrite) como la opción más robusta, aunque vale cualquier servidor que ejecute PHP y MySQL. Las versiones antiguas (se nombran PHP 7.4 y MySQL 5.5.5 como aún en funcionamiento) han llegado al fin de su vida útil y pueden exponer un sitio a riesgos de seguridad. Los números de versión exactos cambian con cada versión, así que lee la página en lugar de una tabla en el sitio de un hosting. WordPress sugiere preguntar a un host:

• ¿Admitís estas versiones y HTTPS?
• ¿Usáis Apache o Nginx con mod_rewrite?
• ¿Qué hacéis para proteger mi cuenta?

También recomienda ejecutar PHP bajo la propia cuenta del sitio en lugar de un usuario compartido por defecto, por seguridad.

Cinco preguntas antes de pagar

1. ¿Cumple los requisitos de software anteriores para lo que voy a ejecutar?
2. ¿Cuánto costará en la renovación, no solo en el primer periodo, y cuál es el plazo de reembolso? (Consejo general: lee las condiciones del vendedor.)
3. ¿Qué significa «ilimitado» en las condiciones, por ejemplo límites de uso razonable de ancho de banda o almacenamiento?
4. ¿Cuáles son las condiciones de copias de seguridad y de salida? (Véanse los apartados siguientes.)
5. ¿Cómo se mide la disponibilidad y qué recibo si falla?

Otras comprobaciones útiles: dónde está el centro de datos, cuándo hay soporte, cómo exportar una copia completa de tu sitio, cómo cancelar y si el dominio está registrado a tu nombre.

Copias de seguridad: la regla 3-2-1

Fuente: CISA de EE. UU., «Back up business data». Última comprobación: 15 de octubre de 2026.

Una copia guardada en el mismo servidor que tu sitio no sirve si ese servidor falla o sufre un ataque. CISA, que escribe para pequeñas y medianas empresas, da una regla sencilla:

• Guarda tres copias de los archivos importantes.
• Almacénalas en dos tipos de almacenamiento distintos.
• Mantén una copia fuera de las instalaciones.

El almacenamiento en la nube puede servir como segundo tipo. Combinar copias locales y remotas protege tanto de ciberataques como de daños físicos.

Qué incluir: registros de clientes y financieros, correo, archivos de configuración y bases de datos del sitio web o de la operativa. CISA sugiere empezar con un inventario: qué datos tienes, dónde se guardan y quién puede acceder.

Buenos hábitos: haz copias automáticas con una programación regular, protégelas con seguridad física, cifrado y copias sin conexión, y prueba las restauraciones, completas y parciales. CISA dice que te asegures de poder retroceder los datos al menos siete días.

La página de CISA es un consejo empresarial general, no una lista de comprobación de hosting. Para un sitio web, conviértelo en preguntas para el host:

1. ¿Se guardan las copias en un servidor o lugar distinto del sitio en producción?
2. ¿Con qué frecuencia se hacen y cuánto tiempo se conservan?
3. ¿Puedo descargar mi propia copia completa?
4. ¿Cómo restauro, y cuesta algo extra restaurar?
5. ¿Quién es responsable de las copias en este plan, el host o yo? Lee las condiciones, porque a menudo es deber del cliente.

HTTPS y el candado

Fuente: Let's Encrypt, «How it works». Última comprobación: 15 de octubre de 2026.

HTTPS es el protocolo web ordinario con cifrado (TLS) añadido. Oculta los datos mientras viajan entre tu navegador y el sitio y permite detectar cambios por el camino.

Let's Encrypt, una autoridad de certificación sin ánimo de lucro, describe cómo se emite un certificado gratuito:

1. El software del propietario del sitio demuestra que controla el dominio respondiendo a un desafío, ya sea un registro DNS o un archivo servido por HTTP.
2. La autoridad comprueba desde varios puntos de la red.
3. Tras una petición firmada, emite el certificado y lo registra en los registros públicos de Certificate Transparency.
4. La renovación repite el proceso, y un certificado puede revocarse con la clave de la cuenta.

Muchos hosts lo configuran y lo renuevan automáticamente.

Lo que te dice el candado: la conexión con ese dominio está cifrada, y quien solicitó el certificado controlaba el dominio cuando se emitió. Lo que no te dice: quién es la empresa ni que sea honesta. La página de Let's Encrypt no afirma verificar nada más allá del control del dominio. Un candado no es motivo para confiar en una tienda; nuestra guía sobre cómo comprobar si una tienda online es fiable (en inglés) trata las comprobaciones que importan.

Para propietarios de sitios: pregunta si se incluye un certificado gratuito, si se renueva automáticamente y qué pasa si la renovación falla.

Correo en tu dominio: SPF, DKIM y DMARC

Fuente: NCSC del Reino Unido, «Email security and anti-spoofing». Última comprobación: 15 de octubre de 2026.

Si envías correo desde tu propio dominio, tres registros DNS ayudan a los servidores receptores a distinguir tu correo real de las falsificaciones:

Juntos dificultan que los delincuentes envíen correo falso que parezca venir de tu dominio. El NCSC recomienda configurar los tres en cada dominio que poseas, incluidos los dominios usados con proveedores de correo en la nube como Google Workspace y Microsoft 365. Aconseja también asegurarte de que tu servicio de correo envíe y reciba con TLS, y comprobar tu configuración con su verificación gratuita de seguridad del correo. La guía va dirigida a organizaciones, y un sitio pequeño puede usar las mismas tres comprobaciones.

Preguntas para un host o proveedor de correo: ¿el correo está incluido con el dominio o es un producto de pago aparte?, ¿puedo añadir registros SPF, DKIM y DMARC en vuestro panel de DNS?, ¿cuáles son los límites de buzones y de envío? y ¿cómo se gestiona el spam?

Promesas de disponibilidad y acuerdos de nivel de servicio

Fuente: Amazon Web Services, acuerdo de nivel de servicio (SLA) de EC2, usado solo como ejemplo de cómo funciona un SLA. Última comprobación: 15 de octubre de 2026.

Una promesa de disponibilidad del 99,9 % suena casi perfecta. La aritmética muestra lo que permite:

En un año entero, el 99,9 % permite unas 8,8 horas.

El SLA de cómputo de Amazon es de un gran proveedor de nube, no de un hosting compartido, pero muestra la mecánica con claridad:

• La disponibilidad se define de forma estricta: una instancia cuenta como caída solo cuando pierde la conectividad externa.
• La compensación es un crédito de servicio como porcentaje de la factura de ese mes, por tramos (por ejemplo, 10 % por debajo del objetivo pero al menos del 99 %, 30 % por debajo del 99 % y 100 % por debajo del 95 %).
• Los créditos se aplican a facturas futuras. No son reembolsos en efectivo.
• Debes presentar una reclamación con registros y fechas dentro de un plazo fijo (aquí, antes del final del segundo ciclo de facturación).
• Se excluyen las causas fuera del control del proveedor y tus propias acciones o tu software.

Qué buscar en las condiciones de cualquier host: cómo se mide la caída y qué se excluye, cuál es la compensación y cómo reclamarla, si el crédito es automático y si hay un límite de tiempo para las reclamaciones. No tenemos fuente sobre las condiciones típicas del hosting compartido, así que lee las condiciones del plan que estés considerando.

Velocidad de página: Core Web Vitals

Fuente: web.dev de Google, «Web Vitals». Última comprobación: 15 de octubre de 2026.

web.dev de Google describe tres medidas de la experiencia de página:

Una página se evalúa en el percentil 75 de las cargas, por separado en móvil y en escritorio, y aprueba si las tres medidas cumplen sus objetivos en ese punto.

El hosting interviene a través del tiempo de respuesta del servidor y la caché, que pueden afectar al LCP. Al comparar hosts puedes preguntar si se incluye caché y si el plan ofrece una red de distribución de contenido. No tenemos fuente sobre lo que ofrece ningún host en concreto. La página de web.dev describe cómo funcionan las medidas. No dice que una buena puntuación vaya a mejorar la posición de una página en los resultados de búsqueda, así que no compres un plan con esa promesa.

Una lista de comprobación previa al lanzamiento

1. Dominio registrado en tu propia cuenta, con inicio de sesión en dos pasos, renovación automática activada y una tarjeta vigente.
2. Plan de hosting ajustado a tu software, con el precio de renovación, el plazo de reembolso y las condiciones de «ilimitado» leídos.
3. Copias de seguridad: tres copias, dos tipos de almacenamiento, una fuera de las instalaciones, con una restauración probada.
4. Certificado HTTPS incluido y con renovación automática.
5. Registros SPF, DKIM y DMARC publicados y configuración comprobada.
6. Condiciones de disponibilidad leídas: cómo se mide, qué compensación hay y cómo reclamarla.
7. Velocidad de página medida en móvil para tus propias páginas.
8. Una forma de exportar una copia completa del sitio y los pasos de cancelación anotados.

Guías completas relacionadas

• Compra online segura: estafas, reseñas falsas, productos falsificados y las comprobaciones que funcionan: phishing, reseñas falsas y compra segura para las personas que usan tu sitio.
• Wi-Fi, refrigeración y fundamentos del hogar inteligente: redes domésticas y fundamentos del hogar inteligente.

Fuentes: MDN, what is a web server; MDN, what is a domain name; UK NCSC, managing public domain names; ICANN, domain name renewal and expiration FAQs; DigitalOcean, choosing a plan; WordPress.org, requirements; US CISA, back up business data; Let's Encrypt, how it works; UK NCSC, email security and anti-spoofing; Amazon EC2 SLA; web.dev, Web Vitals (todas en inglés).