Cómo configurar un dominio personalizado en SMARTFENSE – SMARTFENSE

Este artículo explica cómo configurar un dominio personalizado para que los usuarios accedan a la plataforma con una dirección propia de la organización, en lugar del dominio estándar que asigna SMARTFENSE. Incluye el orden correcto de los registros DNS y qué verificar antes de activarlo.

Esta funcionalidad está disponible a partir del plan Estándar.

Definiciones

Dominio estándar: la dirección que SMARTFENSE le asigna por defecto (por ejemplo, instancia.takesecurity.com). Se encuentra siempre disponible, incluso si se configura un dominio propio.
Dominio personalizado: un dominio propio de su organización que se incorpora para acceder a la plataforma con su propia dirección.
Dominio principal: el dominio que la plataforma utiliza en cada momento para el acceso y para los enlaces que envía (correos, campañas). Solo puede haber uno a la vez y es posible modificarlo en cualquier momento.
DNS target: el valor que genera la plataforma al registrar un dominio personalizado. Su dominio debe apuntar a ese valor mediante un registro CNAME (o ALIAS/ANAME, en el caso de un dominio raíz).

Antes de comenzar

Tenga en cuenta estos puntos antes de iniciar la configuración:

Cada instancia admite un solo dominio personalizado. Para registrar uno distinto, primero debe eliminar el existente.
El dominio que desea utilizar debe estar validado como dominio corporativo, con su nombre exacto. Si quiere usar un subdominio (por ejemplo, ciberseguridad.miempresa.com), debe validar ese subdominio. Tener validado el dominio raíz (miempresa.com) no habilita sus subdominios.
Se necesitan dos registros DNS distintos: un registro TXT para validar el dominio corporativo y un registro que apunte el dominio a la plataforma (CNAME para un subdominio, ALIAS o ANAME para un dominio raíz).
Defina si utilizará un dominio raíz o un subdominio, ya que el procedimiento cambia:
- Subdominio: un mismo nombre DNS no puede tener un registro CNAME y ningún otro registro al mismo tiempo. Por eso, el TXT de validación del subdominio debe eliminarse antes de crear el CNAME.
- Dominio raíz: los registros CNAME no pueden crearse sobre un dominio raíz, por lo que su proveedor de DNS debe soportar registros de tipo ALIAS o ANAME. Estos registros conviven con los demás registros del dominio, por lo que el TXT de validación se mantiene. Algunos proveedores, como GoDaddy, no ofrecen ALIAS ni ANAME para el dominio raíz: en ese caso, la opción recomendada es utilizar un subdominio.

Si no administra el DNS de su organización, solicite la creación de los registros a su área de sistemas y comparta con ellos este artículo.

Dónde configurarlo

Diríjase a Configuración > Organización > Dominios Corporativos. En la parte superior se encuentra la sección de dominios corporativos y, en la parte inferior, la sección Dominios personalizados.

Paso 1: Validar el dominio como dominio corporativo

En la sección Dominios Corporativos, agregue el dominio exacto que desea utilizar como dominio personalizado.
Copie el código de validación que muestra la plataforma. Comienza con smartfense-domain-verification= y es propio de cada dominio cargado.
En su proveedor de DNS, cree un registro de tipo TXT con estos valores:
- Tipo: TXT.
- Nombre / Host: depende del dominio a validar:
  - Si es un subdominio, ingrese solo la parte del subdominio. Por ejemplo, para ciberseguridad.miempresa.com, ingrese ciberseguridad.
  - Si es un dominio raíz, según el proveedor, ingrese @ o deje el campo vacío.
- Valor: el código de validación copiado en el paso anterior.
- TTL: el valor por defecto.
Espere a que el cambio se propague y valide el dominio desde la plataforma.

Para el detalle completo, consulte el instructivo: Cómo validar un dominio en SMARTFENSE.

En proveedores como GoDaddy, Namecheap o Cloudflare, el campo Host completa automáticamente el dominio. Si se ingresa @ para un subdominio, el registro queda creado en el dominio raíz y la validación falla. Si se ingresa el nombre completo, el registro puede quedar duplicado (por ejemplo, ciberseguridad.miempresa.com.miempresa.com).

Paso 2: Registrar el dominio personalizado

En la sección Dominios personalizados, presione el botón Nuevo dominio personalizado.
En el campo Dominio, seleccione el dominio corporativo validado en el paso 1. El combo solo lista dominios validados que aún no fueron registrados como personalizados.
Presione Registrar.

La plataforma genera un DNS target para ese dominio y lo agrega a la tabla de Dominios personalizados, en estado Registrado. Copie ese valor para el paso siguiente.

Si no posee dominios corporativos validados disponibles, al presionar Nuevo dominio personalizado la plataforma muestra el aviso: "Importante: No posee dominios corporativos validados disponibles. Agregue y valide un dominio corporativo antes de registrar un dominio personalizado."

Paso 3: Apuntar el dominio a la plataforma

El procedimiento depende de si el dominio personalizado es un subdominio o un dominio raíz.

Si es un subdominio (por ejemplo, ciberseguridad.miempresa.com)

En su proveedor de DNS, elimine el registro TXT de validación de SMARTFENSE creado en el paso 1 para ese subdominio (el que comienza con smartfense-domain-verification=).
Cree un registro de tipo CNAME con estos valores:
- Tipo: CNAME.
- Nombre / Host: el mismo utilizado en el paso 1 (por ejemplo, ciberseguridad).
- Valor / Apunta a: el DNS target que figura en la tabla de Dominios personalizados.
- TTL: el valor por defecto.

Al eliminar el registro TXT, el control periódico de dominios marcará el subdominio como Sin validar en la sección Dominios Corporativos a los 7 días. Esto es esperable y no afecta al dominio personalizado ya registrado, que sigue funcionando con normalidad.

Si es un dominio raíz (por ejemplo, miempresa.com)

Antes de continuar, confirme que su proveedor de DNS ofrece registros ALIAS o ANAME para el dominio raíz. GoDaddy, por ejemplo, no los ofrece; en ese caso, utilice un subdominio.

No elimine el registro TXT de validación. El dominio raíz debe mantenerse validado.
Cree un registro de tipo ALIAS o ANAME con estos valores:
- Tipo: ALIAS o ANAME, según el nombre que utilice su proveedor.
- Nombre / Host: @ o el campo vacío, según el proveedor.
- Valor / Apunta a: el DNS target que figura en la tabla de Dominios personalizados.
- TTL: el valor por defecto.

No modifique ni elimine otros registros existentes en el dominio raíz, como los de correo (MX) o los TXT de otros servicios.

Si utiliza Cloudflare, configure el registro como Solo DNS (nube gris), sin proxy. Con el proxy activado, la plataforma no puede detectar el registro.

Paso 4: Verificar la propagación y esperar la emisión del certificado

Antes de marcar el dominio como principal, deben cumplirse dos condiciones: el registro DNS tiene que estar propagado y el certificado de seguridad (HTTPS) del dominio tiene que estar emitido. Esto se debe a que, al presionar Marcar como principal, la plataforma accede por HTTPS a través del nuevo dominio para comprobar que llega a su instancia.

Verificar la propagación del registro

La propagación del cambio de DNS puede demorar desde algunos minutos hasta varias horas. Para verificarla:

Ingrese a una herramienta de verificación de propagación DNS. Puede encontrar varias opciones gratuitas buscando "verificador de propagación DNS" en su navegador.
Escriba el dominio completo (por ejemplo, ciberseguridad.miempresa.com) y seleccione el tipo de registro:
- CNAME si se trata de un subdominio. El resultado debe mostrar el DNS target indicado en la plataforma.
- A si se trata de un dominio raíz con ALIAS o ANAME. Estos registros no se muestran como tales en las consultas públicas: el resultado debe mostrar las mismas direcciones IP que devuelve el DNS target al consultarlo con el tipo A.
Ejecute la consulta.
Confirme que la mayoría de los servidores devuelven el resultado esperado.

Consulte siempre el nombre completo del dominio que va a utilizar. Si consulta el dominio raíz cuando configuró un subdominio, verá otros registros y el resultado no será representativo.

Esperar la emisión del certificado

El certificado de seguridad se solicita de forma automática una vez que el registro apunta a la plataforma. Su emisión puede demorar hasta una hora. Espere ese tiempo antes de continuar con el paso 5.

Paso 5: Marcar el dominio como principal

En la tabla de Dominios personalizados, presione Marcar como principal en la fila del dominio.
La plataforma muestra el diálogo Marcar dominio como principal. Antes de aplicar el cambio, verifica por HTTPS que el dominio ya apunte correctamente hacia su instancia.
Si su instancia tiene integraciones que dependen del dominio principal, el diálogo muestra una advertencia. En ese caso, presione Aceptar solo después de haber registrado la nueva dirección en el proveedor correspondiente.

A partir de ese momento, los enlaces generados por la plataforma comienzan a utilizar el nuevo dominio principal.

Integraciones afectadas por el cambio de dominio principal

Algunas integraciones utilizan direcciones de redirección que se construyen a partir del dominio principal. Al cambiarlo, la plataforma utilizará el nuevo dominio en esas direcciones, por lo que deberá registrarlas en la configuración del proveedor correspondiente; de lo contrario, el inicio de sesión o dichas integraciones pueden dejar de funcionar. Las integraciones afectadas son:

Inicio de sesión único (SSO) con Microsoft Entra ID, Google, Auth0, Okta, Keycloak o SAML.
Aplicación de Microsoft Teams.
Importación de usuarios desde Google.
Servidor de correo personalizado de Google.
Vanta.

Otras integraciones, como el botón de reporte de phishing o la importación de usuarios desde Microsoft Entra ID, no se ven afectadas por el cambio de dominio principal.

Actualización de la URI de redirección en Microsoft Entra ID

Si su instancia utiliza Microsoft Entra ID para la autenticación (inicio de sesión único), el cambio de dominio principal afecta directamente a esa integración. Si solo la utiliza para importar usuarios, no es necesario realizar estos pasos. La URI de redirección registrada en Azure se construye a partir del dominio principal y deja de funcionar en cuanto se aplica el cambio.

La URI de redirección sigue este formato:

https://<nuevo-dominio>/complete/azuread-oauth2/

Antes de confirmar el cambio de dominio en SMARTFENSE, realice estos pasos en el portal de Azure:

Ingrese al portal de Microsoft Azure y acceda a la aplicación registrada para SMARTFENSE.
Vaya a Información general y seleccione la opción URI de redirección de respuesta.
Añada la nueva URI construida con el nuevo dominio como URL de respuesta.
Presione Guardar.

Realice estos pasos antes de presionar Aceptar en el diálogo de confirmación de SMARTFENSE. Si confirma el cambio sin actualizar la URI, los usuarios no podrán autenticarse a través de Entra ID.

Para más información sobre la configuración de esta integración, consulte el Paso 2 en el artículo: Cómo importar usuarios y grupos desde Microsoft Entra ID.

Tabla de dominios personalizados

La tabla muestra, para cada dominio, las columnas Dominio, DNS target, Estado (Registrado o Principal) y Acciones (Marcar como principal, Eliminar). El dominio estándar siempre figura en la tabla, sin DNS target, y no puede eliminarse. Cuando no es el principal, dispone de la acción Marcar como principal, que permite volver a utilizarlo.

Solución de problemas

Al validar el dominio corporativo aparece "No ha sido posible validar el dominio". La plataforma no encuentra el registro TXT de validación en el nombre exacto del dominio. El detalle técnico del mensaje puede variar según el caso, pero la causa a revisar es la misma. Revise que el registro TXT se haya creado en ese nombre y no en el dominio raíz: para un subdominio, el campo Host debe contener solo la parte del subdominio, sin @. Verifíquelo con una herramienta de verificación de propagación DNS, consultando el dominio completo con el tipo TXT.

El proveedor de DNS no permite crear el registro CNAME en un subdominio. Es probable que todavía exista el registro TXT de validación u otro registro con el mismo nombre. Elimínelo y vuelva a crear el CNAME.

El proveedor de DNS no permite crear el registro CNAME en un dominio raíz. Es el comportamiento esperado: los dominios raíz no admiten CNAME. Utilice un registro ALIAS o ANAME. Si su proveedor no los ofrece (por ejemplo, GoDaddy), utilice un subdominio como dominio personalizado.

Al presionar Marcar como principal aparece "El dominio aún no apunta a la plataforma". Puede deberse a alguna de estas causas:

El registro todavía no se propagó o no apunta al DNS target correcto. Verifique la propagación como se indica en el paso 4 y revise que el valor coincida exactamente con el DNS target de la tabla.
El certificado de seguridad aún no fue emitido. Espere hasta una hora después de que el registro apunte a la plataforma y vuelva a intentarlo.

Si el registro está correctamente propagado y el error persiste después de una hora, contacte a Soporte para revisar el estado del certificado.

El subdominio aparece como Sin validar en Dominios Corporativos después de configurar el CNAME. Es el comportamiento esperado al eliminar el registro TXT de validación del subdominio. No afecta al dominio personalizado. Si el dominio raíz aparece como Sin validar, revise que su registro TXT de validación no se haya eliminado.

Preguntas frecuentes

¿El dominio estándar deja de funcionar? No. Permanece disponible en todo momento.

¿Es posible registrar varios dominios personalizados? No. Cada instancia admite un solo dominio personalizado. Si intenta registrar otro, la plataforma indica que se alcanzó el máximo permitido. Para registrar un dominio distinto, primero elimine el existente; si es el principal, antes marque el dominio estándar como principal.

¿Es necesario mantener validado el dominio raíz si utilizo un subdominio como dominio personalizado? No es necesario para el dominio personalizado, pero se recomienda. La plataforma utiliza los dominios corporativos validados para reconocer a su organización a partir del correo de sus usuarios, por ejemplo, en el reporte de correos sospechosos.

¿Cuánto demora en estar disponible? Depende de la propagación del cambio de DNS, que puede demorar desde algunos minutos hasta varias horas. Una vez que el dominio apunta a la plataforma, el certificado de seguridad (HTTPS) se emite de forma automática y puede demorar hasta una hora más. Recién entonces es posible marcar el dominio como principal.

¿Cómo se vuelve a utilizar el dominio estándar? Marque el dominio estándar como principal desde la tabla. Si además desea dejar de utilizar un dominio personalizado, elimínelo; previamente debe dejar de ser el principal.

¿Por qué no es posible eliminar el dominio principal? Para evitar que la plataforma quede sin una dirección de acceso válida. Marque otro dominio como principal y, a continuación, podrá eliminar el anterior.

💡 Mejores prácticas

Definir primeramente si el dominio a utilizar es un dominio raíz o un subdominio, ya que eso determina el valor del campo Host, el tipo de registro y si el TXT de validación debe eliminarse.
Validar como dominio corporativo exactamente el mismo dominio que se utilizará como dominio personalizado.
Mantener validado el dominio raíz de la organización, aunque el dominio personalizado sea un subdominio.
Verificar la propagación del registro CNAME o ALIAS/ANAME y esperar hasta una hora para la emisión del certificado antes de marcar el dominio como principal.
Registrar la nueva dirección en los proveedores de inicio de sesión único y en las demás integraciones afectadas antes de confirmar el cambio de dominio principal.
Informar a los usuarios del cambio de dirección de acceso y mantener el dominio estándar como respaldo ante cualquier problema de DNS.