WAF y protección anti-DDoS para webs y tiendas online

Qué es un WAF, qué es un DDoS y por qué tu web necesita ambos

Un firewall tradicional decide qué conexiones pasan según direcciones y puertos. Pero una web tiene que estar abierta a todo el mundo en los puertos web, así que ese filtro no sirve para distinguir a un cliente de un atacante. Un WAF (Web Application Firewall) trabaja un nivel más arriba: inspecciona las peticiones HTTP y bloquea las que siguen patrones de ataque conocidos, como inyección SQL, cross-site scripting, inclusión de archivos o intentos de acceder a rutas de administración. Son las categorías de riesgo que recoge, por ejemplo, el OWASP Top 10, la referencia más usada en seguridad de aplicaciones web.

El caso de WordPress, PrestaShop y Odoo

Los CMS y plataformas de comercio populares son objetivo precisamente por ser populares: cuando se publica una vulnerabilidad en un plugin o módulo, los bots empiezan a buscar webs afectadas de forma masiva. Lo correcto es actualizar, pero entre que sale el aviso y se aplica el parche puede pasar tiempo, sobre todo en tiendas con módulos a medida que hay que probar antes. Un WAF bien gestionado reduce esa ventana con reglas que bloquean el patrón de explotación, lo que se conoce como parcheo virtual. No sustituye a la actualización, pero gana tiempo.

Además, el WAF frena los ataques de fuerza bruta contra wp-login, el panel de PrestaShop o el login de Odoo, limita el raspado de catálogo por bots y reduce el spam en formularios.

Qué es un ataque DDoS

Un ataque de denegación de servicio distribuido intenta dejar la web inaccesible inundándola de tráfico desde muchos orígenes a la vez. Hay ataques volumétricos, que buscan saturar la conexión, y ataques a nivel de aplicación, que imitan visitas normales pero piden páginas costosas, como búsquedas o el carrito, hasta agotar el servidor. Para una tienda online, unas horas caída en plena campaña son ventas perdidas y clientes que no vuelven.

La protección anti-DDoS combina filtrado de red para el tráfico volumétrico con limitación de peticiones, desafíos a clientes sospechosos y reglas por país o comportamiento para el tráfico de aplicación.

Cómo lo gestionamos

Según el caso, aplicamos la protección en nuestra propia infraestructura o mediante un servicio de proxy especializado delante de tu web. Empezamos en modo observación para conocer el tráfico real, después activamos el bloqueo y vamos ajustando: exclusiones para pasarelas de pago, conectores de ERP, APIs de marketplaces o tu propia oficina, de forma que no se rompan integraciones. Revisamos los bloqueos para detectar falsos positivos y, si hay un ataque en curso, endurecemos reglas en el momento con soporte 24/7.

Funciona mejor si la web está bien alojada. Si la tienes con nosotros en hosting WordPress, hosting PrestaShop o hosting Odoo, la integración es directa; si está en otro proveedor también podemos protegerla.

Si ya te han atacado

Un WAF previene, pero no limpia. Si tu web ya muestra contenido extraño o redirige a otros sitios, primero hay que hacer una desinfección web y después proteger. El firewall de tu oficina es otra cosa: lo explicamos en firewall gestionado.

El precio depende del tráfico, del número de dominios y del nivel de protección; a consultar.