Imaginate que tenés un local a la calle y de golpe llegan diez mil personas que no quieren comprar nada: solo entran, ocupan lugar, preguntan pavadas y no dejan pasar a los clientes de verdad. Al rato el local colapsa, la persiana se traba y el que sí quería comprar se va a la competencia. Eso, llevado a internet, es un ataque DDoS. Y aunque suene a problema de bancos o de multinacionales, la realidad es que cualquier sitio puede ser blanco: una tienda online chica, el blog de un profesional, el sistema de turnos de un consultorio. Por eso conviene entender qué es, quién está detrás y, sobre todo, qué tiene que hacer tu hosting para que no te agarre desprevenido.
Qué es exactamente un ataque DDoS
DDoS viene de "Distributed Denial of Service", o denegación de servicio distribuida. La idea es simple y por eso es tan efectiva: en lugar de hackear tu sitio, el atacante lo satura. Miles o millones de peticiones falsas llegan al servidor al mismo tiempo, todas pidiendo páginas, imágenes o conexiones. El servidor, que tiene recursos finitos, se pasa el día atendiendo tráfico basura y no le queda capacidad para responderle a los visitantes reales. El resultado: tu web tarda una eternidad en cargar o directamente muestra un error.
La palabra clave es "distribuida". El tráfico no sale de una sola computadora (eso sería fácil de bloquear), sino de miles de dispositivos repartidos por todo el mundo: computadoras infectadas, routers hogareños vulnerados, cámaras de seguridad conectadas a internet con la contraseña de fábrica. A ese ejército de máquinas zombis se lo llama botnet, y el dueño de cada dispositivo ni se entera de que su equipo está participando del ataque. Como las peticiones vienen de direcciones IP distintas y muchas parecen visitas normales, filtrarlas a mano es imposible.
Hay variantes técnicas: ataques volumétricos que buscan saturar el ancho de banda con fuerza bruta, ataques de protocolo que agotan las conexiones del servidor, y ataques de capa de aplicación que imitan usuarios reales pidiendo páginas pesadas una y otra vez. No hace falta que te sepas los nombres: lo importante es que todos persiguen lo mismo, sacarte de línea.
Quién ataca y por qué lo haría contra tu sitio
La pregunta lógica es: ¿quién va a gastar tiempo en atacarme a mí? Más gente de la que pensás, y por motivos bastante terrenales.
Competencia desleal. Suena a película, pero pasa: tirar abajo la web de un competidor durante un fin de semana de promociones o en plena temporada alta es una forma sucia de robarle ventas. En algunos mercados, contratar un ataque DDoS en la web oscura cuesta menos que una campaña de publicidad.
Extorsión. El esquema clásico: te tiran el sitio abajo unas horas, después llega un mail pidiendo un pago en criptomonedas para "dejarte en paz". Es el equivalente digital de la cobranza de protección, y apunta sobre todo a negocios que dependen de estar en línea.
Bots y ataques automatizados. Buena parte de los ataques ni siquiera te eligen a vos: son barridos masivos que prueban rangos enteros de servidores. Tu sitio puede comerse el daño colateral de un ataque dirigido a otro cliente del mismo servidor, si el proveedor no aísla y filtra bien.
Vandalismo o revancha. Un cliente enojado, un exempleado con conocimientos, alguien que quiere hacer daño porque puede. Las herramientas para lanzar ataques básicos se consiguen con una búsqueda.
Qué pasa cuando no hay protección
Si tu hosting no tiene mitigación DDoS, el ataque te pega de lleno. El sitio se cae y cada minuto offline es plata que no entra: carritos abandonados, consultas que no llegan, turnos que no se reservan. Si el ataque coincide con tu pico de ventas (que es exactamente cuando los atacantes eligen actuar), el golpe se multiplica.
Pero el daño no termina cuando vuelve el servicio. Google registra las caídas: si sus robots visitan tu sitio y lo encuentran muerto varias veces, tu posicionamiento sufre. Los visitantes que se toparon con el error tardan en volver, si es que vuelven. Y en algunos hostings baratos hay un final peor: ante un ataque, el proveedor directamente suspende tu cuenta "para proteger al resto de los clientes", con lo cual el atacante logró su objetivo con la complicidad involuntaria de tu propio hosting.
Cómo te protege un hosting con mitigación DDoS
La buena noticia es que la defensa contra DDoS no es algo que tengas que armar vos: se resuelve a nivel de infraestructura, en el hosting. Un proveedor serio combina varias capas.
Filtrado de tráfico en tiempo real. Sistemas automáticos analizan el tráfico entrante y distinguen patrones: un humano navega de una manera, una botnet de otra. Cuando detectan comportamiento anómalo (miles de peticiones idénticas por segundo desde IPs sospechosas), descartan ese tráfico antes de que llegue al servidor. Tu visitante real ni se entera de que hubo un ataque.
Firewall a nivel de red. Reglas que bloquean protocolos y puertos que un visitante web legítimo jamás usaría, cortando de raíz varias familias de ataques de protocolo.
Capacidad de absorción. Una red con ancho de banda sobrado puede "aguantar" picos de tráfico enormes mientras los filtros trabajan. Es la diferencia entre un dique y una pared de cartón: el volumen del ataque se diluye en una infraestructura grande en lugar de reventar un servidor chico.
Aislamiento entre clientes. En hosting compartido bien administrado, el ataque a un sitio vecino no debería voltear el tuyo. Los recursos se limitan por cuenta y el tráfico malicioso se corta arriba, en la red, no abajo en el servidor.
Qué preguntarle a tu proveedor antes de contratar
No todos los hostings son iguales, y "seguridad" en la página de ventas puede significar cualquier cosa. Antes de contratar, conviene hacer preguntas concretas:
- ¿La protección DDoS está incluida en todos los planes o es un extra pago? Hay proveedores que la cobran aparte o la reservan para planes caros.
- ¿La mitigación es automática o tenés que abrir un ticket y esperar mientras tu sitio agoniza?
- ¿Qué pasa con mi cuenta si recibo un ataque? Pedí que te confirmen que no suspenden tu servicio por ser víctima.
- ¿Hay soporte humano 24/7 al que puedas escribirle en el momento, o el "soporte" es una base de conocimientos y un formulario?
- ¿Qué otras capas de seguridad incluye el plan? Escaneo de malware, SSL, backups: el DDoS es una amenaza entre varias.
- ¿Qué uptime garantizan por contrato? Un SLA de 99.9% te dice que el proveedor pone plata detrás de su promesa de disponibilidad.
Las otras capas: el DDoS no viene solo
La protección DDoS resuelve la saturación, pero la seguridad de un sitio es un combo. El escaneo de malware detecta código malicioso inyectado en tus archivos antes de que infecte a tus visitantes o te haga poner en listas negras. El certificado SSL cifra la comunicación entre el navegador y el servidor, algo que hoy es obligatorio tanto para la confianza del usuario como para Google. Y las copias de seguridad diarias son tu red de emergencia definitiva: si algo sale mal (un ataque, un error humano, una actualización rota), restaurás y seguís. Lo ideal es que esos backups vivan en hardware separado del servidor principal, porque un respaldo guardado en la misma máquina que se cayó no sirve de mucho.
Cuando evalué proveedores para mis propios proyectos, este combo completo fue lo que me terminó inclinando por BanaHosting: la protección DDoS, el escaneo de malware y el SSL vienen incluidos en todos los planes sin costo extra, las copias diarias con JetBackup se guardan en hardware separado, y el soporte humano responde las 24 horas en menos de diez minutos por chat, ticket o teléfono. Llevan desde 2007 en esto y garantizan 99.9% de uptime por contrato, con 30 días de devolución si no te convence. Para dormir tranquilo sabiendo que tu sitio aguanta lo que le tiren, es de lo más sólido que probé.