¿Qué es la protección DDoS, y una pyme de verdad necesita pagar por ella?
La protección DDoS mantiene tu sitio en línea durante un ataque de denegación de servicio distribuido —una inundación de tráfico malicioso desde muchas máquinas que intenta tumbarte— enrutando tu tráfico por una red de filtrado, usualmente una CDN, que bloquea las peticiones malas en el edge antes de que lleguen a tu servidor de origen. Se vende con mucho miedo a precios enterprise, de $3.000 a $20.000 al mes, pero para una pequeña empresa el panorama honesto es mucho más barato. La protección básica contra los ataques volumétricos comunes es gratis y sin medir a través de una CDN como Cloudflare cuando tu sitio corre por su red, y un sitio estático lo vuelve más fácil todavía, porque un sitio servido como archivos cacheados desde cientos de ubicaciones de edge no tiene un servidor de origen único haciendo trabajo por petición que saturar. Así que la pregunta real usualmente no es “¿qué servicio de depuración caro compro?” — es “¿hay una CDN frente a mi sitio, y está oculto mi origen?”. Las trampas que de verdad importan son mundanas en vez de aterradoras: hostings que desagregan la mitigación DDoS básica como un complemento pago, proveedores que te cobran por petición durante un ataque para que una defensa se vuelva una factura sorpresa, y una IP de origen expuesta que deja a los atacantes saltarse tu protección por completo. Es por esto que incluimos la protección DDoS en el hosting que corremos en vez de vendértela aparte, y por qué le diremos con claridad a un dueño de sitio estático pequeño que no necesita un plan de $3.000 al mes.
Qué es de verdad un ataque DDoS
Un ataque de denegación de servicio distribuido es un intento de volver tu sitio web indisponible abrumándolo con tráfico desde muchas máquinas a la vez —a menudo una botnet de miles de dispositivos comprometidos— para que los visitantes reales no puedan pasar (Fastly, 2026). Los ataques vienen en distintas capas: las inundaciones volumétricas y de protocolo en las capas 3 y 4 buscan saturar tu ancho de banda o capacidad de conexión, mientras que los ataques de capa de aplicación (capa 7) apuntan a páginas o funciones específicas como un formulario de login para agotar al servidor que hace trabajo real (Cloudflare, 2026). En 2026, los ataques grandes exceden con frecuencia tres a cuatro terabits por segundo, y el récord se sienta cerca de 71 millones de peticiones por segundo.
La razón por la que le importa a un negocio de cualquier tamaño es el costo de estar fuera de línea. Un ataque DDoS que tumba tu sitio te cuesta ventas y refleja mal a tu marca, ya que los clientes esperan una experiencia confiable y leen la caída como una señal de alarma (Fastly, 2026). Y los sitios pequeños no están exentos — los golpean por extorsión, actividad de botnets, travesuras de competidores, o simplemente como daño colateral en un ataque más amplio. La buena noticia, que el marketing enterprise tiende a enterrar, es que proteger un sitio pequeño es barato. Este es el lado de disponibilidad del cuadro completo que traza nuestro pilar sobre cuánto cuesta de verdad una página web.
Cómo funciona la protección
La idea central es filtrar antes de que tu servidor vea siquiera el tráfico. Los servicios de protección enrutan tus peticiones entrantes por una red grande —el edge de una CDN o centros de depuración dedicados— que analiza el tráfico en tiempo real y bloquea las peticiones maliciosas mientras deja pasar las legítimas, usando limitación de tasa, detección de anomalías, desafíos de tráfico, y filtrado por reputación de IP y geografía (Gartner, 2026). Como estas redes son enormes —las más grandes corren cientos de terabits por segundo de capacidad entre centros de datos por todo el mundo— pueden absorber una inundación volumétrica que sepultaría al instante a un solo servidor (Cloudflare, 2026).
Hay dos estilos de despliegue que vale conocer. La protección siempre-activa enruta todo tu tráfico por la red de mitigación de forma continua, así que responde en el instante en que un ataque empieza; la protección bajo demanda solo se activa una vez que un ataque se detecta, lo que deja una ventana en la que puede ocurrir daño — así que para cualquier cosa crítica para el negocio, la siempre-activa es el default más seguro (Indusface, 2026). En la práctica, para un sitio web típico este filtrado viene agrupado en una CDN, que es por qué la misma CDN que acelera tu sitio es usualmente también lo que lo protege.
Cuánto cuesta de verdad, y la prima del miedo
Aquí es donde los números honestos divergen fuerte del discurso de ventas. El nivel gratuito de una CDN reputable incluye mitigación sin medir de los ataques volumétricos de capa 3/4 para cualquier sitio que pase por su red —genuinamente gratis y genuinamente efectivo para el grueso de lo que enfrentan los sitios pequeños— con un nivel Pro de unos $20 al mes que añade un firewall de aplicaciones web (SecureBin, 2026). En el otro extremo, los servicios de depuración enterprise corren de unos pocos miles de dólares al mes a las decenas de miles, dirigidos a bancos, gobiernos y e-commerce a gran escala con necesidades de disponibilidad críticas (Flowtriq, 2026). Las plataformas de nube se sientan en medio: AWS Shield Standard viene gratis con cada cuenta de AWS pero corre en silencio sin visibilidad, alertas ni forense, mientras que su nivel Advanced cuesta cerca de $3.000 al mes, y los paquetes gestionados comparables de WAF-y-DDoS para pequeñas empresas arrancan cerca de $59 a $250 al mes (Flowtriq, 2026).
| Nivel | Costo típico | Para quién |
|---|---|---|
| Nivel gratuito de CDN | Gratis, sin medir (L3/L4) | La mayoría de los sitios pequeños y medianos |
| CDN pago (WAF, L7) | ~$20–200/mes | Sitios en crecimiento, logins/pagos |
| Depuración enterprise | $3.000–$20.000+/mes | Bancos, gobiernos, gran e-commerce |
Dos trampas de costo merecen una advertencia. La primera es la facturación por picos: algunos proveedores cobran por petición durante un ataque, así que una inundación sostenida vuelve tu defensa una factura sorpresa — que es por qué vale insistir en un precio plano y sin medir que no cobre por el tráfico de ataque (Indusface, 2026). La segunda es la trampa del complemento del lado del hosting, donde la mitigación DDoS básica que debería estar incluida se te vende de vuelta como un extra pago — el mismo patrón de desagregación que nuestra guía sobre costo de hosting marca a través de SSL, backups y email.
La ventaja del sitio estático
Hay una razón arquitectónica por la que un sitio bien construido es más fácil de proteger, y es la misma razón por la que es más barato de alojar. Las CDN modernas agrupan mitigación DDoS, un firewall de aplicaciones web y encriptación TLS, bloqueando el tráfico malicioso en el edge antes de que llegue a tu origen (Naturaily, 2026). Para un sitio estático, ese edge hace todavía más trabajo: el sitio se sirve como archivos pre-construidos cacheados entre cientos de ubicaciones de edge, así que no hay un servidor de origen único corriendo consultas a la base de datos y código de aplicación en cada petición — que es precisamente lo que un ataque intenta agotar. Una inundación aterriza en su mayoría sobre copias cacheadas en el edge en vez de sobre tu servidor, así que el sitio se mantiene arriba.
Un sitio con base de datos y un origen ocupado es mucho más fácil de tumbar, porque cada petición puede forzar cómputo real. La conclusión práctica es que la arquitectura estática te da resiliencia como una propiedad de cómo está construido el sitio, no únicamente como un producto que compras encima. Una advertencia operativa carga peso real sin importar la arquitectura: mantén oculta la dirección IP de tu servidor de origen, porque un atacante que la descubre —por registros DNS históricos, cabeceras de email o configuraciones filtradas— puede saltarse tu protección de CDN y golpear el origen directo (SecureBin, 2026).
Por qué la incluimos — y cuándo no necesitas más
Dicho con claridad como la parte comercial que somos: la protección DDoS es parte del hosting que corremos para los sitios que construimos, no una línea que te vendemos aparte. Como construimos sitios estáticos servidos a través de una CDN, el filtrado a nivel de edge y la resiliencia de la entrega cacheada-en-todas-partes vienen con la configuración — así que un cliente obtiene protección contra los ataques comunes como una propiedad de cómo está alojado su sitio, junto al hosting confiable y los backups que se sientan sobre el mismo cimiento. Es lo opuesto al modelo de complemento, donde los esenciales se desagregan para bajar un precio de titular.
Y la puerta honesta importa aquí tanto como en cualquier parte: una pequeña empresa con un sitio estático tras una CDN no necesita un plan de depuración enterprise de $3.000 al mes, y te lo diremos en vez de venderte miedo. Solo alcanzarías protección dedicada de grado enterprise si corrieras infraestructura genuinamente de alto riesgo —pagos a gran escala, un blanco frecuente, SLA de disponibilidad estrictos. Corto de eso, el nivel de CDN gratuito-o-barato más un origen oculto es la respuesta del tamaño correcto, y pagar más compra una tranquilidad que puedes conseguir por mucho menos.
La resiliencia se construye, no únicamente se compra
La protección DDoS resulta seguir el patrón que recorre todo aquí: la versión basada en el miedo te vende un producto caro, y la versión honesta apunta a cómo está construida la cosa. Un sitio servido como archivos estáticos cacheados tras una CDN es resiliente por su arquitectura, protegido por mitigación que es en gran medida gratis, y dejado vulnerable principalmente por errores mundanos como un origen expuesto — no porque saltaste un contrato de cinco cifras. El dinero que el discurso enterprise quiere es, para la mayoría de las pequeñas empresas, una prima sobre la ansiedad.
Así que el enfoque del tamaño correcto es simple: pon una CDN frente a tu sitio, mantén el origen oculto, insiste en que la protección básica esté incluida en vez de ser un complemento, y apóyate en la resiliencia que una construcción estática te da gratis. Haz eso, y mantenerte en línea durante un ataque se vuelve una propiedad de un sitio bien construido y bien alojado en vez de una tarifa mensual — que es la misma lógica de “hacerlo bien una vez” detrás de nuestras guías de hosting y backups, y detrás de todo el enfoque que traza nuestro pilar sobre cuánto cuesta una página web.
Frequently asked
- ¿Qué es la protección DDoS?
- La protección DDoS es un servicio que mantiene tu sitio web en línea durante un ataque de denegación de servicio distribuido — un intento de tumbar tu sitio inundándolo con tráfico malicioso desde muchas máquinas a la vez. La protección funciona enrutando tu tráfico por una red de filtrado, usualmente una CDN o centros de depuración dedicados, que identifica y bloquea las peticiones maliciosas antes de que lleguen a tu servidor de origen, usando técnicas como limitación de tasa, detección de anomalías y desafíos de tráfico. La meta es simple: mantener tu sitio accesible para los visitantes reales mientras absorbe o descarta el tráfico del ataque.
- ¿Cuánto cuesta la protección DDoS?
- Mucho menos de lo que sugieren los precios enterprise, para la mayoría de los sitios pequeños. La protección básica contra ataques volumétricos (capa 3/4) está disponible gratis y sin medir a través de una CDN como Cloudflare cuando tu sitio pasa por su red, y un nivel Pro de unos $20 al mes añade un firewall de aplicaciones web. Los servicios de depuración enterprise de proveedores como Akamai o Imperva corren de unos pocos miles a $20.000 o más al mes, dirigidos a bancos, gobiernos y grandes e-commerce. Un sitio de pequeña empresa —sobre todo uno estático tras una CDN— rara vez necesita algo más allá del nivel gratuito o de bajo costo.
- ¿Los sitios de pequeñas empresas son golpeados por ataques DDoS?
- Sí — los sitios pequeños también son blanco, sea por intentos de extorsión, actividad de botnets, travesuras de competidores, o simplemente por ser daño colateral en un ataque mayor. La parte tranquilizadora es que la protección efectiva para un sitio pequeño es barata o gratis, porque poner una CDN frente a tu sitio te da filtrado a nivel de edge sin un contrato enterprise. Los riesgos mayores para un sitio pequeño suelen ser mundanos: dejar la dirección IP de tu servidor de origen públicamente descubrible para que los atacantes puedan saltarse la CDN, o estar en un hosting que trata la mitigación DDoS básica como un complemento pago en vez de incluirla.
- ¿Por qué un sitio estático es más resiliente a los ataques DDoS?
- Porque hay mucho menos que saturar. Un sitio estático se sirve como archivos pre-construidos que una CDN cachea y entrega desde cientos de ubicaciones de edge, así que no hay un servidor de origen único haciendo consultas a la base de datos y corriendo código de aplicación en cada petición — que es justo lo que los ataques volumétricos intentan agotar. La CDN absorbe y filtra el tráfico en el edge, e incluso una inundación grande golpea en su mayoría copias cacheadas en vez de tu origen. Un sitio con base de datos y un origen ocupado es mucho más fácil de tumbar, que es una de varias razones por las que la arquitectura estática es más barata y firme de alojar.
- ¿La protección DDoS gratuita de una CDN es suficiente?
- Para la mayoría de los sitios pequeños y medianos, sí. El nivel gratuito de una CDN reputable provee mitigación sin medir de los ataques volumétricos comunes (capa 3/4) que forman el grueso de lo que enfrentan los sitios pequeños, filtrando el tráfico antes de que llegue a ti. Los niveles pagos añaden un firewall de aplicaciones web, gestión de bots y control más fino sobre la protección de capa de aplicación (capa 7), que importan más a medida que creces o corres funciones sensibles como logins y pagos. La clave es que la protección básica no debería costar extra — y si lo hace, es una señal para revisar cómo está agrupado tu hosting.