CDN y WAF para pymes: cuál necesitas y cuánto cuesta

Hay dos siglas que aparecen en cuanto alguien te propone «proteger la web»: CDN y WAF. Se venden juntas, se confunden entre sí y muchas veces acabas pagando por una creyendo que compras la otra. Aquí va la diferencia en cristiano, cuándo hace falta cada una en una pyme y qué rango de precio es razonable.

Qué es cada cosa

Una CDN (red de distribución de contenidos) es una red de servidores repartidos por el mundo que guardan una copia de tus imágenes, hojas de estilo y ficheros estáticos. Cuando alguien entra a tu web, se los sirve el nodo más cercano en vez de tu servidor. Nació para velocidad, no para seguridad.

Un WAF (cortafuegos de aplicación web) es un filtro que lee cada petición antes de que llegue a tu web y descarta las que tienen pinta de ataque: inyecciones SQL, intentos de subir ficheros, peticiones a rutas de plugins vulnerables conocidos, oleadas de fuerza bruta. Nació para seguridad.

La confusión viene de que los grandes proveedores venden las dos en el mismo panel. Pero son capas distintas y se pueden tener por separado.

Qué te aporta de verdad cada una

	CDN	WAF
Problema que resuelve	La web tarda; el servidor se ahoga con las visitas	Peticiones maliciosas que buscan un agujero
Efecto secundario útil	Absorbe picos de tráfico y oculta la IP de tu servidor	Corta escaneos automáticos antes de que lleguen a PHP
Lo que NO hace	No detecta ataques ni limpia nada	No arregla un plugin vulnerable: solo tapa el intento conocido
Se nota en…	Tiempos de carga, sobre todo con visitas lejanas	Registros: caen en picado los 404 raros y los POST masivos

El matiz que casi nadie explica: el WAF es un parche virtual, no un parche

Cuando aparece una vulnerabilidad grave en un plugin muy usado, los WAF publican una regla en horas. Eso te da margen para actualizar sin estar expuesto: se llama parcheo virtual. Es valiosísimo cuando tienes varias webs o cuando la actualización rompe algo y necesitas probarla antes.

Pero es un margen, no una solución. El agujero sigue en tu código: si mañana alguien encuentra otra forma de explotarlo que la regla no contempla, entra igual. Por eso el orden correcto es actualizar los plugins sin romper la web y usar el WAF como red de seguridad, nunca al revés.

¿Necesita tu web un WAF?

Nuestra regla práctica, según lo que vemos al limpiar webs:

Web informativa de 10 páginas, sin usuarios ni pagos: con una CDN gratuita que ya incluya protección básica y las actualizaciones al día vas servido. Un WAF de pago aporta poco.
Tienda online, reservas o cualquier web que cobre: sí. Aquí el coste de estar caído o comprometido se mide en ventas perdidas y en obligaciones de notificación si hay datos de clientes.
Web con formularios que tratan datos personales sensibles: sí, y además te ayuda a justificar las medidas técnicas apropiadas del artículo 32 ante la Agencia.
Web que ya ha sido atacada una vez: sí, mientras se cierra la causa. Después, revisa si sigue haciendo falta.

Cuánto cuesta

Los precios cambian, así que quédate con los órdenes de magnitud y confirma la tarifa vigente antes de contratar:

CDN con protección básica y certificado incluido: hay planes gratuitos perfectamente válidos para una web de empresa. Es, con diferencia, la mejor relación coste/beneficio del sector.
Plan intermedio con WAF gestionado y reglas para WordPress: entre veinte y treinta euros al mes por dominio, aproximadamente.
WAF especializado con servicio de limpieza incluido: del orden de doscientos a cuatrocientos euros al año.
WAF del propio hosting: a veces ya lo tienes contratado y no lo sabes. Pregunta antes de pagar otro.

Antes de contratar nada: comprueba si tu alojamiento ya incluye cortafuegos, límite de peticiones o protección frente a saturación. En muchos planes gestionados de WordPress viene de serie. Lo tratamos en cómo elegir hosting sin que te den gato por liebre.

Los tres errores que vemos al ponerlo

1. Dejar la IP del servidor expuesta

Si pones una CDN delante pero tu servidor sigue respondiendo directamente en su IP —porque hay un subdominio antiguo apuntando a ella, o un registro de correo que la revela—, el atacante la encuentra y se salta la protección entera. Revisa todos los registros DNS del dominio, no solo el principal.

2. Activar el modo agresivo y romper el escritorio

Las reglas estrictas bloquean a veces el editor de entradas, la subida de ficheros o el propio acceso al escritorio. La solución no es apagar el WAF: es excluir la ruta de administración para tu IP y revisar el registro de bloqueos la primera semana.

3. Creer que la caché es seguridad

Una CDN con caché agresiva puede hacer que una web comprometida siga sirviendo el contenido inyectado mucho después de haberlo limpiado, o al revés, que no veas el problema porque miras una copia guardada. Cuando revises algo, hazlo saltándote la caché y comprobando también qué ve Google frente a qué ve un visitante.

Cómo montarlo en el orden correcto

Copia de seguridad reciente y probada. Vas a tocar DNS: si algo sale mal, quieres poder volver.
Da de alta el dominio en el proveedor de CDN y copia todos los registros DNS tal cual están, incluido el correo.
Cambia los servidores de nombres y espera a que propague. Comprueba que la web y el correo siguen funcionando.
Activa el certificado y fuerza HTTPS. Si te da errores, tienes el diagnóstico en errores de certificado SSL.
Activa el WAF en modo aviso unos días, revisa qué habría bloqueado y solo entonces pásalo a bloqueo.
Por último, cierra la puerta de atrás: que tu servidor solo acepte tráfico del proveedor de CDN.

Ese último paso es el que casi nadie da y el que separa «tengo una CDN» de «estoy protegido». El equipo de INCIBE publica guías gratuitas de referencia si quieres contrastar el planteamiento con una fuente pública.

Y recuerda el límite: ni la CDN ni el WAF ven el interior de tu servidor. Si sospechas que ya hay algo dentro, ninguna de las dos te lo va a decir; eso se revisa con acceso a los ficheros y a la base de datos.

Seguir leyendo en esta sección

Ver todo en Endurecer tu web → · Mapa completo del sitio