DDoS · 7 min de lectura
Ataque DDoS de capa 7 en web o ecommerce: cómo responder
Qué diferencia un DDoS de aplicación, qué rutas suelen sufrir y cómo WAFLY reduce carga del origen con caché, reglas y rate limiting.
Publicado el 7 de julio de 2026 · Equipo de seguridad de WAFLY
No todos los ataques DDoS son grandes avalanchas de ancho de banda. Muchos incidentes contra webs y ecommerce son ataques de capa 7: miles de peticiones aparentemente normales que fuerzan PHP, consultas SQL, búsquedas, login o checkout.
Por qué los DDoS de aplicación son difíciles
Una petición GET a una ficha de producto puede ser legítima. Diez mil peticiones por minuto a la búsqueda interna, no. El problema es que el tráfico puede parecer válido a nivel de red mientras destruye capacidad en la aplicación. Firewalls tradicionales y reglas de puertos no ven suficiente contexto.
Rutas que suelen sufrir
- Búsqueda interna y filtros de catálogo.
- Login, registro y recuperación de contraseña.
- Carrito, checkout y APIs de disponibilidad.
- Endpoints Ajax de CMS, plugins y módulos.
Cómo reduce impacto WAFLY
WAFLY absorbe tráfico en el borde, cachea contenido cuando procede, aplica rate limiting por ruta y bloquea patrones anómalos antes de que el origen tenga que procesarlos. La clave es separar contenido cacheable de operaciones dinámicas y aplicar controles distintos.
Con analítica de tráfico, el equipo puede ver rutas atacadas, métodos, países, ASNs y códigos de respuesta. Esa visibilidad permite pasar de una reacción genérica a reglas concretas: limitar búsquedas caras, desafiar ráfagas sospechosas o bloquear firmas de ataque.
En capa 7, la defensa efectiva entiende HTTP, no solo volumen.
Preparación antes del incidente
Configura caché para páginas públicas, define límites por endpoint, oculta la IP del origen y valida un procedimiento de emergencia. Un ataque DDoS no es buen momento para descubrir qué rutas son críticas o qué reglas rompen el checkout.