Arquitectura · 6 min de lectura
IP del servidor expuesta: riesgos y cómo cerrarla con WAFLY
Por qué ocultar la IP del origen es crítico para que WAF, CDN y mitigación de bots no puedan ser saltados.
Publicado el 4 de julio de 2026 · Equipo de seguridad de WAFLY
Poner una capa de seguridad delante de la web no sirve de mucho si el servidor sigue aceptando conexiones directas desde cualquier IP de internet.
Cómo se descubre una IP de origen
Históricos de DNS, subdominios olvidados, registros MX mal separados, cabeceras, certificados, respuestas de error y filtraciones en herramientas externas pueden revelar la IP real. Una vez conocida, un atacante puede probar el origen sin pasar por WAFLY.
Qué riesgos aparecen
- El WAF y la mitigación de bots quedan fuera del camino.
- La caché no descarga tráfico directo.
- Los ataques DDoS golpean capacidad real del servidor.
- Las reglas de analítica pierden visibilidad completa.
Solución operativa
Primero enruta el dominio por WAFLY. Después configura el firewall del servidor para aceptar HTTP y HTTPS solo desde rangos de WAFLY o desde el canal definido. Valida que certificados, cabeceras de IP real y health checks funcionan antes de cerrar definitivamente.
El origen debe confiar en WAFLY, no en internet completo.
La página de protección del origen explica este patrón con más detalle.