Proteger el servidor: por qué tu servidor no debería estar en internet

Puedes tener el mejor WAF del mundo y no servir de nada si alguien puede hablar directamente con tu servidor. Ocultar el servidor es una de las medidas de mayor impacto y menor esfuerzo que existen.

El agujero silencioso

Cuando pones WAFLY delante de tu web, el tráfico legítimo entra por ahí. Pero si tu IP del servidor sigue siendo accesible desde internet, un atacante que la descubra puede conectarse directamente y saltarse por completo la protección: el WAF, la caché y la mitigación de bots dejan de intervenir.

Y descubrir la IP del servidor es más fácil de lo que parece: históricos de DNS, cabeceras filtradas, subdominios mal configurados o certificados pueden delatarla.

Dos medidas que se complementan

Proteger el servidor tiene dos partes, y hacen falta las dos:

1. Enrutar todo por WAFLY con un cambio de DNS, de modo que tu dominio resuelva a WAFLY y no a tu servidor.
2. Cerrar el servidor configurando su firewall para aceptar solo tráfico procedente de WAFLY. Aunque alguien averigüe tu IP, la conexión directa se rechaza.

Enrutar sin cerrar deja la puerta de atrás abierta. Cerrar sin enrutar deja tu web inaccesible. Las dos juntas hacen que internet solo pueda hablar con WAFLY.

Qué ganas además de seguridad

• Menos carga directa: el contenido cacheado no llega al servidor y los bots se filtran antes.
• Menor superficie de ataque: lo que no está expuesto no se puede atacar directamente.
• Absorción de picos: las campañas y los eventos los amortiguan la caché y el filtrado, no tu base de datos.

Lo que no cambia

Tu aplicación, tu CMS y tu base de datos siguen igual. No hay que reescribir nada: es un cambio de DNS más una regla en el firewall del servidor. Tienes el detalle en protección del servidor y una guía paso a paso en la documentación.