Volumétrico
Capa 3/4Inunda tu ancho de banda con UDP o ICMP. Se mide en Gbps y Mpps; un pico de 100 Gbps llena un enlace de 10 Gbps por bueno que sea tu cortafuegos.
Protección DDoS
Absorción automática en el borde, honesta sobre la escala.
La protección DDoS es una capa entre internet y tu servidor que filtra el tráfico malicioso antes de que llegue a la máquina. La nuestra es automática y siempre activa, integrada en la red: filtrado en el servidor, reglas BGP FlowSpec en el borde, enrutamiento blackhole y limpieza aguas arriba para el raro caso hipervolumétrico. Y somos honestos sobre lo que de verdad golpea a un servidor de hosting —y sobre lo que ninguna red absorbe sola. España y Latinoamérica.
En breve
- Siempre activa y automática. Los ataques duran menos de un minuto; no hay tiempo para un humano en el bucle.
- Dimensionada a la realidad. Casi todos los ataques reales son de escala de gigabits, no de terabits; el borde los absorbe solos.
- Quirúrgica, no a ciegas. FlowSpec descarta el flood y deja pasar el tráfico legítimo; el blackhole es el último recurso.
- Incluida, no un extra caro. La absorción de los ataques comunes es parte de la red; solo el scrubbing hipervolumétrico se presupuesta.
- Honestos con la escala. Te decimos qué no puede absorber ninguna red sola, en vez de venderte miedo.
¿Qué es la protección DDoS?
Un ataque de denegación de servicio distribuido (DDoS) busca dejar fuera de juego un servidor o una red con un aluvión de peticiones falsas desde muchos orígenes a la vez, a menudo una botnet. Ese tráfico ilegítimo consume ancho de banda, CPU y memoria, y desplaza a los usuarios reales hasta que el servicio va lento o cae. La protección DDoS es la capa que se sienta entre internet y tu servidor para analizar el tráfico, detectar los patrones de ataque y filtrar lo malicioso antes de que llegue a la máquina.
La diferencia con un simple cortafuegos es la escala y el lugar. Un DoS viene de un solo origen y se bloquea filtrando esa IP; un DDoS llega desde miles o millones de orígenes simultáneos, así que la defensa tiene que ser distribuida y vivir en el borde de la red, con mucha más capacidad de absorción que cualquier servidor. Un cortafuegos local colapsa ante tráfico masivo; la mitigación útil ocurre antes, en la propia red.
La amenaza en 2026, en su justa proporción
El extremo superior es real y conviene decirlo claro. En 2025 se bloquearon ataques hipervolumétricos de 6,5 Tbps —4.800 millones de paquetes por segundo— y el récord conocido ya roza los 22 Tbps. Los ataques a nivel de red crecieron un 168 % el último año, el tamaño medio sube alrededor de un 69 % interanual, y botnets de dispositivos IoT como Aisuru sostienen estas cifras. La región EMEA, que incluye a Europa, concentra cerca del 65 % del volumen mundial de ataques.
Lo que lo hace peligroso no es solo el tamaño, también la economía. El DDoS-como-servicio se alquila barato y por horas, así que casi cualquiera puede ser objetivo de casi cualquiera, por casi cualquier motivo. Los sectores más en el punto de mira son el comercio electrónico, las finanzas, las telecomunicaciones y la administración pública —esta última muy golpeada por el hacktivismo, con botnets como NoName057(16)— pero lo barato del ataque significa que nadie con presencia pública queda del todo fuera.
Conviene, eso sí, mantener las cifras de miedo en su sitio. Un récord construido con millones de cámaras y televisores secuestrados para amargarle treinta y cinco segundos a una operadora es real, pero no es el clima en que vive tu servidor cada día. La lección útil del panorama de 2026 no es el pánico: es que los ataques son ya tan baratos, rápidos y automáticos que la protección tiene que estar de pie y automatizada, porque el siguiente puede llegar a cualquier hora sin aviso ni motivo.
¿Pero qué golpea de verdad a un servidor como el tuyo?
Algo mucho más pequeño, casi siempre. La inmensa mayoría de los ataques reales contra un servidor de hosting están entre 100 Mbps y unos pocos Gbps —tres cuartas partes por debajo de 9 Gbps—, no en los terabits de los titulares. Eso no los hace inofensivos: un pico de unos pocos Gbps tumba en segundos un servidor sin protección con un enlace de 1 o 10 Gbps.
Es lo más útil que se puede entender del DDoS, porque cambia el aspecto de una buena protección. Para casi todas las cargas no necesitas un contrato con una nube de limpieza a escala planetaria dimensionada para 30 terabits. Necesitas un borde que absorba en silencio y de forma automática los floods de escala de gigabits que son la abrumadora mayoría de los ataques reales, antes de que lleguen a tu enlace —y un plan claro y honesto para el día raro en que llega algo mayor. Así es justo como lo hemos construido.
Dimensionar la protección al long-tail y no al titular también mantiene honesta la economía. Aprovisionar a cada cliente como si un flood de treinta terabits fuera inminente costaría una fortuna y no protegería mejor a casi nadie, porque casi nadie se enfrenta a eso. Ajustar el borde a la realidad de los gigabits, y conservar una vía real de escalado para la excepción, sale más barato y es más honesto que vender miedo: la protección que pagas es la que de verdad usas.
¿Por qué la mitigación tiene que ser automática?
Porque ya no hay tiempo para un humano en el bucle. El ataque récord de 7,3 Tbps duró 45 segundos, y muchos floods de capa 7 duran menos de un minuto. Para cuando un ingeniero de guardia ve subir la gráfica, reconoce el ataque y activa una respuesta manual, el asalto ya ha terminado —aunque el daño colateral pueda tardar días en resolverse.
Hace unos años, un humano vigilando un panel era una defensa razonable contra floods que tardaban minutos en crecer. Contra un ataque que llega a su pico en segundos, esa ventana ha desaparecido. Por eso nuestra detección y mitigación están siempre en línea y son automáticas: la telemetría marca la anomalía en torno a un segundo, el sistema clasifica el vector, y la respuesta se aplica sola, con un humano supervisando y afinando en vez de pulsando el botón.
Las familias
Los vectores de ataque, por familia
El DDoS no es una amenaza única. Son familias distintas que atacan capas distintas y exigen defensas distintas; los ataques serios suelen combinarlas.
Amplificación / reflexión
Capa 3/4Explota servicios que responden con mucho más de lo que se les pide —DNS, NTP, Memcached, CLDAP— multiplicando el tráfico hacia ti desde reflectores de terceros.
De protocolo
Capa 4Agota las tablas de estado de cortafuegos y balanceadores con SYN floods o fragmentos: poco volumen, mucho daño.
De aplicación
Capa 7Imita a un humano con peticiones GET/POST costosas que agotan la CPU y la base de datos. Con HTTP/3 y QUIC cifrados es más difícil de rastrear.
Multivector
Capas 3/4/7Combina varios a la vez y se adapta en tiempo real al ser mitigado: la forma dominante de los ataques serios hoy.
Distinguir un ataque de un pico de tráfico legítimo
Es la parte difícil, y donde una mala mitigación hace daño. Un lanzamiento de producto o una campaña pueden parecer un ataque: muchas peticiones de golpe. La diferencia está en los patrones —orígenes, cadencia, huella de los navegadores, mezcla de protocolos— que un motor de análisis de comportamiento reconoce en milisegundos. Por eso clasificamos antes de filtrar: bloquear a ciegas ante un pico legítimo tira a tus propios usuarios, que es justo lo que un ataque querría conseguir.
La inspección, además, tiene que ser barata en recursos o se convierte ella misma en el cuello de botella. Una mitigación mal montada que examina cada paquete sin capacidad suficiente añade latencia y frena a los visitantes reales. El objetivo es filtrar lo dañino en tiempo real, cerca del borde, sin penalizar la experiencia de quien sí debe pasar —y para eso los umbrales se calibran a tu tráfico normal, no a una cifra genérica.
La mitigación
Cómo mitigamos: capa a capa
Cada capa entra solo cuando la anterior se queda corta, del servidor al borde y, si de verdad hace falta, aguas arriba. Así la protección encaja con el ataque real.
1
En el servidor — primera línea
Reglas locales y endurecimiento de la pila TCP absorben los floods pequeños sin tocar la red.
2
En el borde (FlowSpec) — el grueso del trabajo
Reglas BGP FlowSpec quirúrgicas descartan el ataque en el borde y dejan pasar el tráfico legítimo, sin un centro de limpieza.
3
Aguas arriba (limpieza) — solo si hace falta
Si el volumen supera lo que el borde puede cursar, se desvía a capacidad de limpieza aguas arriba, de forma automática.
4
Blackhole RTBH — último recurso
Para un único destino bajo un ataque imposible de filtrar, se descarta todo el tráfico a esa IP para salvar el resto de la red.
Cada capa se despliega sola y solo cuando la anterior se queda corta, de modo que pagas y usas la protección que de verdad necesitas. El terminal de abajo es una forma real de ello: una regla FlowSpec quirúrgica que quita un flood UDP mientras el tráfico legítimo sigue pasando, y la comunidad de blackhole usada solo como último recurso.
edge1# exabgp — anunciar mitigación (extracto)
flow {
route drop-udp-amp {
match {
source 0.0.0.0/0;
destination 203.0.113.10/32;
protocol udp;
packet-length >900;
}
then { discard; } # quirúrgico: descarta el flood, conserva el tráfico bueno
}
}
# último recurso — blackhole de una sola IP destino en el operador
neighbor 198.51.100.2 {
announce route 203.0.113.10/32 community [65000:666];
}
# 65000:666 = RTBH: descarta todo hacia esa IP, salva el restoPaso a paso
Qué pasa cuando llega un ataque
De la detección a la revisión, con cada paso automatizado. Este es el camino que sigue cada incidente en nuestra red.
- 01
Detectar en menos de un segundo
La telemetría por servidor y de borde vigila sin parar las tasas de paquetes y peticiones; una anomalía se marca en torno a un segundo, no cuando un humano se da cuenta.
- 02
Clasificar el ataque
El sistema identifica el vector —volumétrico, amplificación, capa 7 o tasa de paquetes— para que la respuesta encaje con el ataque en vez de adivinar.
- 03
Filtrar en el host o el borde
Los floods pequeños se absorben en el servidor; los grandes reciben reglas FlowSpec quirúrgicas en el borde que descartan el ataque mientras el tráfico legítimo sigue fluyendo.
- 04
Escalar solo si hace falta
Si el volumen supera lo que el borde puede cursar, el tráfico se desvía a capacidad aguas arriba y de limpieza automáticamente —cada capa entra solo cuando la anterior se queda corta.
- 05
Mantenerte informado
Ves qué ocurre y qué hacemos, en vez de enterarte abriendo un ticket.
- 06
Revisar después
Cada incidente se analiza para afinar reglas y líneas base, y que el siguiente se gestione más rápido.
¿Qué no puede absorber ninguna red por sí sola?
Un ataque hipervolumétrico de varios terabits por segundo supera la capacidad de tránsito de cualquier centro de datos individual, y sería deshonesto fingir lo contrario. Cuando un flood de esa escala es plausible para ti —por tu sector o tu exposición— la respuesta correcta es la limpieza aguas arriba: anunciar tus prefijos por BGP hacia una capacidad de scrubbing mucho mayor que filtra y devuelve solo el tráfico limpio. La ofrecemos, ajustada a tu riesgo, porque implica capacidad real y no una promesa de marketing.
Para casi todo el mundo, sin embargo, ese caso no llega nunca, y montar la vida alrededor de él es tirar el dinero. La postura honesta es absorber en el borde la realidad de gigabits que de verdad te golpea, tener la vía de escalado lista para la excepción, y decirte con claridad dónde está la frontera entre lo que cubrimos de serie y lo que requiere capacidad aparte. Preferimos esa franqueza a un número de Tbps en un folleto que nadie piensa cumplir.
DDoS e IP limpia: el mismo borde
La mitigación y la reputación de las IP viven en el mismo sitio: el borde de la red. El mismo control que descarta un flood antes de que toque tu servidor es el que mantiene tu espacio de direcciones limpio y de confianza para los proveedores de buzón, lo que une directamente la protección DDoS con la entregabilidad del correo. Una red que se deja usar para atacar a otros acaba en listas negras; una que filtra el abuso entrante y saliente conserva la reputación que hace que tu correo llegue a la bandeja.
¿Necesito un servicio anti-DDoS aparte?
Para la mayoría, no: la protección que va integrada en una buena red cubre la realidad de los ataques que de verdad llegan. Un servicio dedicado aparte —una nube de scrubbing especializada— tiene sentido cuando tu sector te convierte en objetivo constante de ataques a gran escala, cuando un minuto caído cuesta mucho dinero, o cuando una norma te obliga. Bajo NIS2 y DORA en la UE, la resiliencia ante DDoS, la notificación de incidentes y las pruebas regulares de las defensas son obligaciones, no buenas prácticas, para los sectores críticos.
Te decimos en qué grupo estás en vez de venderte el nivel más caro por defecto. Para un sitio pequeño o de tráfico moderado, la absorción incluida basta de sobra; para un banco, una pasarela de pago o una administración, dimensionamos el scrubbing aguas arriba y los registros que pide una auditoría. La protección anti-DDoS debería ser parte de la base del servicio, no un complemento caro que aparece en la última línea de la factura.
Qué operamos, con honestidad
Operamos mitigación de DDoS siempre activa y automática como parte de la red: detección en menos de un segundo, clasificación del vector, filtrado FlowSpec en el borde, y escalado a limpieza aguas arriba solo cuando hace falta. No revendemos una nube de scrubbing de terceros como si fuera nuestra ni prometemos absorber treinta terabits en cada plan. Donde aportamos valor es en absorber, de forma fiable y silenciosa, los ataques que de verdad te golpean, y en ser claros sobre el resto.
Preguntas
Respondidas con claridad
Lo que se pregunta antes de confiar en una protección DDoS.
¿Qué es la protección DDoS?
Es una capa entre internet y tu servidor que analiza el tráfico en tiempo real, detecta patrones de ataque y filtra lo malicioso antes de que llegue a la máquina. Un ataque DDoS llega desde miles o millones de orígenes a la vez, así que no basta con bloquear una IP: hace falta mitigación distribuida en el borde, con capacidad de absorción muy superior a la de un servidor solo.
¿Qué tamaño de ataque golpea de verdad a un servidor de hosting?
Casi siempre uno mucho más pequeño que los titulares. La gran mayoría de los ataques reales están entre 100 Mbps y unos pocos Gbps —tres cuartas partes por debajo de 9 Gbps—, no en los terabits que salen en las noticias. Por eso dimensionamos el borde para absorber automáticamente esos floods de escala de gigabits, que son la inmensa mayoría, y guardamos una vía clara de escalado para el día raro en que llega algo mayor.
¿Por qué tiene que ser automática la mitigación?
Porque ya no hay tiempo para un humano en el bucle. El ataque récord de 7,3 Tbps duró 45 segundos, y muchos floods de capa 7 duran menos de un minuto; para cuando un analista recibe la alerta, analiza el ataque y activa contramedidas manuales, ya ha terminado. La detección y la mitigación tienen que estar siempre activas, en línea y totalmente automatizadas.
¿Va incluida o se paga aparte?
La absorción de los ataques comunes va incluida en la red, siempre activa, sin coste añadido. Solo la limpieza aguas arriba a gran escala para riesgo hipervolumétrico real tiene coste, porque implica capacidad de tránsito real, y la ajustamos a tu exposición en vez de venderte miedo. La protección anti-DDoS debería ser parte de la base del servicio, no un complemento caro que se añade al final.
¿Qué es BGP FlowSpec y por qué lo usáis?
FlowSpec permite inyectar reglas de filtrado quirúrgicas directamente en el borde de la red por BGP: descarta, por ejemplo, un flood UDP con paquetes grandes a un destino concreto, sin tocar el tráfico legítimo. Bloquea los ataques volumétricos antes de que entren en la infraestructura troncal, y reserva el blackhole RTBH —descartar todo hacia una IP— para el último recurso.
¿Una CDN ya me protege del DDoS?
Las CDN modernas incluyen protección suficiente para ataques pequeños y medianos de capa 7 sobre tráfico web. Pero una CDN no protege tus servidores de correo, tus APIs no-HTTP ni el resto de tu infraestructura, y para servicios críticos suele recomendarse un nivel avanzado de scrubbing. Nosotros protegemos el servidor entero en el borde de la red, no solo el sitio web cacheado.
¿La normativa europea exige protección DDoS?
Cada vez más. Bajo NIS2 y DORA en la UE, las organizaciones de sectores críticos deben demostrar resiliencia ante DDoS, notificar incidentes y probar sus defensas con regularidad; un servicio bancario, de pago o de administración pública caído tiene impacto económico, reputacional y, ahora, posibles sanciones. Operar con mitigación siempre activa y registros verificables ayuda a sostener ese cumplimiento.
¿Operáis vosotros la mitigación o solo dais la herramienta?
La operamos. La detección, la clasificación, el filtrado en el borde y el escalado aguas arriba forman parte de la red que sostiene tus servicios, y cada incidente se revisa para afinar las defensas. No te dejamos solo con un panel y la esperanza de que sepas qué pulsar a las tres de la madrugada.
Dinos cuánto vale seguir en línea.
Tu exposición y qué te cuesta una caída, y ajustamos la protección —borde, escalado, registros— a tu riesgo real, sin venderte miedo ni un número de Tbps que no usarás.