“Alguien prueba contraseñas en nuestro login toda la noche.”
Una sola regla limita /login a 10 intentos por minuto y dirección. El resto se rechaza antes de que tu servidor lo vea.
WAPWeb Application Protection
WAF · Proxy inverso de seguridad · de OneFirewall Alliance
Los bots están atacando tu web ahora mismo. Detenlos en la puerta.
Quienes adivinan contraseñas, los escáneres y los scrapers consumen tus servidores, tu presupuesto y tus noches. Apunta tu dominio a WAP y serán rechazados antes de llegar a ti.
3 pasos para estar en marcha · sin cambios de código · se deshace con un cambio de DNS
edge.log
POST/login429 limitada
GET/.env403 bloqueada
GET/checkout200 → origin
GET/%2e%2e/etc/passwd403 bloqueada
GET/products/42200 → origin
TRACE/403 bloqueada
POST/login429 limitada
¿Te suena?
Los quebraderos de cabeza que WAP te quita
Seis cosas que nos cuentan quienes gestionan sitios web, y lo que cambia cuando WAP se pone delante del sitio.
“La factura del servidor subió, pero los visitantes reales no.”
Cada visitante tiene un límite de uso justo y las redes hostiles se bloquean con una línea. Tus servidores solo trabajan para clientes.
“Nuestros logs están llenos de escáneres. No vemos los problemas reales.”
Herramientas de ataque, trucos de path traversal y métodos basura se bloquean automáticamente, desde el primer día.
“Acabamos de descubrir que nuestro archivo .env era público.”
Bloquea /.env, /.git o cualquier ruta en segundos, incluidas todas las variantes astutas como /%2eenv o //.ENV.
“La web se arrastraba durante nuestra mayor rebaja.”
Rate limits en páginas pesadas, límites de tamaño de petición y timeouts hacia el origin reservan capacidad para los clientes que pagan.
“Un cliente nos preguntó qué protege nuestra web app. No supimos responder.”
Ahora sí: un proxy de seguridad delante de cada sitio, un origin blindado y cifras diarias para demostrarlo.
Sencillo a propósito
Tres pasos. Sin plan de proyecto.
WAP es un proxy inverso de seguridad. El tráfico de tu dominio llega primero al edge de WAP; solo las peticiones limpias se reenvían a tu servidor.
- Inicia sesiónUn enlace de un solo uso por e-mail. Sin contraseñas.
- Añade tu sitioTu dominio y dónde está tu servidor. La protección empieza al momento.
- Cambia un registro DNSEl tráfico pasa por WAP. ¿Has cambiado de idea? Vuelve a apuntarlo.
Evaluación gratuita
Habla con el equipo OneFirewall.
Dinos tu dominio y qué te está dando problemas. Un ingeniero lo revisará contigo y te dará una respuesta directa, incluido "para esto no nos necesitas" cuando sea la verdad.
- Qué está atacando tu sitio, y cuánto te cuesta
- Las primeras reglas que merece la pena activar
- Sin compromiso, sin tarjeta de crédito
Reserva tu evaluación gratuita
Usa el formulario de contacto de OneFirewall. El asunto ya está en WAP; añade tu dominio y una o dos frases sobre el problema: bots en el login, una web lenta, un cuestionario de seguridad.
Contacta con OneFirewall →Sin secuencias comerciales. Un ingeniero de OneFirewall responde personalmente, normalmente en un día laborable. ¿Ya eres miembro? Inicia sesión en WAP.
Gratis, te registres o no
Tres cosas que hacer hoy en tu servidor
Cópialas, úsalas, compártelas con alguien que gestione una web.
1. Encuentra archivos que nunca deberían ser públicos
Cualquier respuesta distinta de 403 o 404 hay que arreglarla hoy.
for p in .env .git/config .DS_Store \
server-status phpinfo.php backup.zip; do
printf '%s ' "$p"
curl -s -o /dev/null -w '%{http_code}\n' \
https://example.com/$p
done
2. Limita los intentos en tu login
De sobra para una persona, demasiado pocos para un bot. En nginx:
limit_req_zone $binary_remote_addr
zone=login:10m rate=10r/m;
location = /login {
limit_req zone=login burst=5;
proxy_pass http://app;
}
3. Que nadie te rodee
- Pon un firewall en el origin para que solo tu proxy llegue a los puertos 80/443.
- Mantén su IP fuera del DNS, de los registros MX y de las cabeceras de correo.
- Revisa en
crt.shlos hostnames antiguos que aún apuntan a él. - Con WAP: rechaza las peticiones sin
X-WAP: secure.
Para el ingeniero que da el visto bueno
Exactamente qué detiene WAP
Cada protección, cómo funciona y qué recibe el atacante. Abre cualquier fila para ver el detalle.
Credential stuffing y fuerza brutaRobo de cuentas
El ataqueLas botnets reutilizan millones de pares usuario/contraseña filtrados, o adivinan contraseñas, contra tus endpoints de login y restablecimiento a miles de intentos por minuto. Basta una contraseña reutilizada para tomar una cuenta.
Cómo lo detiene WAPAñade una regla de rate limit en la ruta sensible, por ejemplo /login a 10 peticiones por minuto por IP de cliente. Cada intento por encima del límite recibe 429 en el edge, así que tu backend de autenticación y tu base de datos nunca lo ven.
POST /login ×600/minFloods en capa de aplicación y scrapingDisponibilidad
El ataqueLos floods de capa 7 envían peticiones HTTP baratas para quien las manda pero caras para ti: búsquedas, generación de informes, operaciones de carrito. Los scrapers agresivos hacen lo mismo para copiar precios y contenido. Ambos agotan CPU, conexiones a base de datos y ancho de banda.
Cómo lo detiene WAPUn límite de peticiones por minuto por IP en todo el sitio pone techo a cada visitante. Las redes infractoras se bloquean por CIDR, y los cambios llegan a la memoria de cada nodo edge en segundos. El DDoS volumétrico L3/L4 necesita scrubbing a nivel de red antes de WAP.
GET /search ×5,000/minPaneles de administración y archivos secretos expuestosReconocimiento · exposición de datos
El ataqueLos escáneres automáticos piden rutas conocidas en cada sitio que encuentran: /.env con contraseñas de base de datos, /.git/config, /wp-admin, /phpmyadmin, /actuator, /server-status. Un solo archivo olvidado puede filtrar credenciales o código fuente.
Cómo lo detiene WAPLas reglas de bloqueo por prefijo, ruta exacta o subcadena detienen estas peticiones con 403 antes de que lleguen al origin. Para que un panel de administración solo sea accesible desde tu oficina, añade una regla de permiso para el rango IP de la oficina y una de bloqueo para la ruta.
GET /.git/configPath traversalDivulgación de archivos
El ataqueLas secuencias ../ en la URL escapan de la raíz web para leer archivos como /etc/passwd o configuraciones de la aplicación. Los atacantes las codifican (%2e%2e%2f), las codifican dos veces (%252e) o usan barras invertidas para esquivar filtros ingenuos.
Cómo lo detiene WAPWAP decodifica cada ruta repetidamente, de modo que la codificación doble y triple se deshace, y trata las barras invertidas como separadores. Se rechaza cualquier petición cuya ruta aún contenga un segmento «..». Los navegadores reales resuelven estos segmentos antes de enviar, así que el tráfico legítimo nunca activa este control.
GET /%252e%252e/%252e%252e/etc/passwdEvasión de filtros por codificaciónElusión de reglas
El ataqueLos filtros de ruta se esquivan a menudo escribiendo la misma URL de otra forma: /%61dmin, //admin, /ADMIN, /public/../admin o \admin. El servidor de origen normaliza la ruta y sirve igualmente la página protegida.
Cómo lo detiene WAPAntes de aplicar las reglas, WAP normaliza cada ruta: decodifica, colapsa barras duplicadas, resuelve segmentos con punto, convierte barras invertidas e ignora mayúsculas. Una sola regla /admin cubre todas las variantes, mientras la URL original se sigue reenviando sin cambios al origin.
GET //%61DMIN/./usersEscáneres de vulnerabilidades y bots hostilesReconocimiento
El ataqueHerramientas como sqlmap, nikto, nuclei y masscan mapean tu aplicación y buscan CVE conocidos, a menudo pocas horas después de publicarse una vulnerabilidad. Sus peticiones además llenan tus logs de ruido.
Cómo lo detiene WAPLas reglas de User-Agent bloquean herramientas conocidas y las de IP/CIDR bloquean redes hostiles. Como el User-Agent lo elige el cliente, combina estas reglas con rate limits. Las peticiones bloqueadas se cuentan por sitio y por día en tu dashboard.
User-Agent: sqlmap/1.8Suplantación de la IP del clienteElusión del control de acceso
El ataqueLos atacantes envían sus propias cabeceras X-Forwarded-For o X-Real-IP para parecer una dirección permitida, para escapar de los rate limits por IP o para dejar una IP falsa en tus logs y en la auditoría.
Cómo lo detiene WAPWAP descarta todas las cabeceras de reenvío que envía el cliente y escribe X-Forwarded-For y X-Real-IP a partir de la conexión TCP real. Los rate limits y las reglas de IP usan esa misma dirección verificada.
X-Forwarded-For: 10.0.0.1Descubrimiento del origin y elusión de la protecciónElusión
El ataqueSi los atacantes encuentran la IP real de tu origin, mediante registros DNS antiguos, logs de certificados o una cabecera de correo, pueden rodear cualquier proxy y atacar el servidor directamente.
Cómo lo detiene WAPCada petición que WAP reenvía lleva la cabecera de identificación X-WAP: secure. Permite solo el edge de WAP en el firewall del origin y rechaza las peticiones sin esa cabecera. Los accesos directos fallan aunque la IP se haya filtrado.
GET / enviada directamente a la IP del originHTTP request smugglingDesincronización
El ataqueUn framing ambiguo, como Content-Length y Transfer-Encoding en la misma petición, hace que el proxy y el origin no coincidan en dónde termina una petición. Una segunda petición oculta se cuela más allá de los controles de seguridad o en la conexión de otro usuario.
Cómo lo detiene WAPWAP analiza por completo cada petición y la reencapsula para la conexión hacia el origin. Si hay Transfer-Encoding, se elimina Content-Length, y se quitan las cabeceras hop-by-hop, incluidas las listadas en Connection. El origin solo recibe el framing generado por WAP.
CL: 4 + TE: chunkedMétodos HTTP peligrososConfiguración incorrecta
El ataqueTRACE devuelve la petición completa, lo que puede exponer cookies y cabeceras de autorización (cross-site tracing). PUT, DELETE o PATCH habilitados por error pueden permitir a los atacantes modificar contenido.
Cómo lo detiene WAPTRACE y TRACK están bloqueados en todos los sitios. Las reglas de método pueden bloquear cualquier otro verbo que tu aplicación no use, por ejemplo DELETE en una web de marketing.
TRACE / HTTP/1.1Cargas sobredimensionadas y origins lentosAgotamiento de recursos
El ataqueCuerpos de petición muy grandes llenan la memoria y el disco de los gestores de subida. Un origin que se cuelga mantiene ocupadas las conexiones hasta que no queda ninguna para usuarios reales.
Cómo lo detiene WAPLos cuerpos por encima del límite de la plataforma (25 MB por defecto) se rechazan con 413. El límite se comprueba contra el Content-Length declarado y de nuevo mientras el cuerpo llega. Los timeouts de conexión y respuesta hacia el origin cierran las conexiones colgadas con 504.
POST /upload (cuerpo de 4 GB)Abuso de la cabecera Host e intentos de proxy abiertoEnvenenamiento
El ataqueCabeceras Host o X-Forwarded-Host falsificadas envenenan cachés y enlaces de restablecimiento de contraseña. Los atacantes también intentan usar proxies inversos como relays abiertos hacia sitios arbitrarios.
Cómo lo detiene WAPSolo se reenvían hostnames exactos y registrados, al origin que configuró su propietario. Cualquier otro host recibe 401 y nunca se reenvía. X-Forwarded-Host lo establece siempre WAP, nunca se toma del cliente.
Host: attacker.exampleAún no disponible: reglas gestionadas por firma (SQLi/XSS), TLS automático, bloqueo por inteligencia de amenazas y verificación de dominio. El DDoS volumétrico (L3/L4) necesita scrubbing a nivel de red delante de WAP. Preferimos decírtelo ahora que después de que te registres.
FAQ
Las preguntas que de verdad nos hacen
¿Puedo deshacerlo?
Sí. Vuelve a apuntar tu DNS a tu propio servidor y WAP sale del camino. Sin permanencia, sin agentes que desinstalar y sin código que quitar.
¿Ralentizará mi web?
Las comprobaciones de reglas se hacen en memoria y tardan microsegundos. El coste real es un salto de red adicional entre WAP y tu origin, mínimo cuando el origin está cerca del edge.
¿Tengo que cambiar mi aplicación?
No. Añades el sitio en la consola y apuntas tu DNS a WAP. Recomendamos que el origin acepte tráfico solo de WAP y lea la IP del visitante de X-Forwarded-For.
¿Con qué rapidez se aplican los cambios de reglas?
En segundos. La configuración se guarda en Postgres y se envía a la memoria de cada nodo edge mediante notificaciones de la base de datos, así que comprobar una petición nunca espera a una consulta.
¿Qué pasa con el tráfico de dominios no registrados?
Recibe HTTP 401 y una página que explica que hace falta registrarse. Nunca se reenvía a ningún sitio.
¿WAP almacena mi tráfico?
WAP no almacena los cuerpos de peticiones ni respuestas. Guarda contadores diarios por sitio y, para dominios no registrados, una pequeña cantidad de metadatos de peticiones para análisis de seguridad.
¿WAP detiene el DDoS volumétrico?
WAP trabaja en la capa HTTP (L7). Los floods que saturan los enlaces de red (L3/L4) necesitan scrubbing a nivel de red delante del edge.
¿Quién puede registrarse?
WAP está disponible actualmente para miembros de OneFirewall Alliance. El acceso es sin contraseña, con un enlace de un solo uso enviado a tu e-mail de trabajo. Si aún no eres miembro, contacta con OneFirewall y te daremos de alta.
Deja de pagar por el tráfico que intenta hacerte daño.
Habla primero con el equipo OneFirewall. Revisaremos qué está atacando tu sitio y te diremos con honestidad si WAP es la solución adecuada.
WAP · Web Application Protection — ofrecido por OneFirewall Alliance LTD · webapplicationprotection.com