¿Necesitas un firewall si ya tienes un buen hosting?

Un buen hosting y un firewall pueden parecer lo mismo, pero normalmente actúan en puntos distintos. Cuál importa más depende de lo que te preocupe, y de si tu hosting ya incluye un firewall que entienda WordPress.

Qué suele proteger un buen hosting

Un hosting de calidad refuerza el propio servidor: el sistema operativo, el software del servidor web y el entorno PHP. A menudo incluye un filtrado básico a nivel de red contra ataques evidentes como las avalanchas de tráfico. Esto protege la plataforma sobre la que corre tu sitio. No mira necesariamente dentro de las peticiones que llegan a WordPress. La guía de seguridad del hosting gestionado repasa lo que normalmente está y no está cubierto.

Los tres tipos de firewall

• Firewall de red o de host. Filtra por dirección, puerto y volumen de tráfico. Bloquea avalanchas y basura evidentes, pero no entiende WordPress.
• Firewall en plugin (WAF dentro de WordPress). Un plugin inspecciona las peticiones cuando WordPress ya ha empezado a procesarlas. Puede bloquear patrones de ataque conocidos y accesos malintencionados. Como se ejecuta dentro de PHP, consume recursos del servidor, solo ve el tráfico después de que WordPress carga y no sirve si el propio WordPress está roto.
• Firewall en la nube o a nivel de DNS (proxy inverso). Tu dominio apunta al proveedor del firewall, que filtra el tráfico antes de que llegue siquiera a tu servidor. Protege al servidor de la carga además de los ataques. Su debilidad es que un atacante que descubra la IP real de tu servidor puede saltárselo, así que el servidor solo debería aceptar tráfico del proxy.

Qué añade un firewall que entiende WordPress

Un firewall creado para WordPress busca ataques propios de WordPress: intentos de acceso maliciosos, peticiones dirigidas a vulnerabilidades conocidas de plugins e intentos de inyección en los parámetros de la URL. Muchos proveedores ofrecen además «parcheo virtual», una regla que bloquea un ataque a un fallo de plugin recién anunciado antes de que lo hayas actualizado. Gana tiempo, pero no sustituye a actualizar. Es una capa más estrecha y más cercana a la aplicación que el refuerzo genérico del servidor.

Dónde está realmente el solapamiento

Algunos hostings WordPress gestionados incluyen en la plataforma un firewall que entiende WordPress. En ese caso, un firewall aparte puede ser perfectamente redundante. Para saberlo con certeza, busca en la lista de funciones de tu hosting una mención concreta como «firewall de aplicaciones web» o «WAF», y no una etiqueta general de «seguro» o «protegido», que no dice qué se filtra. Si la mención es vaga, pregunta al soporte qué bloquea y cómo se actualizan las reglas.

Lo que ninguno de los dos cubre

Ni el refuerzo del servidor ni un firewall miran los archivos y la base de datos que ya están en tu sitio. Algo puede entrar sin activar un firewall:

• Un acceso válido. Una contraseña filtrada o adivinada produce una petición de aspecto normal.
• Un fallo para el que nadie ha escrito aún una regla. Las vulnerabilidades nuevas se explotan antes de que los filtros se pongan al día.
• Malware que ya estaba antes del firewall. Un firewall añadido después no elimina lo que ya está instalado.
• Un archivo malo que subiste o instalaste tú mismo, como un tema o plugin pirateado.

Esa laguna es lo que cubre el escaneo continuo de malware, y es un problema distinto del que resuelven el hosting o un firewall. Consulta con qué frecuencia escanear.

Cómo decidir

• Tu hosting incluye un WAF: confirma qué bloquea, y quizá no necesites un segundo.
• Gestionas una tienda, membresías o un sitio con mucho tráfico: añade un firewall en la nube. El filtrado de tráfico y la limitación de tasa lo merecen.
• Gestionas un pequeño sitio de presentación en un hosting decente: contraseñas robustas, acceso con dos factores, actualizaciones y escaneo regular importan más que un firewall. Un firewall en plugin gratuito es un extra razonable.
• No puedes actualizar rápido: un firewall con parcheo virtual gana tiempo, pero corregir el hábito de actualizar es la respuesta real.