Filtros DDoS, tickets de abuso y lo que ninguna factura cubre

Filtrado volumétrico incluido en todos los planes de VPSbit; las inundaciones de aplicación son cosa tuya. Responde al abuso con datos. Core $4.80/mes anual, Forge $39.20.

El filtrado incluido es más amplio que un extra de pago y más limitado que una promesa

La suposición cara en el hosting es que una línea de filtro en la factura decide si tu sitio sobrevive a un ataque real. Aquí la limpieza volumétrica ni siquiera es una línea de la factura: viene incluida en cada SKU, desde el VPS más pequeño hasta el servidor dedicado más grande, sin ningún interruptor que buscar ni tarifa por gigabit que temer. Esa inclusión es real, y también es mucho más limitada de lo que las palabras sugieren, y de esa brecha se ocupa precisamente esta guía antes de que un incidente la cierre por ti.

Lo que el borde absorbe realmente es basura volumétrica: tormentas de SYN que nunca completan un handshake, amplificación UDP que responde a tu IP con los bytes de otro, abuso de ACK que intenta agotar las tablas de estado. Ese tipo de tráfico muere en la frontera de la red antes de llegar a tu porción, en todos los niveles de VPS y dedicados, en las 12 ubicaciones. El único escalón superior del catálogo es el scrubber L3/L7 situado en la cima de la escalera de metal sobre un uplink de 25 Gbps; todos los demás niveles traen el mismo comportamiento de borde por defecto. Ejecuta ss -s durante un evento y podrás ver qué capa está trabajando de verdad.

La inclusión no se extiende al criterio. Una inundación HTTP construida con proxies residenciales o una botnet de navegadores reales cruza el borde como tráfico legítimo, porque a nivel de paquete lo es. La RFC 4732 formaliza la distinción: la denegación de servicio es un problema de agotamiento de recursos, y una vez que el recurso agotado es la CPU de tu aplicación y no tu puerto, la defensa pasa de los routers de limpieza del proveedor a la configuración de tu servidor web. El borde mantiene la tubería abierta; no puede decidir qué petición merece respuesta.

El error típico es descubrir este límite durante el incidente. Los operadores apuntan el DNS a una máquina recién estrenada, se saltan todos los límites de tasa y abren un ticket preguntando por qué el filtro no detiene 10.000 intentos de login por minuto. No los detiene porque cada uno es un POST válido. Establece líneas base de los endpoints caros primero: configura límites de peticiones en nginx, limita las sesiones concurrentes por IP con limit_req y registra los números que consideras normales para que lo anormal sea evidente a las 3 de la madrugada en lugar de un misterio a las 3 de la tarde.

La capacidad sigue importando, y el catálogo lo dice sin rodeos: 1 Gbps sin límite de tráfico en el VPS de entrada, 2.5 Gbps en Prime, 10 Gbps en Titan y 25 Gbps de uplink limpiado en la cima de la escalera. Las tuberías más grandes compran tiempo de absorción; el criterio no lo compra nadie. Fija primero los límites de la aplicación, deja luego que el borde haga para lo que está construido, y las dos capas se cubrirán limpiamente los puntos ciegos de la otra.

Tu limitador de tasa es el escudo real cuando la inundación parece humana

Aquí está la parte contraintuitiva que la experiencia no deja de confirmar: en el momento en que un ataque merece la pena lanzarse contra ti, dejará de parecer un ataque. Las inundaciones de paquetes basura son baratas y el borde se las come gratis. Lo que de verdad duele es el tráfico con forma de intentos de login, búsquedas y posts de pago — las formas que tus propios clientes usan a diario, generadas a un ritmo que ningún humano podría igualar.

Las inundaciones de capa de aplicación apuntan deliberadamente a los endpoints caros. Una página que cuesta 200 milisegundos de CPU y cuatro consultas a la base de datos vale para el atacante unas 100 veces más que un recurso estático, así que esa es la URL que pide la botnet. El filtro deja pasar cada paquete porque los paquetes son válidos; la clasificación ocurre en tu stack. Herramientas como fail2ban, las zonas de rate-limit en nginx y los topes de concurrencia por IP declarados en limit_req_zone son la capa que funciona aquí, no la cola de tickets del proveedor ni un plan más grande.

La economía favorece cuando aplanas las rutas caras. Cachear una página pesada convierte un render de 200 milisegundos en un acierto de caché de 5 milisegundos, lo que multiplica por un factor que la mayoría de presupuestos de booter no puede financiar el número de bots necesarios. Mide el coste real con curl -w '%{time_total}' contra tus endpoints principales, cachea lo que se pueda cachear y deja las rutas verdaderamente dinámicas a límites estrictos por identidad para que el radio del impacto siga siendo pequeño.

El fallo clásico es improvisar todo esto en plena inundación, cuando el origen ya está saturado y cada cambio de configuración compite con el ataque por la misma CPU. Las reglas escritas bajo carga también se escriben mal. Decide los límites mientras el sitio está en calma: qué endpoints pueden costar qué, qué acciones necesitan sesión y dónde está la línea entre un usuario ocupado y un script. Escríbelo donde el siguiente operador pueda encontrarlo.

Nada de esto sustituye al filtrado incluido — se sitúa detrás de él. El borde elimina las inundaciones que ninguna aplicación sobreviviría, y tus límites de tasa eliminan las inundaciones que ningún filtro sabría distinguir. Un servidor de juego con whitelist o un endpoint VPN de un solo protocolo estrechan aún más el objetivo, lo cual no cuesta nada y rinde más que la mayoría de productos. Piensa en capas y prueba cada una antes de necesitarla.

Una respuesta de abuso es un conjunto de datos, y la mesa lee buscando tres campos

La mayoría de los operadores responden al correo de abuso de una de dos maneras que ambas acaban mal: el silencio o un párrafo de negativa. El silencio convierte un informe rutinario en una escalada; la negativa lo convierte en un informe más largo y con adjuntos. La mesa de abuso del otro lado no es un juez que decide tu destino — es un empleado de ventanilla que cruza evidencias con un propietario, y los empleados de ventanilla van más rápido con los operadores que envían datos en lugar de discursos.

Busca las tres cosas que todo informe lleva y toda respuesta creíble devuelve: la IP, la marca de tiempo en UTC y el proceso que tenía el socket. Extráelas de tus propios logs con journalctl -u nginx --since '2026-10-09 06:00:00', confirma la conexión activa con ss -tnp y expón el resultado en frases llanas. Si el informe es correcto, dilo y describe la corrección — el buzón cerrado, el plugin eliminado, la credencial rotada. Si es incorrecto, enseña las líneas de log que lo demuestran.

Las marcas de tiempo merecen un párrafo propio. Las mesas de abuso trabajan en UTC porque correlacionan informes entre zonas horarias, y una respuesta llena de conjeturas en hora local se lee como ruido. Mantén el reloj del servidor en UTC con timedatectl set-timezone UTC, registra en UTC y cita las líneas de log textualmente en lugar de parafrasearlas. Los metadatos de conexión que retiene un centro de datos duran 24 horas como mucho, así que tus propios logs de aplicación suelen ser el único registro duradero de lo que pasó en tu máquina.

Lo que rompe los casos es discutir. Las respuestas que pleitean sobre la jurisdicción, el método de pago o la moralidad del denunciante se archivan como no resueltas, porque nada de eso cambia los hechos que la mesa ya ha cotejado. Las 19 monedas de la factura, la ausencia de KYC y la bandera sobre la instalación le resultan irrelevantes a quien sostiene un extracto de log. Responde a los datos con datos, y el expediente se cierra solo.

Trata cada correo de abuso como una petición de tres campos y una corrección, y la secuencia de escalada descrita más adelante en esta guía nunca pasa de su primer paso. Los operadores que responden así son tan pocos que el hábito en sí es una protección. Escribe tu plantilla de respuesta una vez, guárdala en el runbook y rellena los campos mientras la evidencia sigue fresca en los logs.

Un exit de Tor es un imán de quejas por diseño, y aun así es sobrevivible

Operar un exit de Tor significa ofrecerse voluntario para recibir el correo de abuso de internet, y los operadores que duran no son los que se esconden — los exits son públicos por definición. Lo que mantiene la dirección de un exit enrutable es la accesibilidad: un contacto publicado, una política de salida declarada y un historial de responder. La propia documentación de relés de la red lo dice, y merece leerse entera antes de que llegue la primera queja.

Fija la política de salida deliberadamente antes de que el relay entre en producción. Un exit completo reenvía todo; una política reducida reenvía los puertos web y rechaza los que generan el peor correo. Las líneas de ExitPolicy en torrc deciden esto, y bloquear el puerto 25 — SMTP — por sí solo elimina la mayoría de quejas de spam que un exit acumularía. Publica el contacto de abuso en el propio relay para que los denunciantes te encuentren a ti antes que a la instalación, y mantén ese contacto vigilado como un buscapersonas.

La opción del relay intermedio existe por algo. Un relay intermedio transporta tráfico de Tor pero nunca reenvía a internet abierto, lo que significa que ningún tercero tiene motivo para quejarse de tu IP — la dirección nunca aparece en los logs de nadie como origen. Muchos operadores llevan un relay intermedio durante un año para construir historial y aprender el ritmo operativo, y luego deciden si el volumen de correo de un exit encaja en su runbook y su agenda de viajes.

El patrón fatal es lanzar un exit, ignorar las primeras semanas de correo y descubrir la dirección en las listas de bloqueo cuando ya no te importa a ti pero sigue importándole a todos los demás servicios de la máquina. Las quejas que nunca respondes las responden los upstreams en tu lugar. Si no puedes atender la bandeja con honestidad, opera el relay intermedio; la red los necesita al menos igual, y tu dirección se queda limpia por construcción.

Los exits son infraestructura, y las guías asumen que operarás como infraestructura: documentado, localizable y aburrido donde importa. Hazlo, y el correo de abuso se convierte en una cola que procesas en lugar de una crisis que sobrevives. Esa misma disciplina se traslada directamente a todas las demás categorías de quejas de esta guía, y por eso va antes que ellas.

DMCA es correo de copyright, no un interruptor que apaga la máquina

El hosting compartido ha entrenado a una generación de operadores para tratar un aviso DMCA como un derribo instantáneo y silencioso con factura adjunta. El proceso aquí es de otra naturaleza: el correo de copyright se archiva como correo de copyright, se lee por sus detalles y se responde por sus méritos. Un aviso no reinicia tu servidor, no suspende tu porción ni lee tus archivos — inicia una correspondencia documentada en la que puedes participar de verdad.

Un aviso llega con una URL, una descripción de la obra y una declaración jurada. Tus obligaciones empiezan por mirar qué se publicó realmente: elimina el archivo si infringe, restáuralo si la reclamación es defectuosa, y conserva el registro en cualquier caso. La plantilla de la Oficina de Copyright de EE. UU. enumera los elementos exigidos, y un rápido grep -c 'file.zip' access.log te dice cuántas veces se pidió de verdad la ruta denunciada, mientras que stat sobre el archivo fecha la subida al minuto.

Los informes de protección de menores son el límite duro, y no son correo de copyright en ningún sentido. Se enrutan a la dirección de abuso con las URLs, se tratan como los informes graves que son, y ningún método de pago, jurisdicción o nivel de facturación cambia ese tratamiento. Todo host tiene una lista de categorías prohibidas; la de este es pública y corta, y esta categoría encabeza la lista en cada una de las 12 ubicaciones.

El error común es tratar el aviso como spam porque la máquina obviamente no aloja nada que infrinja — a veces sí aloja, plantado por una ruta de subida que olvidaste que tenías expuesta, un plugin viejo de un CMS, un directorio de pruebas con listado de directorios activado. Revisa primero la URL, después el log y al final tus opiniones. El correo de copyright sin respuesta sube la misma escalera de escalada que cualquier otro informe ignorado, que es una forma evitable de perder una dirección por la que pagaste.

El proceso de copyright funciona como el resto del manejo de abuso: entra evidencia, sale evidencia, y una corrección que cierra el caso. Los avisos son rutina; los operadores que los responden con detalles no lo son. Conserva los logs que te permiten ser uno de ellos, y todo el proceso se mantiene aburrido — lo cual, en el manejo de abuso, es el mayor elogio posible.

La lista de prohibiciones es corta, y la moneda no la dobla

Diecinueve monedas, 12 ciudades y sin KYC suenan a zona gris si quieres que suenen así. La lista de prohibiciones es la parte que no se dobla: CSAM, phishing, spam y tráfico de ataque están fuera en todos los planes, pagados con cualquier moneda, en cada ubicación del mapa. El texto de la política no cambia entre Reikiavik y Taipéi, y el suelo de aplicación que hay debajo tampoco.

¿Por qué absoluto? Porque el suelo lo fijan las instalaciones y los operadores de tránsito, no el humor del revendedor. Un centro de datos que tolera tráfico de ataque pierde su tránsito; uno que tolera phishing pierde la reputación de correo de cada inquilino en cada rango que posee. La economía es idéntica en una sala Tier IV de Zúrich y en una Tier III+ de Tokio: las categorías prohibidas le cuestan dinero real al operador, así que le cuestan la cuenta al abusador. El abuso se gestiona bajo la ley de la ubicación de la instalación, que se indica por ciudad antes de pedir.

Para el spam en concreto, la realidad operativa es cruda: una máquina alquilada que envía correo no solicitado a volumen ve su rango de IP marcado en cuestión de días, y el rango importa para cada vecino que está en él. El correo desde un VPS necesita SPF, DKIM y DMARC configurados antes del primer envío, un volumen diario bajo y una lista a la que gente de verdad se haya apuntado. Eso es más trabajo del que la mayoría de spammers de porciones alquiladas quiere hacer jamás, que es precisamente el objetivo del diseño.

El error es creer que el método de facturación es una capa de política. XMR liquida la misma factura que BTC, y el texto de uso aceptable se lee idéntico sobre ambos. Si un proyecto necesita una de las categorías prohibidas, ninguna moneda, modalidad ni ciudad lo va a sostener — la acción correcta es no pedir nada. El método de facturación no cambia nada, y no está diseñado para cambiarlo; fingir lo contrario solo mueve el final más abajo por la misma escalera.

Las prohibiciones tan cortas son fáciles de cumplir y caras de poner a prueba. Todo lo demás — el contenido para adultos legal donde se asienta la instalación, las herramientas de privacidad, el tráfico de investigación — queda dentro del alcance de la política por defecto. La siguiente sección cubre la única herramienta de aplicación que existe para las categorías anteriores, y lo rara vez que se activa cuando respondes a tu correo como un profesional.

El null-routing está al final de una secuencia, no al principio

Pregunta a los operadores por el null-routing y la mayoría describe una guillotina; el diseño real es el último peldaño de una escalera con cuatro peldaños visibles. Llega un informe, respondes con hechos, aplicas la corrección y la dirección vuelve a la calma. La ruta blackhole existe para el caso en que el AUP se incumple flagrantemente y el ticket sigue sin respuesta — una última herramienta, no una primera respuesta, y la distinción se ve desde fuera.

Lo que escala un caso es el silencio medido en días, no en horas. Los informes se encolan por lotes; un caso sin respuesta del operador dentro de un día laborable empieza a parecer abandonado; un caso que además muestra tráfico continuado — el mismo patrón de spam, los mismos objetivos de escaneo — parece abandonado y sin arrepentimiento a la vez. En ese punto, ip route add blackhole 203.0.113.7 es la protección más barata que la red tiene para todos los demás, y se aplica sin ceremonias ni segundo aviso.

La vía de restauración es igual de mecánica. Corriges la causa, respondes con la marca de tiempo y el cambio que hiciste, y el blackhole se retira con ip route del blackhole 203.0.113.7 en cuanto la mesa lo confirma. Los operadores que responden con marcas de tiempo y nombres de proceso rara vez se encuentran ninguno de los dos comandos en su propia dirección. La escalera está publicada precisamente para que veas a cada momento a qué distancia estás de su último peldaño.

El fallo evitable es desaparecer: viajar sin un relay para el contacto abuse@, un ticket enrutado a una bandeja que revisas cada trimestre, un compañero que se fue y se llevó la contraseña del correo. Cada uno de esos convierte un caso de dos respuestas en una escalada. Apunta el contacto de abuso a algo que de verdad lees — un alias vigilado, no un catch-all — y el resto de esta sección se queda en teoría para ti.

El hardware cambia el panorama a tu favor. Cuando la carga justifica metal, alquila un Forge dedicado a $49/mes de lista — $39.20/mes efectivo anual — y aplica la misma disciplina de responder con datos, con IPMI detrás: una máquina atascada se reinstala fuera de banda mientras el ticket sigue caliente. La secuencia de comandos no le importa a qué hardware corres; tu tiempo de respuesta sí. Una bandeja vigilada es un seguro barato en cualquier nivel que elijas.

Un objetivo más estrecho vence a un filtro más grueso

El control anti-DDoS más fuerte de esta guía no cuesta nada: menos servicios a la escucha. Cada puerto abierto es una superficie de ataque de la que ningún filtro tiene que enterarse, y la mayoría de las máquinas ahogadas por volumen ejecutan servicios que su dueño olvidó por completo. El ancho de banda sin límite lo empeora psicológicamente — un puerto sin límite de tráfico no es un puerto sin vigilancia, y no es un pase libre para exponer todo lo que puedas instalar.

Primero el inventario: ss -lntu en una máquina nueva lista lo que está realmente a la escucha, y la respuesta honesta suele ser más larga de lo que el dueño espera. Luego cierra por defecto — un ruleset de nftables como nft add rule inet filter input tcp dport 22 reject que admita solo lo que la carga necesita, y nada más. Un servidor de juego con whitelist de la comunidad presenta una cara estrecha; un endpoint WireGuard responde por un único puerto UDP; una aplicación web tras un frontal de caché aguanta golpes que aplanarían un origen desnudo en minutos.

La capacidad de absorción trabaja entonces para ti en lugar de en tu lugar. El VPS de entrada lleva 1 Gbps sin límite, Prime 2.5 Gbps, Titan 10 Gbps, y la cima de la escalera de metal limpia 25 Gbps antes de que el tráfico llegue a ti. Pide Core a $6/mes de lista — $4.80/mes efectivo anual — para un juego con whitelist o una caja de homelab, y el L3/L4 incluido se encarga de las inundaciones que llegan mientras la whitelist se encarga de todo lo más listo. El tipo de virtualización de debajo decide cuánta parte de esa máquina es realmente tuya bajo carga.

El modo de fallo es la excepción ensanchada: un puerto para un panel, otro para una API vieja, otro temporalmente para depurar, ninguno documentado. Seis meses después llega el ataque por el que olvidaste, y la revisión post-incidente no sabe ni nombrarlo. Vuelve a ejecutar ss -lntu cada mes, compara con la salida anterior y trata cada línea nueva a la escucha como una decisión que tienes que defender en voz alta.

Estrechar el objetivo también hace el filtrado incluido más eficaz, porque menos tráfico con aspecto legítimo cruza el borde confundiendo el panorama. Filtra, luego limita, luego reduce — en ese orden — y los productos caros de mitigación se quedan siendo innecesarios durante toda la vida del proyecto. La última sección ordena toda la rutina en el orden de ejecución real, desde una máquina vacía hasta un estado estable.

La rutina de DDoS y abuso, en el orden de ejecución

La rutina empieza antes de que llegue el primer paquete de ataque o abuso, en una máquina que aún no tiene dominio apuntado. Coloca el ruleset base con nft -f — descarte por defecto en la entrada, los servicios que la carga realmente necesita admitidos por nombre — y confirma qué está a la escucha con ss -lntu. Pon el reloj en UTC con timedatectl, envía tus logs de aplicación a un sitio duradero y establece líneas base de los endpoints caros: tasas de peticiones, concurrencia y el coste de render de tus páginas principales, registrados mientras todo está en calma y medir es barato.

El día de lanzamiento añade dos hábitos, no maquinaria nueva. Apunta el DNS solo después de que el ruleset sobreviva a un reinicio, porque un ruleset que existe solo en tu historial de shell no es un ruleset. Después programa el primer diff mensual de sockets a la escucha para dentro de 30 días, mientras el recuerdo de lo que debería estar abierto sigue fresco como para juzgar cada línea con honestidad. Un objetivo tan estrecho facilita todo lo que viene después.

Cuando el tráfico se ponga extraño, lee antes de reaccionar. ss -s te dice si las tablas de estado se están llenando; los paneles del borde te dicen si un evento volumétrico se está absorbiendo aguas arriba. Si los paquetes son basura, el borde ya se está ocupando y tu trabajo es la paciencia. Si los paquetes son válidos — logins, búsquedas, pagos — la pelea se traslada a tus límites de tasa, y los números de línea base del primer paso son lo que hace lo anormal reconocible en minutos en lugar de horas.

El correo de abuso sigue una respuesta fija dentro de un día laborable: la IP, la marca de tiempo UTC, el proceso que tenía el socket y la corrección si el informe era correcto. Los exits de Tor mantienen su contacto publicado y su política de salida al día; los avisos de copyright llevan la URL comprobada contra los logs antes que cualquier otra cosa; los informes de categorías prohibidas se enrutan como dice la política, de inmediato y sin discusión. Respondido así, los casos se cierran al primer pase y la escalera de escalada nunca despega.

El estado estable es una lista corta con ritmo mensual: diff de los sockets a la escucha, releer los límites de tasa contra el tráfico actual, probar la restauración de una copia de seguridad y ojear journalctl buscando las líneas de OOM o de fallos que predicen el incidente del próximo trimestre. Haz girar ese bucle y el filtro hace su trabajo sin que se le vea, el buzón sigue siendo una cola en lugar de una crisis, y la dirección a tu nombre conserva intacta su reputación.