Muchos equipos creen que su CDN ya los protege del DDoS. Es una suposición comprensible — un CDN se sitúa delante de tu sitio, absorbe mucho tráfico, y las páginas de marketing a menudo difuminan la línea. Pero un CDN y un servicio de protección DDoS están hechos para trabajos distintos, y confiar en uno para lo del otro deja un hueco que los atacantes saben encontrar.
Para qué sirve realmente un CDN
Una red de distribución de contenido (CDN) existe para hacer tu sitio rápido y barato, no para defenderlo. Todo su diseño gira en torno a servir copias cacheadas del contenido desde una ubicación cercana al visitante.
- Distribución geográfica: contenido cacheado servido desde el punto de presencia (PoP) más cercano.
- Menor carga del origen y coste de ancho de banda, porque el CDN responde él mismo las peticiones repetidas.
- Terminación TLS, HTTP/2 y HTTP/3, y enrutamiento en el edge.
- Algo de resiliencia incidental: si un ataque golpea una URL cacheable y la capacidad del CDN la supera, el origen nunca lo siente.
Ese último punto es real pero estrecho. Solo se sostiene cuando el recurso atacado es cacheable y la capacidad sobrante del CDN casualmente supera al ataque. Ninguna de las dos cosas está garantizada, y un atacante que entiende los CDN romperá deliberadamente ambas suposiciones.
Dónde se queda corto un CDN bajo ataque
- Cache-busting: añadir una cadena de consulta única a cada petición fuerza un fallo de caché, así que toda la inundación aterriza en tu origen.
- Endpoints no cacheables: las APIs, los logins, la búsqueda y el checkout nunca se cachean, y son exactamente lo que apuntan los ataques de capa 7.
- Ceguera conductual: un CDN reenvía peticiones de aspecto válido; no está hecho para distinguir a un usuario real de un bot que envía la misma petición válida miles de veces.
- Exposición del origen: muchas configuraciones de CDN dejan la IP del origen accesible directamente, así que un atacante que la encuentre se salta el CDN por completo.
Velocidad no es seguridad
Un CDN responde a la pregunta '¿cómo sirvo esto más rápido?' La protección DDoS responde '¿cómo sigo en pie cuando alguien intenta tumbarme?' Se solapan en el edge, pero optimizar para una no te da la otra.
La arquitectura correcta: usa ambos
Los dos son complementarios, no competidores. Mantén el CDN para el rendimiento — caché, entrega en el edge, ancho de banda más barato — y pon delante una capa de protección dedicada para la seguridad. Con Akarguard enrutas tu dominio a través del edge de proxy inverso con un cambio de DNS; filtra los ataques de capa de aplicación, desafía a los clientes automatizados, aplica tu WAF y tus límites de tasa, y mantiene oculta la IP de tu origen para que las inundaciones directas no tengan objetivo. El tráfico limpio se reenvía luego a tu CDN o a tu origen. No tienes que elegir entre rápido y defendido.
Una salvedad honesta: Akarguard es un servicio de capa 7. Filtra los ataques de capa de aplicación y oculta tu origen; las inundaciones volumétricas en bruto contra la red las gestiona aguas arriba tu hosting o proveedor de tránsito, igual que con un CDN. La cuestión es que las partes que un CDN deja expuestas — endpoints no cacheables, comportamiento, privacidad del origen — son exactamente las partes que cubre una capa de protección.