Los modos de protección existen porque no hay una única respuesta correcta a cuánto confiar en un visitante. Cada escalón filtra más automatización y exige más a las personas reales, y el ajuste correcto depende menos de tu nivel de amenaza que de lo que hace el endpoint.
Los modos
- Passthrough: el tráfico se proxifica y se limita la tasa, pero no se desafía a ningún visitante. La menor fricción, y aun así oculta tu dirección de origen.
- Comprobación JavaScript: el cliente debe ejecutar un pequeño script y devolver una cookie. Invisible para navegadores reales, letal para la mayoría de herramientas de avalancha y scrapers simples.
- Pantalla de espera: un intersticial explícito de unos segundos antes de que cargue el sitio. El más fuerte de los tres, y el único que el visitante nota con seguridad.
La regla general
Ajusta el modo al coste de equivocarte. Una página de marketing pública puede permitirse ser generosa; un formulario de login o un endpoint de búsqueda no.
Qué usar y dónde
- Páginas de marketing y blogs: passthrough normalmente, para que los rastreadores y los generadores de vista previa social funcionen sin casos especiales.
- Login, registro y recuperación de contraseña: un desafío, permanente. Estos endpoints se atacan constantemente y son caros por petición.
- Búsqueda y filtrado: un desafío, porque se saltan las cachés y llegan a la base de datos.
- APIs y webhooks: nunca un desafío de navegador. Los clientes automatizados no pueden resolverlo. Protégelos con claves y límites de tasa.
- Durante un ataque activo: sube todo el sitio un nivel y bájalo de nuevo cuando el ataque termine.
El error que hay que evitar
Activar el modo más estricto en todas partes y dejarlo ahí es el error de configuración más común en la protección DDoS. Rompe los clientes de API, bloquea los rastreadores de búsqueda y enseña a tus usuarios que el sitio es lento — todo para defenderte de un ataque que no está ocurriendo. Los modos fuertes son una herramienta de respuesta a incidentes; el estado estable debería ser el ajuste más suave que mantenga sano el origen.
Verifica tras cada cambio
Tras cambiar un modo, comprueba tres cosas: que una página normal carga para un visitante sin sesión, que tu cliente de API sigue autenticándose y que la petición de un rastreador de búsqueda devuelve la página en vez del intersticial. Un cambio de modo que rompe silenciosamente una integración suele descubrirlo días después alguien cuyo trabajo no tiene nada que ver con la seguridad.