Un proxy inverso es un servidor que se sitúa delante de tus servidores web y les reenvía las peticiones de los clientes. Para el mundo exterior, el proxy inverso es tu sitio web: los visitantes se conectan a él y él decide qué devolver a tu servidor de origen real. Es una idea sencilla que sostiene silenciosamente gran parte de la web moderna — y es la base de la protección DDoS basada en DNS.
Proxy directo vs proxy inverso
Un proxy directo se sitúa delante de los clientes y los oculta de internet — una VPN o un filtro web corporativo es un proxy directo. Un proxy inverso es la imagen espejo: se sitúa delante de los servidores y los oculta de los clientes. Los visitantes nunca hablan con tu origen directamente; hablan con el proxy, que habla con tu origen en su nombre.
Qué hace un proxy inverso
- Termina el TLS: gestiona el cifrado HTTPS, así que los certificados viven en el proxy.
- Enruta y balancea carga: puede enviar peticiones a distintos servidores backend.
- Cachea: puede servir contenido estático él mismo, quitando carga a tu origen.
- Filtra: puede inspeccionar cada petición y bloquearla, desafiarla o limitar su tasa.
- Oculta el origen: los clientes solo conocen la dirección del proxy, no la de tu servidor.
Por qué importa para la seguridad
Como el proxy inverso se interpone entre los atacantes y tu servidor, es el lugar natural para filtrar ataques. Ve cada petición antes que tu origen y — algo crítico — mantiene privada la dirección real de tu servidor, para que los atacantes no puedan saltárselo y golpear tu origen directamente.
Por qué es la base de la protección DDoS
La protección DDoS basada en DNS no es más que un proxy inverso al que apuntas tu dominio. Cambias tu DNS para que el mundo resuelva tu dominio al proxy en lugar de a tu servidor. A partir de ahí cada petición fluye por el proxy, donde se filtran los ataques de capa de aplicación, se desafía a los clientes automatizados y se limita la tasa de las fuentes abusivas — y tu IP de origen permanece oculta para que las avalanchas directas no tengan dónde caer. Cloudflare popularizó el modelo; Akarguard es una versión más pequeña, gestionada y con sede en la UE de la misma arquitectura.
Lo único que debes hacer bien
Un proxy inverso solo te protege mientras tu IP de origen siga siendo secreta. Si la dirección real de tu servidor se filtra — en cabeceras de correo, registros DNS antiguos o un subdominio que apunta directamente a ella — un atacante puede saltarse el proxy y atacar tu servidor directamente. Cambia tu IP de origen tras ponerte detrás de cualquier proxy inverso y bloquea el firewall de tu origen para que solo acepte tráfico del proxy.