Protección DDoS: qué ofrecen de verdad los proveedores

Hoy uno de cada dos proveedores pone «protección DDoS» en sus planes. Detrás puede haber un filtrado de varios terabits o solo el derecho a desconectar tu dirección cuando un ataque molesta a los vecinos. Veamos de qué se compone la protección, en qué se diferencian los niveles L3/L4 y L7 y cómo saber por el contrato qué estás comprando.

Actualizado 03.11.2026 · Encuentra un VPS a tu medida →

Un ataque DDoS es un flujo de peticiones desde muchas máquinas pensado para saturar un servidor o su canal, de modo que los visitantes reales no puedan llegar a él. La protección se monta en la red del proveedor o en un proveedor externo de filtrado: el tráfico sospechoso se separa del normal y se descarta antes de que llegue al servidor. El servidor por sí solo no puede con un ataque grande: si el canal hasta él está lleno, ningún ajuste dentro del sistema servirá ya de nada.

Niveles de ataque: L3/L4 y L7

Los ataques se clasifican por niveles del modelo de red, y la defensa frente a cada uno es distinta.

Ataques volumétricos (L3/L4): llenan el canal; al servidor llega tanto tráfico que el puerto o los enlaces externos del centro de datos se ocupan por completo. Su potencia se mide en gigabits y terabits por segundo.
Ataques a protocolos (L3/L4): no agotan el canal, sino los recursos que mantienen las conexiones: las tablas de estado del cortafuegos o la cola de nuevas conexiones TCP. Se miden en paquetes por segundo (pps, Mpps). Contra parte de ellos sirve también la protección en el propio servidor, por ejemplo las SYN cookies (RFC 4987).
Ataques a la aplicación (L7): parecen peticiones HTTP normales a la web o a la API, como páginas de búsqueda, carrito o inicio de sesión. El canal está casi libre, pero cae el servidor web o la base de datos. Se miden en peticiones por segundo (rps) y se distinguen de los visitantes por el comportamiento, no por el volumen.

El filtrado de red L3/L4 es lo que el proveedor suele activar para todos los clientes. La protección L7 es más compleja: el filtro tiene que entender tu web, ver el contenido de las peticiones HTTPS y saber distinguir a un visitante de un bot. Por eso se vende más a menudo aparte, se conecta mediante un proxy con tu certificado o se deja del lado de la web: CDN, WAF, limitación de la frecuencia de peticiones en el servidor web.

«Protección incluida» frente a filtrado real

Según el catálogo de accsly a 3 de noviembre de 2026, 1117 de los 2236 proveedores con planes VPS declaran protección DDoS: exactamente la mitad. Se encontraron detalles sobre ella en 219 proveedores del catálogo, y el panorama es variado:

35 proveedores indican la capacidad de filtrado en Gbit/s o Tbit/s;
24 indican el nivel de protección (L3/L4 o L7);
8 mencionan L7, y en la mitad de ellos es de pago o se activa a petición;
en aproximadamente una cuarta parte de los textos la protección es una opción de pago aparte, y en otra cuarta parte, más o menos, va incluida expresamente en el precio.

El resto se limita a frases breves: «disponible», «declarada», «protección de red integrada». No es necesariamente malo, pero con una frase así no se puede saber qué pasará durante un ataque. Bajo las mismas palabras aparecen tres cosas distintas:

Filtrado permanente (always-on). Todo el tráfico pasa siempre por el filtro. El ataque se corta al instante, pero el filtro a veces afecta también al tráfico normal, por ejemplo a protocolos de juegos sobre UDP.
Filtrado por activación (on-demand). El sistema vigila el tráfico y activa la limpieza cuando el flujo supera un umbral. Entre el inicio del ataque y la activación del filtro pasan segundos o minutos, y durante ese tiempo el servidor puede quedar inaccesible.
Solo blackhole. No hay limpieza real: durante un ataque, la red del proveedor simplemente deja de dejar pasar el tráfico hacia tu dirección. Esto protege a los vecinos y al proveedor, pero no a ti.

Umbral y blackhole

Toda protección tiene un límite: un volumen o un número de paquetes a partir del cual el proveedor deja de filtrar. Normalmente figura en las condiciones así: «en caso de ataque superior a N Gbit/s, la dirección puede desconectarse temporalmente». La desconexión se hace mediante blackhole: el operador anuncia a las redes vecinas que el tráfico hacia tu dirección debe descartarse. Para ello BGP tiene la marca estándar BLACKHOLE (RFC 7999), y, siempre que es posible, se desconecta exactamente una dirección, /32 en IPv4 o /128 en IPv6, para no afectar a los vecinos.

Para el dueño del servidor esto significa algo sencillo: el ataque logra su objetivo, solo que no en tu servidor, sino en la red. La dirección queda inaccesible para todos hasta que se retira el blackhole, y el plazo varía entre proveedores; también conviene buscarlo en las condiciones. Si el proyecto no puede permitirse una parada así, el umbral de filtrado debe estar bastante por encima de los ataques que realmente esperas, y conviene poner delante de la web una protección L7 adicional.

Otro detalle es el puerto. En un plan con puerto de 100 Mbit/s, incluso un ataque pequeño lo llenará por completo, y el filtro del proveedor tiene que cortarlo antes de que llegue a tu puerto. Cómo interpretar la velocidad del puerto y el canal compartido se explica en Ancho de banda y tráfico: qué significan 1 Gbit/s e «ilimitado».

Qué preguntar al proveedor y revisar en el contrato

Niveles. ¿Solo L3/L4 o también L7? Si hay L7, ¿cómo se conecta: mediante proxy, cambiando el DNS, con tu certificado o sin él?
Capacidad. Cuántos Gbit/s y cuántos millones de paquetes por segundo aguanta el filtro por dirección, no para toda la red.
Modo. Si el filtrado es permanente o se activa por umbral, y cuánto tarda en activarse.
Qué pasa al superar el umbral. Si se desconecta la dirección, durante cuánto tiempo, si se puede retirar la desconexión antes y cuánto cuesta pasar a una protección superior.
Dónde está el filtro. En el propio centro de datos o en un proveedor externo; si la protección cubre todas las ubicaciones del proveedor, porque a veces solo existe en una ciudad.
Precio y plazos. Si la protección va incluida en el plan o es una opción de pago aparte, y si no se cobra por cada ataque mitigado.
Responsabilidad. Si el tiempo de ataque cuenta en el SLA de disponibilidad. A menudo no: las condiciones excluyen los ataques de la garantía.

Conviene obtener las respuestas por escrito, en un ticket de soporte: esas son tus condiciones si lo que dice la web no basta. Las pautas generales para leer un plan están en Cómo leer los planes de hosting: los límites ocultos.

Qué hacer por tu cuenta

Incluso con una buena protección del proveedor, parte del trabajo queda de tu lado:

deja cerrados en el cortafuegos todos los puertos salvo los necesarios y activa las SYN cookies (en la mayoría de las distribuciones Linux ya vienen activadas); la configuración básica se describe en Primeros 10 pasos tras comprar un VPS: seguridad;
en una web, limita la frecuencia de peticiones a las páginas pesadas (búsqueda, inicio de sesión, carrito) en el propio servidor web y pon delante una CDN con protección L7;
si la web está detrás de una CDN o un proxy, no publiques la dirección directa del servidor en el DNS ni en los correos: de lo contrario, el tráfico llegará sin pasar por el filtro;
vigila la disponibilidad desde fuera para enterarte de un ataque antes que los visitantes; de eso trata Monitorización de un servidor: disponibilidad, carga y alertas;
ten una copia de seguridad reciente y un procedimiento de migración: si el proveedor no da abasto, el proyecto se puede levantar en otro sitio.

Los planes con protección declarada en el precio están en la selección VPS con protección DDoS. Los servidores de juegos la necesitan más que otros, y normalmente precisamente L3/L4 sobre UDP: selecciones VPS para servidor de juegos y servidores dedicados para juegos.

Preguntas frecuentes

¿En qué se diferencia la protección L3/L4 de la L7?

L3/L4 filtra el tráfico de red por volumen y paquetes: protege el canal y las conexiones. L7 analiza las peticiones HTTP a la web y distingue a los visitantes de los bots. La primera los proveedores suelen activarla para todos; la segunda se vende más a menudo aparte o se pone mediante una CDN.

¿Qué significa «protección DDoS incluida» en un plan?

Solo que el proveedor tiene algún tipo de filtrado. Puede ser una limpieza permanente de terabits, un filtro que se activa por umbral o solo la desconexión de la dirección durante un ataque. Pregunta por el nivel, la capacidad por dirección y qué ocurre al superar el umbral.

¿Qué es el blackhole en un ataque DDoS?

El proveedor deja de dejar pasar todo el tráfico hacia la dirección atacada, normalmente hacia una sola IP. Eso protege el resto de la red, pero tu servidor queda inaccesible para todos durante ese tiempo.

¿Cuánto dura la desconexión de una dirección mediante blackhole?

No hay un plazo único: unos proveedores la retiran tras un tiempo fijo; otros, cuando termina el ataque. Busca el plazo y la posibilidad de retirarla antes en las condiciones, o pregunta al soporte antes de pagar.

¿Necesita protección DDoS una web pequeña?

Normalmente basta con el filtrado de red básico del proveedor y una CDN delante de la web. Una protección de pago aparte hace falta si cada parada cuesta dinero: una tienda online, un servidor de juegos, un servicio con clientes de pago.

¿Cuenta el tiempo de ataque en el SLA de disponibilidad?

A menudo no: muchas condiciones excluyen los ataques DDoS de la garantía de disponibilidad. Si para ti es importante, busca esa cláusula en el SLA.

Planes sobre el tema

Ranking de hosting VPS 2026

Más en la guía

Servidor en la nube o VPSUn servidor en la nube y un VPS suelen ser la misma máquina virtual sobre KVM. La diferencia está en lo que la rodea: la nube vende recursos por horas a través de una API y ofrece discos en red, snapshots y servicios listos para usar, mientras que el VPS clásico es un plan fijo mensual con disco local y un paquete de tráfico. Veamos qué parte de todo eso necesita y cuánto cuesta.
Servidor dedicado o VPSUn VPS es una parte de un servidor físico; un servidor dedicado es la máquina entera. Con 4 núcleos y 8–16 GB de memoria el VPS cuesta casi la mitad; con 4 núcleos y 32 GB los precios se igualan, y con 64 GB en 8 núcleos o 128 GB en 16 núcleos el servidor dedicado del catálogo sale un tercio más barato que el virtual. Veamos qué más cambia aparte del precio: vecinos, garantías, plazos, averías de hardware y gestión remota.
Hosting o VPS para una webEl hosting compartido es un espacio listo para una web en el que del servidor se ocupa el proveedor. Un VPS es un servidor propio en el que todo lo configura usted. Para una landing o una web normal en WordPress basta con el hosting, que cuesta varias veces menos. El VPS hace falta cuando a la web no le bastan los límites de la cuenta o necesita un programa que el hosting no permite. A continuación: qué incluye cada opción, cuánto cuesta y una tabla para elegir.
Servidor de correo en un VPS: SPF, DKIM y DMARCInstalar Postfix o una solución lista como Mailcow en un VPS es cosa de una hora. Conseguir que los correos lleguen a la bandeja de entrada y no al spam es más difícil: los servicios de correo miran el puerto, la dirección del servidor, su reputación y tres registros DNS. Veamos qué comprobar en el proveedor antes de comprar y cómo configurar SPF, DKIM y DMARC.
Monitorización de un servidor: disponibilidad, carga y alertasSin monitorización, te enteras de la caída del servidor por los visitantes, y de que el disco se acaba cuando la base de datos deja de escribir. Bastan unas cuantas comprobaciones desde fuera y una decena de métricas desde dentro para ver el problema antes que los usuarios. Veamos qué medir, dónde poner las comprobaciones y cómo hacerlo gratis.
Cómo leer los planes de hosting: los límites ocultosLa ficha de un plan muestra núcleos, memoria, disco y precio mensual. Pero dos planes con las mismas cifras pueden costar distinto al cabo de un año y comportarse de forma diferente bajo carga. La diferencia está en las condiciones que van en letra pequeña, en la política de uso o solo en el contrato. Estos son los ocho puntos que conviene revisar antes de pagar.
IPv4 e IPv6 en un servidorUn VPS normal tiene una dirección IPv4 pública y, si el proveedor lo admite, una subred IPv6. Una IPv4 adicional casi siempre cuesta dinero, y los planes más baratos a veces vienen sin IPv4 propia. Veamos de dónde sale esa escasez, qué se puede hacer solo con IPv6 y qué ajustes de dirección necesita un servidor de correo.
Ancho de banda y tráfico: qué significan 1 Gbit/s e «ilimitado»En un plan de servidor suele haber dos líneas de red: la velocidad del puerto y el volumen de tráfico. La primera dice a qué velocidad puede enviar datos el servidor; la segunda, cuántos puede enviar en un mes. Las une una aritmética sencilla y, si la conoces, es fácil entender qué vende en realidad un «1 Gbit/s ilimitado» y si te bastan «5 TB».
Docker en un VPS: por dónde empezarDocker permite ejecutar en un servidor un bot, una web, una base de datos y la monitorización sin que se estorben entre sí, y mudarse a otro VPS se reduce a copiar un par de archivos y los datos. La instalación lleva cinco minutos; los problemas de verdad llegan después: puertos de la base de datos abiertos al exterior, logs de decenas de gigas y datos que desaparecen junto con el contenedor. Veamos cómo prevenirlos desde el principio.
Cómo migrar una web del hosting compartido a un VPSLa migración en sí lleva un par de horas, y los errores suelen ocurrir a su alrededor: una tarea cron olvidada, reglas de .htaccess que nginx no lee, un registro AAAA con la dirección antigua o el correo que desaparece con el cambio de IP. A continuación, el orden de los pasos con comandos y comprobaciones para una web en PHP y MySQL.
Paneles de control de servidor: ISPmanager, FASTPANEL, aaPanelUn panel convierte el VPS en algo parecido al área de cliente de un hosting compartido: webs, bases de datos, correo y certificados se crean con el ratón, sin editar archivos de configuración. Los tres paneles que más se instalan en servidores rusos y en servidores extranjeros económicos son ISPmanager, FASTPANEL y aaPanel. Se diferencian en el precio, en la memoria que piden y en hasta qué punto se adueñan del servidor.
VPS con Windows para 1CUn servidor alquilado para 1C acaba con el ordenador de oficina debajo de la mesa que nadie actualiza ni copia. Pero 1C en un VPS tiene sus particularidades: la licencia de software se vincula a los parámetros de la máquina virtual, los usuarios necesitan licencias tanto de 1C como de Windows, y la frecuencia de los núcleos importa más que su número. Veamos cómo montar un servidor para 1C en una empresa pequeña.
VPS con Windows: licencias, RDP e inicio de sesión seguroUn servidor Windows cuesta más que uno Linux no solo por la memoria: el precio incluye una licencia, y cómo esté planteada decide si cumples las condiciones y cuántas personas pueden conectarse. Además, un puerto RDP expuesto es la vía más habitual por la que se hackean estos servidores. Aquí tienes los dos temas.
Cuándo pasar del hosting compartido a un VPSUn VPS no hace más rápida una web por sí solo: te da recursos y libertad y, con ellos, la tarea de gestionar un servidor. Así puedes saber si el hosting se te ha quedado pequeño, cuándo el problema se resuelve sin mudarse y cómo migrar una web sin que los visitantes lo noten.
Copias de seguridad de un VPS: estrategias y herramientasEn un VPS las copias de seguridad son cosa tuya, aunque el plan diga «copias incluidas». Vemos qué hay que copiar exactamente, por qué no basta con la instantánea del proveedor, cómo configurar restic o BorgBackup en media hora y cómo asegurarte de que de verdad se puede restaurar desde la copia.
Primeros 10 pasos tras comprar un VPS: seguridadUnos minutos después de que un servidor nuevo reciba una IP pública, ya hay quien intenta adivinar sus contraseñas. A continuación tienes diez pasos que en una hora cierran los agujeros más habituales: comandos para Ubuntu y Debian, las diferencias para AlmaLinux y Rocky Linux y las comprobaciones sin las que es fácil quedarte sin acceso a tu propio servidor.
Cómo elegir el país del servidorPon el servidor donde están tus visitantes: en Madrid o en otro punto de Europa occidental si tu público está en España, y en Ciudad de México, Miami, Dallas o São Paulo si está en América Latina. El RGPD no te obliga a tener los datos en España, sino a tratarlos bien, y fuera de la UE exige garantías adicionales. El precio casi nunca decide: en un mismo proveedor, un servidor en Europa o en Estados Unidos suele costar lo mismo, y solo Asia y Australia salen claramente más caras.
Pago por horas: cuándo sale a cuentaEl pago por horas sale a cuenta si necesitas el servidor menos de tres semanas al mes: para una prueba, una compilación o una tarea pesada puntual. En la mayoría de los proveedores la hora cuesta exactamente el precio mensual dividido entre 730 horas, así que por un mes completo apenas pagas de más. El sobrecoste está en otro sitio: los planes con pago por horas son de media más caros, y para un servidor que funciona todo el año el pago mensual, y más aún el anual por adelantado, suele salir más barato.
Cuánta memoria y cuántos núcleos necesita una webA la mayoría de las webs les bastan 2 GB de memoria y uno o dos núcleos; una tienda con miles de productos necesita 4 GB y dos núcleos. La memoria importa más que los núcleos: cuando falta, la web va lenta o se cae, y un núcleo de más sin memoria apenas aporta nada. Más abajo verás cómo calcular la memoria para tu web y cómo saber cuánta gasta de verdad.
KVM u OpenVZ: cuál elegirEn 2026 casi siempre conviene elegir KVM: cuesta apenas uno o dos dólares más al mes que OpenVZ, y en él funciona todo, desde Docker hasta Windows. OpenVZ solo se justifica en un caso concreto, que verá a continuación, y al final encontrará los comandos para comprobar su servidor en un minuto.
NVMe o SSD: ¿hay diferencia para una web?Para una web pequeña la diferencia entre NVMe y SSD apenas se nota: las páginas se sirven desde la memoria, no desde el disco. Aparece en tiendas online y webs con bases de datos grandes. Además, en el mismo proveedor NVMe cuesta solo entre 0,50 y 1 USD más al mes, y a veces incluso menos, así que lo decisivo no suele ser el tipo de disco, sino su tamaño y cómo lo ha limitado el proveedor.
Qué es un VPS explicado de forma sencillaUn VPS es una parte de un servidor físico potente que se alquila y que se comporta como un ordenador independiente: con su propio sistema, su propia dirección IP y acceso completo. A continuación verá en qué se diferencia de un hosting, a quién le conviene, cuánto cuesta y qué comprobar justo después de contratarlo.
VPS para un bot de Telegram: qué necesita el bot y cómo elegir planUn bot con menú y unos cuantos comandos funciona sin problemas en el servidor más barato, mientras que un bot con envíos masivos, archivos y base de datos choca con límites muy distintos. Esto es lo que consume realmente un bot, qué límites de Telegram condicionan la elección del servidor y cómo evitar pagar de más.
Cómo probar el ping y la velocidad de un VPS antes de pagarLas cifras de un plan no dicen cuál será la latencia hasta tus usuarios ni lo rápido que es de verdad el disco. Casi todo se puede medir antes de pagar, y el resto, en la primera hora tras el arranque. Estas son las herramientas y cómo interpretar los resultados.
Red corporativa en un VPS: acceso remoto a la oficinaUn servidor alquilado puede convertirse en el centro de la red privada de una empresa: los empleados en remoto y las sucursales se conectan a través de él al ERP, al servidor de archivos, al CRM y a Git. Estos son los esquemas habituales, los protocolos, los requisitos del servidor y la seguridad básica.
Cómo elegir un VPS: los 7 parámetros que decidenDos planes con los mismos «2 núcleos, 4 GB, 50 GB» pueden diferir varias veces en velocidad y el doble en precio un año después. Esto es lo que hay detrás de cada línea de un plan VPS y lo que conviene revisar antes de pagar.
VPS o VDS: ¿hay diferencia y qué importa de verdad?En la mayoría de los mercados VPS y VDS significan lo mismo: un servidor virtual. La diferencia que de verdad afecta a tu trabajo no está en el nombre, sino en el tipo de virtualización y en si los recursos están garantizados.