Las capas por encima de su servidor: dominio, CDN, tránsito

Elegir dónde vive el servidor es una decisión de tres, y rara vez es la que decide el resultado. Por encima del servidor hay un nombre, operado por otro. Delante del servidor hay, en la mayoría de los sitios, un proxy inverso operado por otro distinto. Ninguno de los dos está sujeto a la política de su proveedor, ninguno está en la jurisdicción de su proveedor, y a ambos se les puede ordenar actuar mediante un tribunal que no tiene ningún alcance sobre su proveedor. Esta es la parte de la pila que el alojamiento offshore no cubre, y conviene saber exactamente dónde se detiene.

Tres capas, tres dueños distintos

Que un sitio sea accesible depende, como mínimo, de tres empresas distintas, y fallan de forma independiente.

El nombre. Un registrador se lo vendió; un registro opera la extensión bajo la que vive. Dos empresas, normalmente dos países, y la segunda nunca ha oído hablar de usted.

El frente. Si algo responde en su nombre — un CDN, un proxy inverso, un borde anycast — termina las conexiones de sus visitantes antes de que su servidor las vea. Por construcción, conoce su dirección de origen, y recibe las quejas.

El cable y la máquina. Su proveedor, sus operadores de tránsito, la instalación, el rango de direcciones dentro del que está su servidor. Es la capa que la gente compra, y es la única de las tres que una jurisdicción de alojamiento realmente gobierna.

El hábito que conviene romper es pensar en esto como una sola compra. Son tres, y poner las tres en una sola mano — o en un solo sistema legal — es cómo una única orden lo tumba todo a la vez.

El dominio: el registrador, y el registro por encima

Su registrador es la tienda. El registro es el mayorista que opera la extensión, y es la capa que casi nadie comprueba antes de comprar.

Qué mueve a un registrador

Desde el 5 de abril de 2024, los registradores acreditados tienen la obligación contractual de actuar ante lo que ICANN llama DNS Abuse: cuando disponen de pruebas accionables, deben tomar con prontitud las medidas de mitigación razonablemente necesarias para interrumpir el nombre. La mitad útil de esa norma es su definición. DNS Abuse significa malware, botnets, phishing, pharming, y spam cuando el spam es el vector de entrega de uno de los anteriores. El contenido del sitio queda fuera del alcance, y los derechos de autor quedan fuera del alcance — explícitamente.

Léalo como un umbral y no como un consuelo. Le indica la forma que debe tener una queja para que su registrador esté obligado a moverse; también le indica que todo lo que quede fuera de esa lista tiene que llegar como una orden de un tribunal o una autoridad, lo cual es más lento, comprobable y recurrible. Merece la pena conocer las dos mitades antes de tramitar la queja que está a punto de recibir.

Qué puede hacer el registro, y dónde se sitúa

Un registro tiene una sola palanca, absoluta: puede fijar en su nombre un estado que lo retire de la zona. El nombre deja entonces de resolver para cualquiera, en cualquier lugar, sin importar lo que piense su registrador ni dónde esté su servidor. Nada en la capa de alojamiento mitiga esto, porque nada en la capa de alojamiento está implicado.

No es teórico. En junio de 2026, un tribunal de distrito de Texas dictó un mandamiento de embargo ordenando a Verisign, que opera .com, colocar motherless.com en bloqueo de registro (registry hold). El operador era una empresa luxemburguesa que había ignorado una sentencia de Texas dictada bajo la ley estatal de verificación de edad; la orden fijó una fianza de 9,14 millones de dólares como condición para recuperar el nombre. El sitio no estaba alojado en Texas y la empresa no estaba en Texas. El nombre estaba en .com, y .com lo opera una empresa estadounidense bajo jurisdicción estadounidense. Eso bastó.

La lección generalizable no tiene que ver con ese caso concreto. Es que la extensión que elige es una decisión de jurisdicción, exactamente igual que el país en el que está su servidor, y la mayoría de la gente la toma por costumbre. Pregunte quién opera la extensión, bajo qué ley, y si ese sistema legal tiene la costumbre de dar órdenes a los registros. Después decida si quiere que su único nombre esté ahí.

La privacidad del nombre es cuestión de publicación, no de conocimiento

El enmascaramiento de WHOIS y RDAP detiene al scraper masivo y a la consulta ocasional. No vuelve ignorante a su registrador: la acreditación le obliga a conservar los datos de registro, y los revela bajo proceso legal como cualquier otro. Un servicio de privacidad delante del registro es un ajuste de publicación, no un escudo — y un registrador que nunca le pidió nada no puede revelar lo que no tiene, lo cual es una propiedad completamente distinta y la única que merece la pena pagar.

El proxy delante: qué elimina, qué reenvía

Un CDN es un intermediario de caching. No almacena su sitio de forma duradera, así que «retirar el archivo» normalmente no es algo que pueda hacer. Lo que sí puede hacer es dejar de hacerle de proxy — lo cual, para un sitio que depende del proxy para seguir siendo accesible y para mantener callado su origen, es una retirada y una revelación en un solo movimiento.

El comportamiento más interesante es el cotidiano, y el mayor proveedor lo publica sin rodeos. Al recibir un informe de abuso sobre un sitio al que simplemente hace de proxy, reenviará su queja al operador del sitio web y al proveedor de alojamiento, y facilitará al proveedor de alojamiento la dirección IP de origen del contenido en cuestión. Ambas frases están citadas de su propia política de abuso, y son lo contrario de lo que los compradores suponen que están pagando.

Así que el proxy no es un colchón entre usted y el departamento de abusos de su proveedor. Es un mensajero. Lleva la queja hasta su proveedor, y le dice a su proveedor exactamente qué máquina mirar. Si eligió a su proveedor por cómo gestiona las quejas, no hay problema — la queja llega adonde usted quería que llegara. Si eligió un proxy esperando que la queja se detuviera ahí, no se detiene.

La documentación de ese mismo proveedor le impone además una obligación: mantener una dirección de contacto de abusos gestionada y vigilada activamente, y responder a cualquier notificación de informe de abuso en un plazo de veinticuatro horas. No responder a tiempo puede acarrear que el contenido denunciado se retire o se bloquee, y la suspensión o cancelación de la cuenta. El intermediario que no puede retirar su contenido se ha reservado, aun así, una cláusula de retirada, y un reloj.

Hay una excepción que importa. Cuando esa misma empresa también aloja — su almacenamiento de objetos, su plataforma serverless, sus productos de medios y de páginas — es proveedor de alojamiento para ese contenido, lo dice así, y retira contenido mediante un proceso de notificación y retirada con contranotificación, en la forma que prescribe el derecho estadounidense. Dos productos de un mismo proveedor, dos respuestas completamente distintas. Sepa cuál está usando realmente.

Lo que un CDN no oculta, y cómo se encuentran los orígenes

Mucha gente pone un proxy delante de un servidor por una sola razón: mantener la dirección de origen fuera de la internet pública. Conviene saber cuán bien funciona eso en la práctica, y la respuesta honesta es que funciona hasta que uno de cinco errores corrientes lo deshace. Ninguno de ellos es exótico; los propios proveedores de proxy los documentan.

Los registros que publicó antes de moverse. El DNS es público y queda archivado. Casi todos los sitios que se han movido detrás de un proxy tienen su dirección anterior al traslado guardada, de forma permanente, en el conjunto de datos históricos de alguien. La propia guía del proveedor recomienda rotar la dirección de origen después de la incorporación — si no lo hizo, el traslado fue cosmético.

Los registros que dejó sin proxy. Basta con un subdominio que apunte directamente a la máquina: mail, ftp, cpanel, dev, staging, vpn, el servidor de monitorización que configuró una vez. Audite todos los registros de la zona, no solo los que recuerda haber creado.

El correo que sale de la máquina. Si el origen envía correo, su dirección viaja en las cabeceras. Envíe un mensaje a una dirección que no existe y el rebote llegará llevándola. El correo pertenece a una máquina distinta de la que intenta mantener callada.

La transparencia de certificados. Todo certificado de confianza pública queda registrado con los nombres que cubre. Los registros no entregan una dirección, pero sí entregan la lista completa de subdominios que probar, incluidos los que usted creía privados.

El escaneo masivo. Todo el espacio de direcciones se escanea de forma continua y se indexa según lo que responde. Una página distintiva servida desde una dirección desnuda es una consulta en una base de datos, no una investigación.

Las soluciones están bien entendidas, y conviene aplicarlas por orden de solidez y no por orden de comodidad.

1. Un túnel solo de salida. El origen abre una conexión hacia el borde y no escucha en nada. No hay ningún puerto que encontrar, así que la dirección deja de ser interesante aunque se filtre. Es la única opción de la lista que no depende de acertar con una regla.
2. TLS mutuo (mTLS) desde el borde. El origen solo da servicio a un cliente que presente el certificado del proxy. La dirección puede filtrarse; no responderá. Sólido, y sobrevive a que la dirección se haga pública.
3. Cortafuegos a los rangos publicados del proxy. Mejor que nada y fácil de desplegar, pero los rangos cambian, y la propia comparativa del proveedor señala este enfoque como vulnerable a la suplantación. Trátelo como un mínimo, no como una solución.
4. Mantenimiento básico. Rote la dirección de origen en cuanto esté detrás del borde, saque el correo de la máquina, y audite los registros sin proxy después de cada cambio. La mayoría de las exposiciones son una de estas tres cosas, no un ataque ingenioso.

Un proxy oculta el origen a un desconocido con un navegador. No oculta el origen al propio proxy — que lo conoce por definición, y que, al recibir una queja, está comprometido a decirle a su proveedor de alojamiento cuál es.

Debajo de la máquina: tránsito, prefijo, instalación

Por debajo de su servidor hay un conjunto más de partes, y son las que un proveedor suele estar menos dispuesto a discutir.

Los operadores de tránsito. Su proveedor compra conectividad a alguien. Esos operadores tienen sus propios departamentos de abusos, sus propios contratos y su propio apetito de riesgo, y un operador que decide que usted es un problema puede tomar la decisión por su proveedor. Pregunte cuántos operadores hay — uno solo es un único punto de política además de un único punto de fallo — y haga la pregunta más afilada: ¿acepta su proveedor, en silencio, listas de bloqueo del lado del operador sobre su tráfico?

El prefijo que comparte. Los sistemas de reputación trabajan sobre rangos de direcciones, no sobre clientes. Usted hereda a sus vecinos, y los hereda sin que le digan quiénes son. Este es el coste concreto de un proveedor que se anuncia como refugio para cualquier cosa: las listas de bloqueo llegan al rango, y su correo y sus llamadas API están dentro de él.

La instalación y el hardware. Los armarios alquilados significan un arrendador con su propia política de abusos por encima de su proveedor, de forma invisible, y cada capa por encima de su proveedor es otra parte que puede darle de baja por motivos que usted nunca verá.

Ya que el objetivo de esta guía es que cada capa rinda cuentas, aquí está esta en los mismos términos. Dos operadores de tránsito, balanceados por BGP, veinte gigabits combinados, hacia Chișinău. Filtrado de capa 3 y capa 4 antes de cada puerto, para todos, sin nada que comprar. No se aceptan listas de bloqueo del lado del operador sobre el tráfico de clientes: si algo debe bloquearse, lo dice un tribunal y se lo decimos. El hardware es propiedad, no alquilado, en un solo país, de la empresa a la que le compra — los detalles están en la página de la red y en la página de la instalación.

Y la brecha, dicha sin rodeos: no vendemos dominios, y no operamos el proxy que ponga delante de su servidor. Esas dos capas son suyas. Todo lo anterior sobre los registros y sobre las quejas reenviadas se le aplica exactamente tal y como está escrito, y ninguna jurisdicción de alojamiento — incluida la nuestra — cambia una sola palabra de ello.

Poner las tres capas en tres manos distintas

Toda la guía se reduce a un puñado de decisiones, y ninguna cuesta nada.

1. Tres capas, tres proveedores, tres familias jurídicas. Nombre, borde y servidor en manos de una sola empresa están a una orden de distancia de la nada. En tres manos, una orden contra cualquiera de ellas deja a las otras dos funcionando y le deja tiempo.
2. Hágale a cada capa las mismas tres preguntas. ¿Qué le pueden obligar a reenviar, qué le pueden obligar a retirar, y qué le pueden obligar a revelar? Fallan de forma independiente, y un proveedor que responde a las tres en una sola frase no ha entendido la pregunta.
3. Configure como si el proxy reenviara, porque lo hace. Dé por hecho que cada queja llega a su proveedor con su dirección de origen adjunta. Si ese resultado es un problema, la solución está en la capa de alojamiento o en lo que publica — no en añadir otro intermediario.
4. Cierre el origen como es debido. Túnel solo de salida o TLS mutuo; correo en una máquina distinta; rotación de la dirección tras la incorporación; auditoría de los registros sin proxy. Cuatro puntos, todos aburridos, y cubren casi toda exposición real.
5. Trate el nombre como su único punto de fallo, y prepárese para ello. Sepa qué registro opera su extensión y bajo qué ley. Tenga un segundo nombre, en una extensión distinta, en un registrador distinto, y sepa de antemano cómo avisaría a la gente para que lo usara.

Nada de esto es un argumento en contra de poner un proxy delante de su servidor, ni en contra del alojamiento offshore — seríamos una fuente extraña para cualquiera de los dos argumentos. Es un argumento a favor de que las tres capas son tres compras separadas con tres modos de fallo separados, y de que aquella que la mayoría escruta con más dureza no es la que más probablemente acabe con ellos. Si quiere que la capa que sí operamos se someta al mismo estándar, las cifras trimestrales y la página de cooperación con las autoridades son donde comprobarlo.

Escrito por los ingenieros que dirigen la plataforma, y revisado de nuevo hoy. Si algo aquí es incorrecto o ha quedado desactualizado, dígalo desde el panel — de ahí proviene más o menos la mitad de esto.