Qué es un WAF (firewall de aplicaciones web) y si su sitio lo necesita
Un WAF, o Web Application Firewall, es un filtro que se pone delante de su sitio web y bloquea los pedidos maliciosos antes de que lleguen a WordPress: intentos de explotar fallas conocidas, inyecciones de código, bots que prueban claves. Le explicamos qué es un WAF, cómo funciona, qué tipos hay y cuándo vale la pena tenerlo.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué es un WAF y en qué se diferencia de un firewall común
Un firewall de red (el del router o el del servidor) decide qué conexiones entran según puertos y direcciones: deja pasar el tráfico web y bloquea, por ejemplo, el acceso remoto a la base de datos. Pero no mira qué dice cada pedido.
Un WAF trabaja un nivel más arriba: lee cada pedido web (la dirección, los parámetros, los formularios) y lo compara con reglas que describen ataques conocidos. Si un pedido intenta explotar una falla en un plugin, inyectar código SQL o subir un archivo PHP, lo bloquea antes de que llegue al sitio.
Por eso se llama «de aplicaciones»: entiende el lenguaje de la aplicación web, no solo el de la red.
Qué bloquea un WAF
Explotación de fallas conocidas
Cuando se publica una vulnerabilidad en un plugin, el proveedor del WAF agrega una regla que bloquea ese ataque, a veces antes de que exista el parche. Se llama «parche virtual».
Inyección SQL y XSS
Intentos de meter código en formularios o direcciones para leer la base de datos o inyectar scripts.
Inyección SQL · Qué es XSSFuerza bruta
Miles de intentos de acceso contra wp-login.php y xmlrpc.php.
Cómo proteger wp-adminBots maliciosos
Escáneres de vulnerabilidades, robots que roban contenido y tráfico basura.
Subida de archivos peligrosos
Intentos de subir puertas traseras a través de formularios o plugins vulnerables.
Picos de tráfico malicioso
Los WAF en la nube absorben ataques de denegación de servicio (DDoS) que tirarían abajo un hosting compartido.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Los tres tipos de WAF
| Tipo | Dónde corre | Ejemplos | Ventajas | Límites |
|---|---|---|---|---|
| En la nube (DNS) | Entre el visitante y su servidor | Cloudflare, Sucuri Firewall | Frena el ataque antes de que llegue al servidor; suma caché y protección DDoS | Hay que cambiar el DNS; si alguien conoce la IP real del servidor, puede saltearlo |
| En la aplicación (plugin) | Dentro de WordPress | Wordfence | Conoce WordPress por dentro (usuarios, plugins); fácil de instalar | Consume recursos del hosting; el ataque ya llegó al servidor |
| En el servidor | En el servidor web | ModSecurity (común en hostings con cPanel), Imunify360 | Protege todos los sitios del servidor | Lo controla el hosting; reglas genéricas, no específicas de WordPress |
Los tres se pueden combinar: es habitual tener ModSecurity en el hosting, un WAF en la nube y un plugin de seguridad para el login y el escaneo. → Plugins de seguridad para WordPress
Qué no hace un WAF
No reemplaza las actualizaciones
Un WAF puede no tener la regla para una falla nueva, o el atacante puede encontrar una forma de esquivarla. El parche definitivo es actualizar.
Actualizar WordPress sin romper el sitioNo limpia un sitio infectado
Si el sitio ya tiene una puerta trasera, el WAF no la saca.
Limpieza de sitio hackeadoNo protege una clave filtrada
Si alguien entra con usuario y clave válidos, para el WAF es un acceso normal. Para eso está la segunda clave.
No arregla las fallas propias de su aplicación
En una plataforma a medida, las fallas de lógica (un usuario que ve datos de otro) no se resuelven con reglas genéricas. Para eso está el pentest web.
Un ejemplo: cómo un WAF frena un ataque real
Para entender qué hace un WAF, sigamos un ataque típico contra un sitio WordPress:
- 01
Se publica una falla
Un plugin de formularios muy usado tiene una vulnerabilidad que permite subir archivos sin iniciar sesión. Se publica un martes a la mañana.
- 02
Los bots empiezan a buscar
En pocas horas, miles de bots recorren internet buscando sitios con ese plugin y esa versión, y mandan el pedido que explota la falla.
- 03
Sin WAF, el pedido llega
Si el sitio no actualizó, el bot sube una puerta trasera. Desde ahí puede inyectar spam, redirecciones o phishing. → Cómo escanear WordPress en busca de malware
- 04
Con WAF, el pedido se bloquea
El proveedor del WAF agregó una regla para esa falla. El pedido del bot coincide con la regla y se bloquea antes de llegar a WordPress. El sitio queda protegido aunque todavía no se haya actualizado.
- 05
Igual hay que actualizar
El WAF ganó tiempo. La corrección definitiva sigue siendo actualizar el plugin. → Actualizar WordPress sin romper el sitio
Cómo saber si su sitio tiene un WAF
Mire los encabezados de respuesta del sitio
Los WAF en la nube suelen dejar marcas (por ejemplo,
cf-rayen Cloudflare ox-sucuri-iden Sucuri).Revise a dónde apunta el DNS
Si los servidores de nombre del dominio son de Cloudflare, o el registro A apunta a un proveedor de firewall, hay un WAF en la nube.
Pregunte a su hosting
Si tiene ModSecurity o Imunify360 activos, y con qué reglas.
Revise los plugins instalados
Wordfence, por ejemplo, muestra en su panel si el firewall está en modo «protección extendida» o «básica».
En nuestro diagnóstico gratis le decimos si su sitio tiene un firewall delante y si se puede llegar directo al servidor.
¿Su sitio necesita un WAF?
- 01
Sitio institucional chico, bien mantenido
Un plugin de seguridad con firewall y las actualizaciones al día suelen alcanzar. Un WAF en la nube gratuito suma una capa sin costo.
- 02
Tienda online o sitio con login de clientes
Sí. Un WAF en la nube protege el checkout, frena la fuerza bruta contra las cuentas de clientes y absorbe picos de tráfico. → Seguridad en WooCommerce
- 03
Sitio que ya fue hackeado o atacado
Sí, y después de limpiarlo: las vías de entrada se vuelven a intentar.
- 04
Sitio con muchos plugins o que no se puede actualizar rápido
Sí. Los parches virtuales ganan tiempo entre que se publica una falla y usted puede actualizar. Combinado con un análisis de vulnerabilidades periódico, sabe qué está expuesto mientras tanto.
Cómo implementar un WAF en WordPress sin romper nada
Empiece en modo aprendizaje
Plugins como Wordfence tienen un modo que registra sin bloquear durante unos días, para no cortar a usuarios legítimos.
Cierre el acceso directo al servidor
Si usa un WAF en la nube, configure el servidor para aceptar tráfico web solo desde ese proveedor. Si no, el atacante puede saltearlo yendo directo a la IP.
Pruebe formularios y pagos
Las reglas estrictas a veces bloquean pedidos legítimos, sobre todo en el checkout y en las integraciones con pasarelas de pago.
Mire los registros
Un WAF que bloquea miles de intentos contra un mismo plugin le está diciendo qué atacan.
El firewall es la última de las ocho capas de la guía de seguridad en WordPress. En nuestra guardia mensual incluimos la configuración y el seguimiento del firewall.
Servicios relacionados
Preguntas frecuentes
¿Qué es un WAF en palabras simples?
Un filtro delante de su sitio que lee cada pedido y bloquea los que se parecen a un ataque conocido, antes de que lleguen a WordPress.
¿Cloudflare es un WAF?
Cloudflare ofrece un WAF en la nube. El plan gratuito incluye protección básica y reglas administradas limitadas; los planes pagos suman reglas más completas.
¿Un WAF pone lento el sitio?
Uno en la nube suele hacerlo más rápido, por la caché. Uno en plugin consume algo de recursos del hosting en cada visita.
¿Necesito un WAF si tengo un plugin de seguridad?
Si el plugin incluye firewall (como Wordfence), ya tiene uno de aplicación. Un WAF en la nube suma la protección antes de que el tráfico llegue al servidor.
¿El WAF reemplaza a las actualizaciones?
No. Gana tiempo, pero la corrección definitiva es actualizar el plugin o el tema afectado.
Más sobre seguridad wordpress
Seguridad en WooCommerce: cómo proteger pagos y datos de clientes
Una tienda WooCommerce tiene todo lo que tiene un sitio WordPress, y además clientes, pedidos y pagos. Eso la vuelve un blanco…
LeerSeguridad en WordPress: guía completa para dueños de sitios
¿WordPress es seguro? El núcleo, sí. Los sitios WordPress que se hackean caen casi siempre por lo que se les agrega encima:…
LeerCómo escanear WordPress en busca de malware
El malware en WordPress casi nunca se ve: el sitio carga bien, a usted no le redirige a ningún lado y el…
Leer¿Su sitio está protegido por un firewall?
Lo revisamos desde afuera y le decimos si tiene un WAF delante, qué está expuesto y qué conviene configurar.
¿Consulta urgente? WhatsApp 095 283 123