Guías y recursos

Un firewall es un sistema que examina el tráfico de red que entra y sale de un servidor y decide, según un conjunto de reglas, qué conexiones permitir y cuáles bloquear. Funciona como una barrera entre internet, un entorno abierto y en gran medida hostil, y los servicios que corren en el servidor: el sitio web, el correo, la base de datos o el panel de administración. Sin un firewall bien configurado, cualquier puerto abierto queda expuesto a que cualquiera en internet intente conectarse a él.

El filtrado se aplica en distintas capas. En la capa de red se analizan paquetes según dirección IP de origen y destino, protocolo y número de puerto: por ejemplo, permitir el puerto 443 para tráfico web seguro y bloquear puertos que no corresponden a ningún servicio activo. En la capa de aplicación, en cambio, el análisis es más fino: se observa el contenido y el comportamiento de las solicitudes HTTP, lo que permite detectar patrones típicos de ataque aunque lleguen por un puerto legítimo, como el 80 o el 443.

Las reglas de un firewall suelen definirse como listas ordenadas: se especifica qué tráfico coincide con cada regla (por IP, rango de IPs, puerto o protocolo) y qué acción tomar, aceptar, rechazar o descartar. Una buena práctica es cerrar todo por defecto y abrir únicamente los puertos estrictamente necesarios para cada servicio, reduciendo así la superficie de ataque disponible.

Bien configurado, un firewall mitiga buena parte de los ataques más comunes: escaneos de puertos que buscan servicios vulnerables, intentos de fuerza bruta contra el acceso SSH o el correo, y ráfagas de conexiones propias de ataques de denegación de servicio. En sistemas Linux, esta lógica de reglas se implementa a nivel del núcleo del sistema operativo mediante herramientas genéricas como iptables o su sucesor nftables, que procesan cada paquete antes de que llegue a la aplicación.

En nuestros servicios aplicamos un firewall perimetral y, además, reglas propias en cada servidor: solo se habilitan los puertos que cada plan realmente necesita, se limitan los intentos de acceso a servicios sensibles como SSH, el panel de control, el correo y la base de datos, y se monitorean patrones de tráfico anómalos. Esta capa de seguridad viene incluida en todos nuestros planes y forma parte del trabajo continuo de nuestro equipo de soporte.

Cuando se envía un correo electrónico, el mensaje recorre varios servidores antes de llegar a la bandeja de entrada del destinatario. El cliente de correo (una aplicación de escritorio, una app móvil o un webmail) entrega el mensaje al servidor de salida del remitente, ese servidor lo enruta hacia el servidor de entrada del dominio destino, y recién ahí queda disponible para que el destinatario lo lea. Todo este trayecto ocurre en segundos, pero involucra varios protocolos distintos trabajando en conjunto.

El envío y el reenvío entre servidores se hacen mediante SMTP (Simple Mail Transfer Protocol), el protocolo estándar para transportar correo por internet. Del lado del servidor, el componente encargado de recibir, encolar y despachar los mensajes es el agente de transporte de correo o MTA; la implementación genérica más usada en servidores Linux es Postfix, que decide a qué servidor de destino entregar cada mensaje según los registros DNS del dominio receptor.

Para leer el correo ya recibido se usan otros dos protocolos: IMAP y POP3. IMAP mantiene los mensajes sincronizados en el servidor, de modo que se pueden ver las mismas carpetas y el mismo estado (leído, respondido, archivado) desde varios dispositivos a la vez; POP3, en cambio, descarga los mensajes al dispositivo y es más adecuado cuando se usa un único cliente de correo. La entrega a los buzones y el acceso vía IMAP o POP3 los gestiona un servidor de entrega dedicado, típicamente Dovecot en entornos Linux.

Antes de que un mensaje llegue a la bandeja de entrada, pasa por filtros antispam y antivirus que analizan su contenido, sus adjuntos y la reputación del servidor que lo envía, para descartar correo no deseado o malicioso sin intervención manual. Estos filtros trabajan tanto en la recepción como, idealmente, en el envío, para evitar que una cuenta comprometida sea usada para distribuir spam.

Por último, la entregabilidad de un dominio, es decir, que sus correos lleguen a destino y no terminen en spam, depende en gran parte de tres registros DNS: SPF, que declara qué servidores están autorizados a enviar correo en nombre del dominio; DKIM, que firma digitalmente cada mensaje para comprobar que no fue alterado en el camino; y DMARC, que le indica a los servidores receptores qué hacer si un mensaje falla esas validaciones. Configurar correctamente estos tres registros es hoy imprescindible para que el correo saliente de cualquier dominio tenga buena reputación.

Un servidor web es el software que recibe las peticiones HTTP o HTTPS de los visitantes de un sitio y responde con el contenido correspondiente: una página HTML, una imagen, un archivo o el resultado de ejecutar una aplicación. Es la pieza que conecta el navegador del visitante con los archivos y los programas que realmente viven en el servidor, y su rendimiento influye directamente en la velocidad de carga percibida por el usuario final.

nginx es un servidor web liviano y orientado a eventos, lo que le permite atender una gran cantidad de conexiones simultáneas usando pocos recursos. Por eso es muy usado tanto para servir contenido estático directamente como para actuar de proxy inverso delante de otras aplicaciones, distribuyendo el tráfico entrante y aplicando reglas de cache o de seguridad antes de que la petición llegue al backend.

Apache, también conocido por el nombre de su proceso httpd, es uno de los servidores web más maduros y extendidos. Su punto fuerte es la flexibilidad: admite una gran cantidad de módulos y permite configuraciones muy específicas por directorio mediante archivos .htaccess, lo que lo hace especialmente cómodo para alojar múltiples sitios y aplicaciones con necesidades distintas dentro del mismo servidor.

LiteSpeed es un servidor web orientado especialmente al rendimiento, con cache integrada a nivel de servidor y compatibilidad con buena parte de las configuraciones que ya se usan en Apache. Su cache reduce drásticamente el tiempo que tarda en generarse una página dinámica en visitas repetidas, algo particularmente valioso para sitios con mucho tráfico o construidos sobre gestores de contenido.

Más allá de qué servidor web se use, el rendimiento final de un sitio depende de cómo se combinan varias capas de cache (de página completa, de objetos, de navegador), la compresión de los archivos que se envían y un ajuste correcto de los recursos disponibles. En nuestros planes de hosting elegimos y afinamos esta combinación según el tipo de sitio, para que cada proyecto obtenga tiempos de carga bajos sin que el cliente tenga que ocuparse de esa configuración.

Casi ningún sitio web moderno es solo un conjunto de archivos estáticos: la mayoría necesita guardar y consultar información que cambia constantemente, como artículos, usuarios, productos, comentarios o configuración. Ese trabajo lo hace una base de datos, un sistema diseñado para almacenar información de forma organizada y devolverla de manera rápida y confiable cada vez que la aplicación la necesita.

WordPress y la mayoría de los gestores de contenido y aplicaciones web guardan prácticamente todo en una base de datos relacional: las publicaciones, los usuarios, los comentarios, los ajustes del sitio y buena parte de la configuración de sus plugins. Cada vez que se carga una página, la aplicación realiza una o varias consultas a la base de datos para armar el contenido que finalmente ve el visitante, así que el rendimiento de la base de datos afecta directamente la velocidad del sitio completo.

MariaDB nació como una evolución de MySQL, mantenida por la comunidad y compatible con el mismo lenguaje SQL y con las mismas herramientas, pero con mejoras de rendimiento y funcionalidades adicionales incorporadas con el tiempo. Para la gran mayoría de aplicaciones web, migrar de una a otra no requiere cambios en el código: ambas entienden las mismas consultas y se administran de forma prácticamente idéntica.

Entre las buenas prácticas de rendimiento más importantes están definir índices en las columnas que se consultan con frecuencia, para que las búsquedas no tengan que recorrer toda la tabla, y evitar consultas innecesarias o repetidas, algo que en sitios WordPress suele resolverse con una capa de cache de objetos delante de la base de datos.

El backup es igual de importante que el rendimiento: una base de datos sin copias de seguridad recientes es un riesgo enorme, porque toda la información dinámica del sitio vive ahí. Lo recomendable es hacer copias periódicas y automáticas, guardarlas en una ubicación distinta al servidor de origen y, de tanto en tanto, verificar que efectivamente se puedan restaurar. En nuestros planes de hosting y VPS incluimos backups programados de las bases de datos como parte del servicio.

Una máquina virtual es un entorno de cómputo aislado que se comporta, desde adentro, como un servidor independiente: tiene su propio sistema operativo, su propia memoria asignada, su propio almacenamiento y puede reiniciarse o reinstalarse sin afectar a otras máquinas virtuales que corren en el mismo hardware físico. Para el usuario que la administra, es indistinguible de un servidor físico dedicado.

El software que hace posible esto se llama hipervisor: es la capa que crea, gestiona y aísla varias máquinas virtuales sobre un mismo servidor físico. KVM (Kernel-based Virtual Machine) es una tecnología de virtualización integrada en el núcleo de Linux, ampliamente usada en la industria por su estabilidad y su rendimiento cercano al de un servidor físico, ya que aprovecha directamente las capacidades de virtualización del procesador.

Con KVM, cada máquina virtual recibe una asignación fija de vCPU (núcleos de procesamiento virtuales), memoria RAM y espacio en disco, reservada exclusivamente para ella. Eso significa que el consumo de recursos de una máquina virtual no compite en tiempo real con el de otra: si un VPS tiene asignados 4 GB de RAM, esa memoria está disponible para su uso sin depender de lo que hagan otros clientes en el mismo servidor físico.

Esta tecnología es lo que permite distinguir tres modelos de hosting bien diferentes. En el hosting compartido, muchos sitios conviven en un mismo servidor y comparten sus recursos y su entorno de administración, lo que resulta económico pero limita el control y el rendimiento disponible para cada sitio. En un VPS, la virtualización aísla a cada cliente en su propia máquina virtual con recursos garantizados, con acceso de administrador y libertad para instalar lo que necesite. Un servidor dedicado, por último, entrega el hardware físico completo a un único cliente, sin virtualización de por medio, para las cargas de trabajo más exigentes.

Elegir entre estas tres opciones depende del proyecto: un sitio pequeño o que recién arranca suele estar cómodo en hosting compartido; un proyecto que crece, necesita más control o corre aplicaciones propias suele beneficiarse de un VPS Cloud; y las cargas más grandes, con requisitos estrictos de rendimiento o aislamiento total, justifican un servidor dedicado. Nuestra plataforma de virtualización basada en KVM sostiene tanto nuestros planes de VPS Cloud como nuestros servicios de revendedores.

Toda comunicación en internet ocurre entre direcciones IP: un identificador numérico único que le corresponde a cada dispositivo o servidor conectado a la red, algo así como su número de calle y de puerta dentro de internet. Los servidores web tienen una o varias direcciones IP públicas, a las que los visitantes se conectan para llegar a un sitio.

Como recordar direcciones IP sería poco práctico, existe el DNS (Domain Name System), un sistema jerárquico y distribuido que traduce nombres de dominio legibles, como un dominio cualquiera, a la dirección IP del servidor que lo aloja. Esa traducción se resuelve consultando distintos tipos de registros: los registros A o AAAA apuntan un dominio a una IP, los registros MX indican a qué servidor debe entregarse el correo de ese dominio, y los registros CNAME permiten que un nombre apunte a otro nombre en lugar de a una IP directamente.

Cuando alguien escribe una dirección web en su navegador, ocurre una secuencia de pasos en cuestión de milisegundos: primero se resuelve el nombre de dominio a una dirección IP mediante DNS, luego el navegador abre una conexión TCP con el servidor en esa IP, y si el sitio usa HTTPS se negocia además un canal cifrado mediante TLS antes de que se envíe la primera solicitud. Recién entonces el servidor responde con el contenido solicitado.

Cada servicio que corre en un servidor escucha en un puerto determinado: el 80 se usa convencionalmente para tráfico web sin cifrar y el 443 para tráfico web cifrado con HTTPS, el 25 y el 587 para el envío de correo, el 22 para conexiones SSH de administración y el 21 para FTP. Un firewall bien configurado solo deja abiertos los puertos que corresponden a servicios activos, como se explica en la guía sobre firewalls.

La ubicación física del datacenter también influye en la experiencia del visitante: cuanto más lejos, en términos de red, esté el servidor del usuario que hace la petición, mayor es la latencia, es decir, el tiempo que tarda cada mensaje en ir y volver. Por eso conviene elegir un datacenter cercano al público principal de un proyecto. Contamos con datacenters Tier IV de última generación en dos continentes —Norteamérica y Europa—, con múltiples proveedores de conexión que en conjunto suman más de 1 Terabit de ancho de banda.

Detrás de cada servidor de TeraServer hay soporte técnico humano, disponible las 24 horas del día, los 365 días del año. No se trata de respuestas automáticas: es un equipo de personas que atiende consultas técnicas reales, desde una duda de configuración hasta una emergencia en producción.

El canal principal de soporte es el sistema de tickets disponible desde el panel de control de cada servicio, pensado para llevar un registro ordenado de cada consulta y su resolución, con historial disponible en todo momento.

Además del sistema de tickets, se puede contactar a nuestro equipo por WhatsApp o por correo electrónico, según lo que resulte más cómodo en cada momento, para consultas comerciales o técnicas.

Nuestro acompañamiento no termina con la contratación: incluimos ayuda con la migración de sitios existentes hacia nuestros servidores, para que el cambio de proveedor sea lo más simple posible y con la menor interrupción para el sitio en producción.