Cuando hablamos de asegurar un sitio web, es tentador buscar "el parche" que lo resuelve todo. La realidad es que la seguridad efectiva nace de capas que se refuerzan entre sí: si una falla, las demás siguen protegiendo. Este es el concepto de defensa en profundidad, y en este artículo lo recorro aplicado al mundo web.

La idea central

Ninguna capa es perfecta. Un atacante que supere una barrera debería encontrarse con otra, y otra más. El objetivo no es ser inviolable —nada lo es— sino elevar el costo del ataque hasta que no valga la pena.

Veamos las capas más relevantes para un sitio web, de afuera hacia adentro.

Capa 1 — Cabeceras de seguridad HTTP

Las cabeceras HTTP le indican al navegador cómo comportarse. Son la defensa más rápida de implementar y, paradójicamente, de las más olvidadas.

Las más importantes:

  • HSTS fuerza siempre HTTPS, evitando ataques de downgrade.
  • Content-Security-Policy (CSP) controla qué scripts y recursos puede cargar la página. Es la principal defensa contra XSS.
  • X-Frame-Options previene clickjacking.
  • X-Content-Type-Options evita que el navegador "adivine" tipos de archivo.

Sobre el CSP: el problema de unsafe-inline

Un error común es permitir unsafe-inline en la política de scripts. Esto deja la puerta abierta a que cualquier script inyectado se ejecute, anulando buena parte de la protección.

La alternativa correcta es usar un nonce: un valor aleatorio único que se genera en cada carga de página. El navegador solo ejecuta los scripts que llevan ese valor. Un script inyectado por un atacante no lo conoce, así que el navegador lo bloquea.

El concepto clave: en lugar de confiar en todo lo inline, confiás solo en lo que vos marcaste explícitamente con un valor impredecible.

Capa 2 — Limitar la tasa de peticiones

Un formulario de contacto sin límites es una invitación al spam y a los ataques automatizados. Aplicar rate limiting —limitar cuántas peticiones puede hacer una misma IP en un período— corta de raíz buena parte del abuso automatizado.

La idea es permitir un uso normal y humano, pero frenar el comportamiento de bots que disparan decenas de peticiones por segundo.

Capa 3 — Endurecer el acceso remoto

El acceso administrativo al servidor es uno de los objetivos más codiciados. Dos principios fundamentales:

  • Eliminar el acceso directo del usuario administrador por defecto. Si todos saben que existe, es el primer objetivo de la fuerza bruta.
  • Autenticación basada en claves, no en contraseñas. Una clave criptográfica es prácticamente inmune a la fuerza bruta, a diferencia de una contraseña.

Regla de oro al endurecer el acceso remoto: nunca cierres tu sesión activa hasta confirmar, en una sesión nueva y paralela, que el acceso sigue funcionando. Un cambio mal aplicado puede dejarte afuera.

Capa 4 — Bloqueo automático de intentos maliciosos

Internet está lleno de bots que escanean servidores las 24 horas buscando puntos de entrada. Una herramienta de bloqueo automático monitorea los registros y banea las direcciones que acumulan intentos fallidos.

Lo interesante: al activar una herramienta así, en cuestión de minutos ya se ven intentos bloqueados. No es paranoia — el escaneo automatizado es constante y universal.

Capa 5 — Configuración del cifrado (TLS)

Tener HTTPS no alcanza: importa cómo está configurado. Una buena configuración TLS implica:

  • Soportar solo versiones modernas del protocolo y desactivar las obsoletas.
  • Habilitar forward secrecy, que protege las comunicaciones pasadas aunque la clave se comprometa en el futuro.
  • Mantener el certificado válido y renovado automáticamente.

Existen herramientas públicas que analizan y califican la configuración TLS de un sitio, muy útiles para verificar que no quedaron protocolos inseguros habilitados.

La conclusión

Cada capa, por separado, es superable. Juntas, forman una defensa robusta. Lo más valioso de pensar en capas no es la nota que te dé una herramienta de análisis, sino la mentalidad: asumir que cualquier barrera puede fallar y asegurarse de que nunca sea la única.

La seguridad no es un destino ni un checkbox. Es un proceso de mejora continua.