Ningún control aislado protege una aplicación. La seguridad sostenible aparece cuando varias capas simples se complementan y pueden verificarse.
Empezar por la superficie pública
El primer paso es saber qué está expuesto: dominios, rutas administrativas, APIs, servicios de origen y dependencias externas. Un inventario pequeño y actualizado permite eliminar accesos innecesarios antes de agregar controles complejos.
Identidad antes de la aplicación
Un proxy de identidad en el borde puede impedir que el tráfico no autorizado llegue al formulario administrativo. Este patrón reduce ataques automatizados y complementa la autenticación propia de la aplicación. No reemplaza la autorización interna: cada sistema aún debe validar qué puede hacer el usuario autenticado.
Controles complementarios
- WAF y reglas específicas: bloquean rutas sensibles y patrones conocidos.
- Rate limiting: reduce fuerza bruta y agotamiento de recursos.
- Mínimos privilegios: limita el impacto de una cuenta o proceso comprometido.
- Gestión de secretos: evita credenciales persistentes dentro del código o de imágenes.
- Actualizaciones y dependencias: reducen exposición a vulnerabilidades conocidas.
El origen también importa
Un CDN o WAF pierde valor si el servidor de origen puede alcanzarse directamente. Conviene restringir tráfico al proveedor autorizado, utilizar túneles cuando sea apropiado y asegurar que servicios administrativos no compartan la misma exposición que el sitio público.
Verificar, no asumir
Las reglas deben probarse desde una sesión autenticada y otra anónima. También se necesitan alertas, registros y revisiones periódicas. La seguridad es una capacidad operativa: pierde eficacia cuando nadie observa si los controles siguen funcionando.