Un ataque DDoS (Distributed Denial of Service) puede dejar sin conexión el sitio de una PYME en cuestión de minutos, sin importar su tamaño ni su giro. En el caso que documentamos aquí, una empresa distribuidora de calzado en León, Guanajuato perdió más de $80,000 MXN en ventas en 72 horas porque su tienda en línea estuvo caída durante El Buen Fin.
El contexto: comercio electrónico en León
León es la capital mundial del calzado de cuero. Con más de 1,000 empresas en la cadena de valor del sector, la ciudad tiene una presencia de e-commerce creciente: talleres medianos que antes vendían solo a mayoristas ahora llegan directamente al consumidor final a través de tiendas en línea.
La empresa afectada — llamémosla "Distribuidora León Calzado" para este caso — había lanzado su tienda WooCommerce 8 meses antes del incidente. Tenía catálogo de 340 modelos, integraciones con MercadoPago y un promedio de 1,200 visitas diarias. Su plan de hosting era compartido estándar de un proveedor nacional, sin protección DDoS activa.
Cómo se desarrolló el ataque
El ataque comenzó el martes previo a El Buen Fin a las 2:14 AM. Los primeros síntomas que notó el equipo fueron:
- El sitio comenzó a cargar extremadamente lento hacia las 6 AM.
- A las 8:30 AM el hosting emitió una alerta de uso excesivo de recursos y suspendió la cuenta temporalmente.
- Al reactivarla, el ataque reinició y volvió a saturar el servidor en 40 minutos.
- El proveedor de hosting, sin capacidades de mitigación DDoS, suspendió la cuenta de forma permanente para proteger a otros clientes en el servidor compartido.
El vector fue un ataque volumétrico HTTP flood: cientos de miles de solicitudes falsas por segundo dirigidas al carrito de compras, que es la ruta más costosa en recursos de un WooCommerce. El tráfico provenía de una botnet distribuida en múltiples países.
Consecuencias directas
- 72 horas de caída total en los tres días de mayor demanda del año.
- Pérdida estimada de $80,000–$95,000 MXN en ventas directas.
- Caída en posicionamiento SEO: Google detectó el sitio caído y redujo su visibilidad en resultados de búsqueda.
- Reseñas negativas en Facebook y Google de clientes que no pudieron completar sus pedidos.
- Migración de emergencia a un nuevo proveedor: $3,200 MXN en costos técnicos adicionales.
Análisis post-mortem: qué falló
Revisar el incidente con el equipo técnico que realizó la migración de emergencia reveló cuatro puntos de falla:
1. Hosting compartido sin protección DDoS
En el hosting compartido, todos los sitios del servidor comparten la misma IP y los mismos recursos. Un ataque volumétrico contra un solo sitio satura el servidor completo, lo que obliga al proveedor a suspender la cuenta atacada para proteger a los demás. No es que el proveedor haya fallado — es una limitación estructural del modelo compartido.
2. Sin CDN ni capa de absorción de tráfico
La tienda tenía su IP de servidor expuesta públicamente en el DNS. Sin una CDN como Cloudflare en modo proxy, el tráfico del ataque llegaba directamente al servidor de origen sin ningún filtro intermedio.
3. Sin plan de continuidad
No existía un procedimiento documentado para cuando el sitio cayera. El equipo tardó 6 horas en determinar que era un ataque y no un problema de configuración. Esas horas son ventas perdidas en El Buen Fin.
4. Sin alertas de tráfico anormal
Herramientas gratuitas como UptimeRobot habrían detectado la caída en minutos. Sin monitoreo automático, el equipo se enteró por los mensajes de clientes en redes sociales.
Las soluciones que se implementaron
La migración de emergencia y la arquitectura resultante costó aproximadamente $4,800 MXN en total — menos del 6% de las ventas perdidas. Esto es lo que se hizo:
| Solución | Herramienta | Costo mensual aprox. |
|---|---|---|
| CDN + protección DDoS básica | Cloudflare (plan gratuito) | $0 |
| Hosting con protección DDoS activa | VPS con proveedor especializado | $320 – $600 MXN |
| Monitoreo de disponibilidad | UptimeRobot (plan gratuito) | $0 |
| WAF (firewall de aplicaciones web) | Cloudflare WAF (incluido en Free) | $0 |
| Modo "Under Attack" de Cloudflare | Activación manual o automática | $0 (incluido) |
Paso a paso de la arquitectura resultante
- DNS apuntando a Cloudflare en modo proxy — la IP real del servidor queda oculta; el tráfico del ataque lo absorbe Cloudflare antes de llegar al origen.
- Reglas de firewall en Cloudflare — bloqueo de países sin historial de ventas, rate limiting en rutas del carrito (
/cart,/checkout). - VPS con control total del servidor — en hosting compartido no puedes instalar reglas de firewall propias; en VPS sí.
- Failover DNS — una página de mantenimiento estática alojada en Cloudflare Pages se activa automáticamente si el origen cae.
- Alertas en UptimeRobot — notificación por WhatsApp y correo si el sitio no responde en 1 minuto.
Cloudflare, incluso en su plan gratuito, puede absorber ataques volumétricos de cientos de Gbps. Para la mayoría de las PYMEs en León o cualquier ciudad de México, el plan gratuito es más que suficiente para resistir los ataques dirigidos a sitios de comercio local.
Si tu PYME necesita una evaluación de la arquitectura actual y un plan de protección, los expertos de elenlace.com pueden ayudarte a configurar estas capas sin necesidad de conocimientos técnicos avanzados.
Para más contexto sobre cómo SSL y las capas de seguridad se complementan en este tipo de arquitecturas, consulta la sección de seguridad SSL y protección web para empresas mexicanas.
Conclusiones clave
- Los ataques DDoS no son exclusivos de grandes empresas — una PYME con tráfico moderado puede ser blanco si tiene algo de valor o si es víctima de extorsión o competencia desleal.
- El hosting compartido estándar no tiene capacidad de mitigación DDoS; el proveedor suspenderá la cuenta para proteger a otros clientes.
- Cloudflare en modo proxy es la primera línea de defensa accesible para cualquier empresa, incluso en su plan gratuito.
- El monitoreo de disponibilidad (UptimeRobot) es gratuito y puede recortar horas de tiempo de respuesta ante una caída.
- Un plan de continuidad documentado puede marcar la diferencia entre 6 horas de caída y 72 horas de caída.
- El costo de la protección DDoS adecuada ($0 a $600 MXN/mes) es mínimo comparado con las pérdidas de un solo incidente.
No esperes a perder $80,000 MXN en ventas para tomar acción. Contáctanos en elenlace.com y revisamos tu infraestructura actual para implementar protección DDoS antes de tu próxima temporada alta.
Preguntas frecuentes
¿Por qué atacarían a una PYME pequeña en León?
Los motivos más comunes son: extorsión (piden pago para detener el ataque), competencia desleal, o simplemente que el sitio fue incluido de forma aleatoria en una campaña de ataque masivo. Muchas botnets atacan rangos de IPs completos sin importar el tamaño del objetivo.
¿Cloudflare gratuito es suficiente para una tienda WooCommerce mediana?
Para la mayoría de los casos sí. El plan gratuito de Cloudflare incluye protección DDoS L3/L4 ilimitada y WAF básico. Para ataques más sofisticados de capa 7 (HTTP), el plan Pro (~$20 USD/mes) ofrece reglas WAF más detalladas. Una tienda WooCommerce con menos de 5,000 visitas diarias generalmente está bien protegida con el plan gratuito.
¿Cuánto tiempo tarda en activarse la protección de Cloudflare una vez que apunto mis DNS?
La propagación del DNS puede tomar entre 5 minutos y 48 horas, aunque en la práctica suele completarse en menos de 2 horas. Cloudflare ofrece "nameservers" propios que permiten una propagación más rápida. El modo "Under Attack" puede activarse manualmente en cualquier momento desde el panel, incluso mientras el ataque está en curso.
¿Un ataque DDoS puede robar datos de mis clientes?
El objetivo de un DDoS es la disponibilidad — tumbar el sitio — no el robo de datos. Sin embargo, algunos atacantes usan el DDoS como distracción mientras realizan otro ataque simultáneo. Por eso la protección DDoS debe ir acompañada de un WAF y buenas prácticas de seguridad general (SSL, actualizaciones de plugins, contraseñas robustas).
Para saber más
Otros proveedores y guías que vale la pena comparar:
