Detectar y bloquear DDoS en cPanel, Plesk y DirectAdmin

¿Qué es un ataque DDoS y por qué debería preocuparte?

Un ataque DDoS (Distributed Denial of Service) es como si miles de personas intentaran entrar a tu tienda al mismo tiempo, bloqueando la puerta y evitando que los clientes reales puedan comprar. Técnicamente, consiste en saturar tu servidor con peticiones falsas hasta que se agotan sus recursos y deja de responder.

Para cualquier negocio online, esto significa pérdida de ingresos, reputación dañada y, en casos extremos, penalizaciones de Google por caídas prolongadas. La buena noticia es que puedes detectar y bloquear estos ataques incluso si usas paneles de control como cPanel, Plesk o DirectAdmin.

En esta guía completa aprenderás a identificar señales de un ataque DDoS, usar herramientas nativas de tu panel, configurar mod_security, y aprovechar servicios externos como Cloudflare DDoS para proteger tu servidor de forma efectiva.

Señales claras de que estás sufriendo un ataque DDoS

Antes de bloquear nada, necesitas saber qué buscar. Un ataque DDoS no siempre llega con un aviso, pero suele dejar huellas muy evidentes.

Síntomas más comunes

Tu web carga muy lenta o directamente no carga, incluso con pocos visitantes reales.
El consumo de CPU y RAM se dispara al 90-100% sin razón aparente.
El tráfico de red aumenta de forma brutal en horas donde normalmente hay poca actividad.
Errores 503 (Servicio no disponible) o 502 (Bad Gateway) aparecen de forma intermitente.
El servidor se reinicia solo o los servicios de correo y bases de datos fallan.
El uso de ancho de banda supera tu cuota en cuestión de horas.

Cómo confirmarlo desde tu panel

En cPanel, ve a Métricas > Estadísticas de ancho de banda y compara los últimos días. Si ves un pico anormal, hay sospechas.

En Plesk, accede a Herramientas y configuración > Monitoreo de tráfico para ver gráficos en tiempo real.

En DirectAdmin, revisa Administración del sistema > Monitor de procesos y observa si hay cientos de conexiones simultáneas desde una misma IP o rango.

[TIP] Si tienes acceso SSH, ejecuta el comando netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n para ver qué IPs tienen más conexiones abiertas. Las que aparecen con cientos de conexiones son sospechosas.

Primeros pasos para mitigar un ataque DDoS desde tu panel

Cuando confirmas que estás bajo ataque, cada minuto cuenta. Aquí tienes acciones inmediatas que puedes realizar desde cPanel, Plesk o DirectAdmin sin necesidad de conocimientos avanzados.

1. Activa el firewall de tu servidor

La mayoría de paneles incluyen un firewall básico que puedes activar con un clic.

cPanel: ConfigServer Security & Firewall (CSF) es la opción más común. Ve a Plugins > ConfigServer Security & Firewall y actívalo si no lo tienes.
Plesk: Ve a Herramientas y configuración > Firewall y activa la política de rechazo por defecto.
DirectAdmin: Usa el plugin Firewall CSF o el firewall integrado de DirectAdmin en Administración del sistema > Configuración del firewall.

2. Bloquea IPs sospechosas manualmente

Si has identificado IPs concretas con el comando anterior, puedes bloquearlas directamente:

En cPanel, ve a Seguridad > IP Blocker e introduce las IPs o rangos.
En Plesk, usa Herramientas y configuración > Administrador de IP y añade reglas de denegación.
En DirectAdmin, ve a Administración del sistema > IP Blocker y añade las direcciones.

[WARNING] Bloquear IPs manualmente solo funciona para ataques pequeños. En un DDoS masivo, las IPs cambian constantemente y este método se vuelve inútil. Úsalo solo como medida temporal mientras configuras soluciones más robustas.

3. Limita las conexiones simultáneas

Puedes configurar límites de conexiones por IP para evitar que un solo atacante monopolice los recursos.

En cPanel con CSF, edita el archivo /etc/csf/csf.conf y ajusta los valores de CONNECTION_LIMIT y PORTFLOOD.

En Plesk, puedes usar el módulo ModSecurity y reglas personalizadas para limitar peticiones.

En DirectAdmin, edita el archivo de configuración del firewall o usa el plugin BFD (Brute Force Detection).

Configuración avanzada de mod_security para bloquear DDoS

mod_security es un firewall de aplicaciones web (WAF) que filtra todo el tráfico HTTP antes de que llegue a tu sitio. Es una de las herramientas más efectivas para bloquear DDoS a nivel de aplicación, y está disponible en los tres paneles principales.

¿Qué hace exactamente mod_security?

Analiza cada petición HTTP y la compara con reglas predefinidas. Si detecta patrones maliciosos (como demasiadas peticiones en poco tiempo, user agents extraños o peticiones a URLs inexistentes), la bloquea automáticamente.

Instalación y activación en cPanel

Ve a WHM > Home > Security Center > Mod Security.
Haz clic en Install Mod Security si no está instalado.
Activa el OWASP ModSecurity Core Rule Set (CRS), que es un conjunto de reglas gratuito y muy completo.
Configura el modo de Detección primero para ver qué reglas se activan sin bloquear tráfico real.

Activación en Plesk

Ve a Herramientas y configuración > ModSecurity.
Selecciona la directiva OWASP CRS.
Elige el modo On para que las reglas se apliquen de inmediato.
Puedes activar reglas específicas para limitar peticiones por IP en Administrador de reglas.

Configuración en DirectAdmin

Ve a Administración del sistema > ModSecurity.
Instala el conjunto de reglas OWASP CRS.
Configura las directivas personalizadas para incluir límites de peticiones por IP.

Reglas personalizadas recomendadas

Añade estas reglas al archivo de configuración de mod_security para reforzar la protección contra DDoS:

# Limitar peticiones por IP a 100 por minuto
SecRule IP:REQUEST_COUNT "@gt 100" "phase:1,deny,msg:'DDoS attempt detected',id:10001"

# Bloquear peticiones con user agents vacíos o maliciosos
SecRule REQUEST_HEADERS:User-Agent "@rx ^$|python|curl|wget" "phase:1,deny,msg:'Suspicious user agent',id:10002"

# Proteger contra ataques de slowloris
SecRule RESPONSE_STATUS "@streq 503" "phase:5,deny,msg:'Server overloaded',id:10003"

[INFO] Las reglas personalizadas pueden dar falsos positivos. Activa primero el modo detección durante unas horas y revisa los logs de mod_security antes de pasarlas a modo bloqueo.

Cloudflare DDoS: tu mejor escudo externo

Si hablamos de protección seria contra ataques DDoS, Cloudflare DDoS es la solución más recomendada. Funciona como un escudo intermedio entre tus visitantes y tu servidor, absorbiendo el ataque antes de que llegue a tu infraestructura.

Ventajas de usar Cloudflare

Protección gratuita para ataques de hasta 100 Gbps en el plan básico.
Filtrado inteligente que distingue entre tráfico humano y bots maliciosos.
CDN global que mejora la velocidad de tu web.
Panel de control con estadísticas de ataques en tiempo real.

Cómo configurarlo paso a paso

Crea una cuenta gratuita en Cloudflare.
Añade tu dominio y espera a que escanee los registros DNS.
Cambia los nameservers de tu dominio a los que te proporciona Cloudflare (este proceso puede tardar entre 5 minutos y 24 horas).
Cuando los nameservers estén activos, ve a la sección Seguridad > DDoS y activa el modo Alto.
En Seguridad > WAF, activa las reglas gratuitas de OWASP.
Configura reglas personalizadas para bloquear países o IPs específicas.

Configuración de reglas personalizadas en Cloudflare

En el panel de Cloudflare, ve a Seguridad > WAF > Reglas personalizadas y añade estas reglas:

Bloquear tráfico de países sospechosos: Si tu web es local, bloquea tráfico de países donde no tienes clientes.
Challenge para peticiones con User Agent vacío: Activa un desafío CAPTCHA para peticiones sin user agent.
Rate limiting: Limita a 100 peticiones por minuto por IP en tu página de login.

[TIP] Activa la opción "I'm Under Attack" en Cloudflare durante un ataque activo. Mostrará un desafío a todos los visitantes, bloqueando automáticamente a los bots.

Medidas preventivas adicionales para tu servidor

La prevención es la mejor estrategia. Aquí tienes acciones que puedes implementar hoy para reducir el riesgo de sufrir un DDoS.

Optimización del servidor

Aumenta los límites de conexión en Apache o Nginx para que el servidor pueda manejar más peticiones simultáneas.
Activa la compresión gzip para reducir el ancho de banda consumido.
Utiliza caché de página (por ejemplo, LiteSpeed Cache o Varnish) para servir contenido estático sin consumir recursos del servidor.

Monitoreo continuo

Configura alertas en tu panel para recibir notificaciones por correo cuando el uso de CPU supere el 80% durante más de 5 minutos.
Revisa los logs de acceso diariamente para detectar patrones anómalos.
Usa herramientas gratuitas como Netdata o Monitorix para tener una visión completa del rendimiento de tu servidor.

Backup y plan de contingencia

Realiza backups diarios de tu sitio y base de datos.
Ten un plan de acción documentado: quién contactar, qué comandos ejecutar, cómo activar Cloudflare.
Considera contratar un servicio de mitigación DDoS especializado si tu negocio depende críticamente de la disponibilidad online.

Preguntas frecuentes (FAQ) sobre protección DDoS

¿Cuánto cuesta proteger mi servidor contra DDoS?

Puedes empezar gratis con Cloudflare y mod_security, que son herramientas muy efectivas para ataques de tamaño pequeño-mediano. Para ataques masivos, los planes de pago de Cloudflare (desde 20€/mes) ofrecen protección ilimitada y mitigación automática.

¿Un ataque DDoS puede dañar mis datos?

No directamente. Un DDoS solo satura los recursos del servidor, pero no accede a tus archivos ni modifica tu base de datos. Sin embargo, si el ataque aprovecha vulnerabilidades del sistema, podría haber riesgo. Mantén siempre tu software actualizado.

¿Cómo sé si mi servidor puede soportar un DDoS?

Los servidores normales no pueden soportar ataques superiores a 1-2 Gbps. La mitigación debe ocurrir siempre en la capa de red (Cloudflare o el datacenter). Si tu servidor está en un datacenter con protección DDoS incluida, consulta con ellos.

¿Puedo bloquear DDoS usando solo mod_security?

mod_security es efectivo para ataques a nivel de aplicación (HTTP), pero no para ataques volumétricos a nivel de red. Para protección completa, combina mod_security con Cloudflare y las medidas de firewall de tu panel.

¿Qué hago si mi servidor ya está caído por un DDoS?

Si no puedes acceder ni por SSH, contacta inmediatamente con tu proveedor de hosting. Ellos pueden activar mitigación a nivel de red. Cuando recuperes acceso, activa Cloudflare y configura las reglas de protección.

¿Cada cuánto debo revisar los logs del servidor?

Recomendamos revisar los logs de acceso y error al menos una vez por semana. Si tu web tiene mucho tráfico o has sufrido ataques antes, hazlo a diario.

Conclusión y resumen de acciones

Proteger tu servidor contra ataques DDoS es un proceso continuo, no una acción única. La estrategia más efectiva combina varias capas de defensa:

Configura mod_security con las reglas OWASP y personalizadas.
Activa Cloudflare DDoS como escudo externo.
Mantén el firewall de tu panel activo y actualizado.
Monitorea tu servidor regularmente para detectar señales tempranas.
Ten un plan de respuesta documentado para actuar rápido.

Recuerda que los paneles como cPanel, Plesk y DirectAdmin ofrecen herramientas nativas útiles, pero la protección completa requiere una combinación de medidas. No esperes a ser víctima de un ataque para implementarlas.

[INFO] Si usas Syspanel (anteriormente conocido como HestiaCP), recuerda que su puerto de acceso es el 2106. Este panel también permite configurar mod_security y usar Cloudflare, aunque sus herramientas de firewall son más limitadas que las de cPanel.

La seguridad de tu servidor es una inversión, no un gasto. Cada medida que implementes hoy puede ahorrarte horas de caída y pérdidas económicas en el futuro. Empieza con las soluciones gratuitas y ve escalando según las necesidades de tu negocio.