Seguridad RexOS Shield
Los ataques se detienen en la puerta, mucho antes de llegar al servidor.
Cada petición a este sitio pasa por 12 capas de protección, desde el borde de la red hasta el código que la responde. Los jugadores reales y los buscadores pasan sin notarlo.
- Vigilado las 24 horas
- Cubre el OWASP Top 10
- Solo HTTPS, con HSTS
- Inicio de sesión en dos pasos
- Atacantes reportados con pruebas
Lo que Shield detuvo esta semana
Contado en este sitio por el propio Shield. Los buscadores verificados y los visitantes reales no se incluyen.
- 7,011dom
- 8,291lun
- 7,842mar
- 8,359mié
- 10,260jue
- 12,986vie
- 1,195Hoy
Hoy, por tipo
- Scrapers SEO
- 982
- Ataques detenidos por el firewall
- 181
- Bots maliciosos y navegadores falsos
- 25
- Peticiones falsificadas en el perímetro
- 5
- Atacantes reincidentes baneados
- 1
- Verificaciones humanas fallidas
- 1
2,991 visitas verificadas de buscadores y rastreadores de IA permitidas hoy
Reportado este mes, por categoría
- Port Scan110
- Web App Attack110
- Exploited Host54
- Bad Web Bot37
Cómo se revisa una petición
Cada visita recorre este camino en unos milisegundos. Una petición que falla un paso no avanza más.
- Borde
Las peticiones falsas o rotas se descartan.
- Reputación
Se rechazan las redes maliciosas conocidas.
- Comprobación del navegador
El navegador debe coincidir con su dispositivo y su red.
- Firewall
Cabeceras, formularios y cuerpos de API se desempaquetan e inspeccionan.
- Límites
Los floods y los intentos de adivinar contraseñas se frenan.
- Aplicación
La página se construye solo con consultas seguras.
- Control de fugas
La respuesta se revisa antes de salir.
Superó los siete: la página se sirve. Los buscadores y rastreadores de IA se verifican en el paso 3 y nunca se ralentizan.
Qué detiene
Los ataques que vemos con más frecuencia y qué pasa con cada uno.
| Amenaza | Cómo se ve | Qué hace Shield |
|---|---|---|
| Inyección SQL | Comandos de base de datos ocultos en un formulario, enlace o llamada a la API. | Desempaquetado, reconocido y bloqueado antes de ejecutar cualquier consulta. |
| Cross-site scripting (XSS) | Código de script colado en una reseña, un perfil o un enlace. | Bloqueado al entrar, y cada página escapa lo que muestra. |
| Ejecución remota de código | Comandos de shell o código enviados para que el servidor los ejecute. | Se reconoce en cada entrada y se bloquea en el firewall. |
| Búsqueda de archivos secretos | Peticiones de archivos .env, copias de seguridad, wp-config y herramientas de administración. | Bloqueado al instante. Los escáneres reincidentes se banean y se reportan. |
| Adivinación de contraseñas | Miles de inicios de sesión desde direcciones rotativas. | Se limita y luego se bloquea. El inicio de sesión en dos pasos frena las contraseñas robadas. |
| Scrapers y bots falsos | Un bot que se hace pasar por Googlebot o por un navegador normal. | Se comprueba su red y su dispositivo. Los falsos se detienen. |
| Abuso de Tor y proxies | Ataques ocultos tras Tor, VPN y servidores alquilados. | Primero, una verificación humana. La mayoría de herramientas automáticas se rinden ahí. |
| Inundaciones de aplicación | Una ráfaga de peticiones pesadas para ralentizar el sitio. | Límites de peticiones por dirección y luego bloqueo automático. |
| Spam y fraude | Reseñas falsas, spam de tickets y abuso de pedidos o recompensas. | Se revisa al enviar. Los pedidos fraudulentos se marcan y se reportan. |
Los ataques ocultos se desempaquetan primero
Los atacantes disfrazan su código para que los filtros simples no lo detecten. Shield decodifica cada capa antes de decidir. Estas tres son pruebas reales de nuestra última revisión.
%2527%20UNION%2F**%2FSELECT%20password%20FROM%20usersse lee como' union select password from usersBloqueado: Inyección SQL&lt;svg onload=alert(1)&gt;se lee como<svg onload=alert(1)>Bloqueado: Cross-site scripting (XSS)／ｅｔｃ／ｐａｓｓｗｄse lee como/etc/passwdBloqueado: Acceso a archivos del sistema
Cada capa, una tarea
Cada capa cubre una vía de entrada distinta. Juntas protegen el sitio, el launcher y todas las cuentas.
Filtrado en el borde
Las peticiones maliciosas y falsificadas se rechazan en el borde, antes de que se ejecute la aplicación.
Inteligencia de amenazas
El tráfico de redes maliciosas conocidas se bloquea con listas de amenazas actualizadas continuamente.
Gestión de bots
La verificación multiseñal en escritorio y móvil comprueba que cada navegador sea coherente con su dispositivo y su red. Los rastreadores de buscadores e IA se verifican y los impostores se detienen.
Control de proxies y anonimato
Los visitantes que llegan por Tor, VPN o redes de hosting, o los navegadores que delatan un proxy alquilado, deben superar una verificación humana antes de ver el sitio.
Firewall de aplicaciones web
Cada petición, incluidas las cabeceras y los cuerpos de la API, se inspecciona en busca de inyecciones, cross-site scripting y otros ataques del OWASP Top 10. Las cargas codificadas y ofuscadas se desempaquetan primero, así que los trucos de evasión fallan.
Detección de escaneos y anomalías
Las búsquedas de herramientas de administración, archivos secretos, copias de seguridad y exploits conocidos se bloquean al instante. Los señuelos delatan a los rastreadores que ignoran las reglas.
Protección de cuentas
Los intentos de fuerza bruta y de relleno de credenciales se frenan y bloquean. El inicio de sesión en dos pasos protege las cuentas en el sitio y en el launcher, y es obligatorio para el equipo.
Prevención de fugas de datos
Las respuestas salientes se inspeccionan para que los secretos y los detalles internos nunca salgan del servidor.
Refuerzo del servidor
Los archivos sensibles no son accesibles desde la web, y el contenido subido nunca puede ejecutarse en el servidor.
Protección contra spam y fraude
Las reseñas, tickets y fichas se filtran contra el spam y los envíos automáticos. Los pedidos y las recompensas se comprueban para que no se puedan aprovechar.
Protección contra inundaciones y monitorización
Las inundaciones en la capa de aplicación activan un bloqueo automático. Cada evento de seguridad se registra en detalle y se entrega al equipo en tiempo real.
Denuncia de abusos
Los atacantes, spammers y pedidos fraudulentos confirmados se denuncian a bases de datos de abuso globales, cada uno con su categoría y pruebas.
Bots buenos dentro, bots falsos fuera
Los buscadores y asistentes de IA solo pasan después de confirmar que vienen de su dueño real. Cualquiera puede copiar el nombre de un bot, nadie puede copiar su red.
- Googlebot
- Googlebot smartphone
- Google-InspectionTool
- Googlebot-Image
- Bingbot
- Applebot
- DuckDuckBot
- GPTBot
- OAI-SearchBot
- ChatGPT-User
- ClaudeBot
- Claude-User
- PerplexityBot
- MistralAI-User
Un "Googlebot" que llega desde un servidor alquilado se bloquea.
Probado contra ataques reales
Estos son los resultados de nuestra última revisión completa.
Revisado
- 1,260
- cargas de ataque enviadas a 7 puntos de entrada distintos. Todas fueron bloqueadas.
- 0
- bloqueos erróneos en 631 reseñas, comentarios y mensajes normales.
- 14
- buscadores y rastreadores de IA probados. Todos pasaron, los falsos no.
Así es un reporte de abuso
Cuando se confirma un atacante, las pruebas se envían a AbuseIPDB y Spamhaus para que otros sitios también puedan bloquearlo. Este ejemplo usa una dirección de documentación.
IP 203.0.113.47 · Web App Attack, SQL Injection, Hacking Blocked 14 requests in 3 minutes by RexOS Shield (web application firewall) GET /search?q=1%27%20UNION%20SELECT%20password%20FROM%20users-- GET /.env · GET /wp-config.php.bak · GET /admin/phpinfo.php User agent: python-requests/2.31 · Network: hosting provider
Cómo protegemos las cuentas y los datos
La protección no termina en el firewall. Estas reglas están integradas en el propio sitio.
Contraseñas
Se guardan solo como hashes unidireccionales robustos. Nadie puede leerlas, ni siquiera nosotros.
Inicio de sesión en dos pasos
En el sitio y en el launcher, y obligatorio para el staff.
Sesiones
Las cookies son HttpOnly, seguras y same-site, así que ni los scripts ni otros sitios pueden usarlas.
Formularios
Cada formulario lleva un token de un solo uso, así que otros sitios no pueden enviarlo por ti.
Base de datos
Cada consulta es preparada, así que una entrada nunca puede convertirse en un comando.
Reglas del navegador
HSTS, Content Security Policy y reglas de frame y referrer en cada página.
Subidas de archivos
Las imágenes y archivos nunca pueden ejecutarse como código en el servidor.
Launcher
Código abierto y compilado públicamente con GitHub Actions.
Cómo lo configuramos para ti
Cuéntanos qué tienes
Tu sitio, servidor, tienda o panel, y los ataques que has visto.
Estudiamos tu tráfico
Aprendemos qué es normal para ti, así nunca se bloquea a jugadores reales.
Shield se activa
La protección se activa paso a paso, con registros desde el primer minuto.
Seguimos vigilando
Alertas, informes mensuales y ayuda cuando empieza un ataque.
¿Quieres la misma protección para tu servidor o sitio web?
Instalamos RexOS Shield para redes de Minecraft, tiendas y sitios de comunidad. Cuéntanos qué gestionas y te responderemos con un plan.
- Firewall y protección contra bots ajustados a tu tráfico
- Los buscadores y los jugadores reales nunca se bloquean
- Atacantes reportados con pruebas
- Registros detallados y alertas en tiempo real
- Ayuda mientras ocurre un ataque
Preguntas
¿La protección ralentiza el sitio?
No. La mayoría de las comprobaciones se hacen antes de construir la página, así que una visita normal no es más lenta.
¿Puede bloquear a Google o a jugadores reales?
Los buscadores y rastreadores de IA verificados siempre pasan, y los visitantes normales pasan sin notarlo.
¿Qué pasa con los atacantes?
Se bloquean y se registran, y una vez confirmados se reportan a AbuseIPDB y Spamhaus con pruebas.
¿Puedo tener esta protección para mi propio servidor o sitio web?
Sí. Instalamos RexOS Shield para redes de Minecraft, tiendas y sitios de comunidad. Contáctanos y cuéntanos qué gestionas.
¿Detiene ataques DDoS?
Detiene las inundaciones dirigidas al propio sitio web, como ráfagas de peticiones e inundaciones de inicios de sesión. Las inundaciones de red muy grandes debe absorberlas la red del hosting, y te ayudamos a configurarlo.
¿Qué diferencia hay con un plugin de firewall normal?
Shield se ejecuta antes que el sitio, desempaqueta ataques disfrazados, verifica los bots con sus dueños reales y comparte los atacantes confirmados con bases de datos de abuso.
¿Cómo reporto un problema de seguridad?
Abre un ticket de soporte y empieza el asunto con Security. Respondemos rápido y damos crédito a los reportes responsables.
¿Encontraste un problema de seguridad?
Agradecemos los reportes de investigadores y jugadores, y damos crédito a quienes informan de forma responsable.
Por favor, haz esto
- Abre un ticket de soporte y empieza el asunto con Security
- Incluye los pasos para reproducirlo
- Danos tiempo para arreglarlo antes de hacerlo público
Por favor, no hagas esto
- Acceder a datos de otros o modificarlos
- Lanzar inundaciones o pruebas de carga
- Usar escáneres automáticos a alta velocidad
Si lo haces, la actividad queda registrada y se rastrea hasta la red de la que vino. Podemos reportarla con las pruebas a ese proveedor y a bases de datos de abuso; el proveedor puede identificar al titular de la cuenta detrás de la dirección. Los casos graves pueden denunciarse directamente ante las autoridades competentes, y tú eres responsable de las consecuencias legales.
En España estos ataques son delito. El acceso ilícito a un sistema informático (artículo 197 bis del Código Penal) se castiga con prisión de 6 meses a 2 años, y la interrupción u obstaculización de un sistema informático (artículo 264 bis) con prisión de 6 meses a 3 años.
