¿Qué CDN protege de verdad tu web contra ataques DDoS?
Siete CDN comparados con una sola pregunta: ¿en qué plan aguanta tu web un ataque y quién paga el tráfico?
La respuesta corta: Cloudflare para casi todos, porque la protección DDoS es ilimitada desde el plan gratuito. Bunny.net si buscas un proveedor europeo barato, OVHcloud CDN si tu web ya está alojada en OVHcloud, Amazon CloudFront si trabajas con AWS y quieres una factura fija. Un CDN (red de servidores que sirve tu web cerca de cada visitante) absorbe las avalanchas de tráfico antes de que lleguen a tu servidor. Pero la protección real se juega en tres puntos: el anti-DDoS de red, el cortafuegos de aplicaciones (WAF) y la limitación de peticiones. Hemos comparado los siete en esos tres puntos, plan a plan, con precios.
Tu perfil en una línea. Web corporativa o blog: Cloudflare Free. Tienda online: Cloudflare Pro o Bunny Shield Advanced. WordPress atacado en el acceso: Sucuri o una regla de limitación en Cloudflare. Mucho tráfico en AWS: CloudFront Business.
La clasificación es editorial: una plaza patrocinada siempre se indica en su ficha, y ningún enlace de afiliado cambia una nota.
¿Quién te protege de verdad y en qué plan?
Hay dos familias de ataques DDoS (denegación de servicio distribuida). Los de red (capas 3 y 4) lanzan paquetes en bruto, y casi todos los CDN los frenan gratis. Los de aplicación (capa 7) envían peticiones web reales contra páginas pesadas, como la búsqueda o el acceso: ahí hace falta un WAF y reglas de limitación, y ahí se separan los planes.
Buena noticia para una web pequeña: en el informe de Cloudflare del primer semestre de 2026, el 96,62 % de los ataques de red se quedó por debajo de 500 Mbit/s. La nota sobre 5 es la del CDN entero, la misma que en nuestra clasificación de los mejores CDN; el puesto sigue la calidad de la protección.
| Anti-DDoS, WAF y limitación de peticiones | Plan y precio de entrada de la protección | |
|---|---|---|
| CloudflareDDoS ilimitado desde Free | Protección DDoS ilimitada en todos los planes. WAF y reglas gestionadas gratuitas desde Free. Limitación: 1 regla en Free, 2 en Pro, 5 en Business. | Free 0 $. Pro 20 $/mes en anual (25 $ mensual). Business 200 $/mes en anual (250 $ mensual), con compromiso de disponibilidad del 100 %. |
| Bunny.netCortafuegos Bunny Shield | Shield Basic gratis con reglas WAF básicas y 2 reglas de limitación. Reglas DDoS gestionadas por expertos en los planes de pago. | Basic gratis. Advanced 9,5 $/mes (10 reglas de limitación). Business 99 $/mes (25). Peticiones por encima de la cuota cobradas por millón. |
| OVHcloud CDNOpción del hosting web | Anti-DDoS incluido por defecto en los tres planes. WAF con CDN Security. Solo para hostings web de OVHcloud. | Basic 2,19 €/mes sin IVA (2,65 € con IVA). Security 5,49 € (6,64 €). Advanced 10,99 € (13,30 €). |
| Amazon CloudFrontTarifa plana sin excesos | DDoS permanente en todos los planes, avanzado en Business y Premium. De 5 a 75 reglas WAF. | Free 0 $, Pro 15 $, Business 200 $, Premium 1.000 $ al mes. Sin excesos cobrados, ni durante un ataque. |
| GcoreWAAP aparte | CDN de pago por uso. El cortafuegos WAAP es un producto aparte, con un plan gratuito para empezar. | CDN: 1 TB gratis al mes, luego 0,01 €/GB. WAAP por millón de peticiones, de 2 € a 1 € sin IVA según el plan. |
| SucuriCortafuegos y CDN | Cortafuegos web con CDN que bloquea ataques DDoS en capas 3, 4 y 7. Pensado para WordPress. | Basic 9,99 $/mes, Pro 19,98 $/mes, un sitio. |
| FastlyDDoS cobrado por petición | Protección DDoS opcional, cobrada por volumen de peticiones. Next-Gen WAF bajo presupuesto. | DDoS: 500.000 peticiones gratis al mes, luego 1 $ cada 10.000. CDN: 100 GB gratis, luego 0,12 $/GB. |
Precios sin impuestos salvo indicación, leídos en las webs oficiales en 2026. Cloudflare, Bunny.net, AWS, Sucuri y Fastly publican sus precios en dólares.
Cloudflare
Cloudflare no mide la mitigación DDoS: es ilimitada en Free, Pro, Business y Enterprise, sin recargo el día del ataque. El WAF y un conjunto de reglas gestionadas vienen incluidos desde el plan gratuito. Para la mayoría de las webs pequeñas, esa es la respuesta completa por 0 $. Ojo: Cloudflare solo publica sus precios en dólares.
Donde Free se queda corto es en la limitación de peticiones. Tienes una sola regla, que cuenta en 10 segundos y bloquea 10 segundos. Pro da 2 y Business 5. Usa tu única regla en la página de acceso o en el buscador. En WordPress, añade una regla que bloquee /xmlrpc.php: es un blanco clásico y bloquearlo no cuesta nada.
Dos trampas que salen en los foros. El modo «I'm Under Attack» pone una prueba de unos segundos a cada visitante y rompe los feeds RSS y las llamadas a tu API: actívalo durante el ataque, no siempre. Y sin chat ni compromiso de disponibilidad antes de Business, en el peor momento estás solo.
- DDoS ilimitado en todos los planes
- WAF y reglas gestionadas desde Free
- 1, 2 o 5 reglas de limitación según el plan
- Disponibilidad del 100 % desde Business
- ✓0 $ cubre a la mayoría de webs
- ✓Se activa cambiando los servidores DNS
- ✓Modo de ataque en un clic
- ✗Una sola regla de limitación en Free
- ✗Soporte por foro en Free, sin chat antes de Business
Nuestra primera opción para casi todos. Pasa a Pro cuando tu facturación dependa de la web. ¿Quieres dejarlo? Mira las alternativas a Cloudflare.
Bunny.net
Bunny.net cobra el CDN por volumen, desde 0,01 $ por GB en Europa y Norteamérica, con un mínimo de 1 $ al mes. La protección llega con Bunny Shield, una capa que activas en tu zona. Basic es gratis: reglas WAF básicas, 2 reglas de limitación y detección sencilla de bots, con una página de bloqueo con la marca de Bunny.
El escalón real es Advanced, a 9,5 $ al mes: 10 reglas de limitación, 10 reglas propias y reglas DDoS gestionadas por el equipo de Bunny. Business, a 99 $, sube a 25 reglas. Las peticiones inspeccionadas tienen cuota por plan y luego se cobran por millón (0,70 $ en Basic, 0,65 $ en Advanced): vigila ese contador durante un ataque.
Las opiniones de usuarios van en las dos direcciones. Uno, con la protección al máximo, cuenta que ninguna petición del ataque llegó a su servidor. Un alojador de blogs, en cambio, se pasó a Cloudflare tras ataques desde Tor, porque el filtrado útil pedía el plan de pago.
- Shield Basic gratis con WAF básico
- Reglas DDoS gestionadas desde 9,5 $
- CDN por GB, sin suscripción
- Soporte muy bien valorado
- ✓El CDN completo más barato
- ✓Proveedor europeo
- ✓Precios claros, sin permanencia
- ✗El filtrado de aplicación útil pide Advanced
- ✗Peticiones por encima de la cuota se cobran
Buena opción si quieres pagar poco y quedarte en Europa. Sube a Advanced en cuanto un formulario atraiga bots.
OVHcloud CDN
En España, OVHcloud vende el CDN como opción de su hosting web: Basic a 2,19 € al mes sin IVA (2,65 € con IVA), Security a 5,49 € (6,64 €) y Advanced a 10,99 € (13,30 €). Según su propia web, el anti-DDoS está incluido por defecto en los tres planes. El WAF llega con CDN Security.
El límite aparece en los foros de OVHcloud. Una web WordPress en hosting compartido superaba sus recursos por una ráfaga de peticiones a /xmlrpc.php, /wp-cron.php y /wp-login.php. La protección de red no la ve, porque esas peticiones parecen visitas. Eso lo resuelve el WAF de Security, o un bloqueo de esas rutas en tu .htaccess.
Es práctico, barato y en euros, pero solo funciona con el hosting web de OVHcloud. Para un servidor dedicado, mira los servidores dedicados con anti-DDoS.
- Anti-DDoS incluido en los tres planes
- WAF con CDN Security
- Precios en euros
- ✓Muy barato
- ✓Nada que configurar en el DNS
- ✓Proveedor europeo
- ✗Solo para hostings web de OVHcloud
- ✗El WAF exige CDN Security
Buena opción si ya estás en OVHcloud: elige Security si tienes un WordPress.
Amazon CloudFront
El riesgo de AWS no es solo que tu web caiga: es la factura. AWS Shield Standard, gratuito y activo por defecto, frena los ataques de red, pero protege la disponibilidad, no tu presupuesto. Con pago por uso, cada petición de un ataque de aplicación se cobra. Un desarrollador cuenta una factura de 4.500 $ tras un bucle de peticiones.
Los planes de tarifa plana lo resuelven: Free (1 millón de peticiones, 100 GB, 5 reglas WAF), Pro a 15 $ (10 millones, 50 TB, 25 reglas), Business a 200 $ (125 millones, 50 reglas), Premium a 1.000 $ (500 millones). Sin excesos cobrados, ni durante un ataque. La protección DDoS avanzada empieza en Business.
Por encima, Shield Advanced cuesta 3.000 $ al mes por cuenta pagadora, con un año de permanencia y la transferencia aparte. Es una compra de gran empresa, no de pyme.
- Sin excesos en los planes de tarifa plana
- DDoS permanente, avanzado desde Business
- De 5 a 75 reglas WAF
- ✓Coste fijo y conocido
- ✓Red de AWS muy amplia
- ✓Encaja con tu cuenta de AWS
- ✗Consola más técnica que Cloudflare
- ✗Shield Advanced a 3.000 $ al mes con un año de permanencia
La opción correcta si ya estás en AWS: elige tarifa plana, nunca pago por uso. ¿Piensas en irte? Mira las alternativas a AWS.
Gcore
Gcore regala el primer TB de CDN cada mes y luego cobra 0,01 € por GB hasta 500 TB, sin suscripción. Es el mejor precio por volumen de la comparativa. La seguridad se vende aparte: el CDN de pago por uso no dice incluir WAF ni filtrado de capa 7.
El cortafuegos se llama NextGen WAF (WAAP), con planes Free, Start, Pro y Enterprise cobrados por millón de peticiones, de 2 € a 1 € sin IVA, más 10 € por dominio en Pro, que tiene 30 días de prueba. Para proteger una red entera, el anti-DDoS de capas 3 y 4 cuesta 3,90 € por Mbit/s de tráfico limpio, y el tamaño del ataque no cambia la factura.
Nuestra reserva: la tabla de precios del WAAP es difícil de leer. Pide una estimación con tu tráfico real antes de firmar.
- 1 TB de CDN gratis al mes
- Precios en euros
- WAAP con plan gratuito
- ✓El más barato por volumen
- ✓Sin suscripción de CDN
- ✓El tamaño del ataque no sube el DDoS de red
- ✗Seguridad vendida aparte
- ✗Tabla de precios del WAAP poco clara
Bueno para mucho tráfico en euros. Para una web pequeña, Cloudflare Free hace más gratis.
Sucuri
Sucuri es ante todo un cortafuegos web con un CDN incluido. Anuncia el bloqueo de ataques DDoS en capas 3, 4 y 7 mediante una red Anycast. Cuesta 9,99 $ al mes en Basic y 19,98 $ en Pro, por sitio.
Su ventaja son las reglas pensadas para WordPress: el acceso, xmlrpc.php y los plugins vulnerables quedan cubiertos sin escribir nada.
Las pegas salen en las opiniones: falsos positivos con «Access Denied» en tu propio panel y un soporte que varios usuarios ven lento. Añade tu IP a la lista blanca desde el primer día.
- DDoS en capas 3, 4 y 7
- Reglas para WordPress
- Cortafuegos y CDN en un plan
- ✓Nada que ajustar en WordPress
- ✓Precio fijo por sitio
- ✓Puesta en marcha rápida
- ✗Falsos positivos en el panel
- ✗Soporte lento según varios usuarios
Buena opción para un WordPress que quiere protección sin configurar. Compáralo con Cloudflare Pro antes de pagar.
Fastly
Fastly tiene una de las redes más rápidas, pero su protección es la menos previsible. La opción DDoS Protection incluye 500.000 peticiones gratis al mes y luego cuesta 1 $ cada 10.000. Cuanto mayor el ataque, más puede subir esa línea, al revés que en Cloudflare o en los planes planos de CloudFront.
El Next-Gen WAF no tiene precio público. El CDN incluye 100 GB y 1 millón de peticiones gratis al mes por región, y luego 0,12 $ por GB en Europa y Norteamérica.
Nuestra opinión: tiene sentido con un contrato negociado. Para una pyme, el modelo por petición pone el riesgo del ataque en tu factura.
- Red muy rápida
- Configuración fina por código
- DDoS cobrado por peticiones
- ✓Rendimiento de primer nivel
- ✓Muy configurable
- ✓Tramos gratuitos para empezar
- ✗El coste del DDoS crece con el ataque
- ✗WAF sin precio público
Para equipos técnicos con contrato. El resto encontrará algo mejor más arriba.
Los ajustes que de verdad mantienen tu web en pie
Un CDN mal conectado no protege nada. Estas comprobaciones salen de las experiencias de usuarios que hemos revisado. Para elegir un CDN por velocidad y precio por TB, mira el mejor CDN, y para una tienda, los CDN para tiendas online.
Cierra tu servidor de origen
Es el fallo número uno. Si tu servidor responde a todo Internet, el atacante lo encuentra (historial DNS, certificados) y rodea el CDN. Cambia de IP y acepta solo los rangos publicados por tu CDN.
Distingue red y aplicación
El anti-DDoS de red suele ser gratis. El de aplicación casi nunca. Si tu hosting dice «anti-DDoS incluido», pregunta si cubre también las peticiones web.
Coloca bien tu regla de limitación
Una regla de limitación cuenta las peticiones de una misma dirección y bloquea a partir de un umbral. Con una sola regla, apunta al acceso o al buscador. Empieza con un umbral amplio y ajústalo con los registros.
Calcula el coste del ataque
Con pago por uso, pagas el ataque. CloudFront por uso, Fastly DDoS y las peticiones de Bunny por encima de la cuota cuentan el tráfico de ataque. Cloudflare y los planes planos de CloudFront no.
¿Y un proveedor español?
Transparent Edge, cuya tecnología se opera y se aloja en Europa, ofrece WAF, anti-DDoS y gestión de bots, con certificación ENS de categoría alta e ISO 27001. No publica precios: pide presupuesto si trabajas con el sector público.
Revisa qué ve tu CDN
Para filtrar en capa 7, el CDN descifra tu tráfico y el WAF ve todo el contenido de las peticiones. Si tus formularios llevan datos sensibles, limita el CDN a los archivos estáticos o elige un proveedor europeo.
- El cortafuegos del servidor solo acepta las IP del CDN
- La capa 7 está cubierta por un WAF
- Una regla de limitación protege el acceso
- Sabes si el tráfico de ataque se cobra
- El modo de emergencia está documentado
- Los subdominios directos (mail, ftp) están eliminados
¿Tu herramienta no está en esta página? Escríbenos: hello@hackceleration.com
Tus preguntas sobre CDN y protección DDoS
¿Un CDN protege de verdad contra un ataque DDoS?
Sí frente a los ataques masivos, con una condición: que tu servidor solo responda al CDN. El CDN reparte la avalancha entre sus nodos y a tu servidor solo llega el tráfico limpio. Si la IP de tu servidor sigue en un registro DNS antiguo, el atacante se salta el CDN. Cierra el cortafuegos a todo lo que no venga de las IP del CDN: es el ajuste más útil de esta página.
¿Basta con el plan gratuito de Cloudflare?
Para ataques de red, sí: la protección DDoS es ilimitada en Free, igual que en los planes de pago. El límite está en otra parte. Free solo trae una regla de limitación de peticiones, que bloquea 10 segundos, sin compromiso de disponibilidad ni chat. Ponla en tu página de acceso. Si tu negocio depende de la web, Pro a 20 $ al mes en anual duplica las reglas y añade soporte por ticket.
¿Qué diferencia hay entre protección DDoS de red y de aplicación?
La de red (capas 3 y 4) frena avalanchas de paquetes que saturan tu conexión, y casi todos los CDN la incluyen gratis. La de aplicación (capa 7) filtra peticiones web que parecen visitas reales, como miles de búsquedas seguidas. Para esas necesitas un cortafuegos de aplicaciones (WAF) y reglas de limitación, normalmente de pago.
¿Necesito un WAF además del CDN?
Si tu web tiene formulario, acceso de usuarios o carrito, sí. En Cloudflare el WAF viene incluido desde Free con un conjunto de reglas gestionadas. En OVHcloud necesitas CDN Security, a 5,49 € al mes sin IVA. En los planes de CloudFront, el número de reglas WAF va de 5 a 75 según el plan.
¿Qué hago durante un ataque en curso?
Activa el modo más estricto de tu CDN (en Cloudflare, «I'm Under Attack»), que pone una prueba de unos segundos a cada visitante. Desactívalo en cuanto baje el ataque: también rompe los feeds RSS y las llamadas a tu API. Después mira en los registros qué dirección atacan y pon una regla de limitación ahí. Según el informe de Cloudflare del primer semestre de 2026, el 90,60 % de los ataques termina en menos de 10 minutos.
¿Quién paga el tráfico de un ataque en AWS?
Tú, si pagas por uso. AWS Shield Standard es gratuito y protege la disponibilidad, no tu factura: las peticiones de un ataque de aplicación se cobran. Los planes de tarifa plana de CloudFront (Free, Pro 15 $, Business 200 $, Premium 1.000 $ al mes) no cobran excesos, ni siquiera durante un ataque.
¿Un CDN de Estados Unidos cumple el RGPD?
Puede cumplirlo, pero revisa dos cosas. El CDN y el WAF ven el contenido de las peticiones, que puede incluir datos personales, a veces fuera de la UE. Y para filtrar en capa 7, el CDN descifra el tráfico cifrado. Si manejas datos sensibles, pasa por el CDN solo los archivos estáticos o elige un proveedor europeo como OVHcloud, Bunny.net o Gcore.
¿Hay un proveedor español de CDN con protección DDoS?
Sí, Transparent Edge, cuya tecnología se opera y se aloja en Europa, ofrece CDN con WAF, anti-DDoS y gestión de bots, y anuncia la certificación ENS de categoría alta y la ISO 27001. No publica precios, así que no entra en nuestra comparativa de tarifas. Si trabajas con la Administración pública, pide presupuesto y compáralo con OVHcloud.
Recibe la próxima comparativa en tu correo
Una herramienta analizada al mes, precios verificados, límites incluidos.
