Tu web tiene su propio estrecho de Ormuz (y no has puesto ni una fragata)
El 2 de marzo de 2026, Irán cerró el estrecho de Ormuz.
Por ahí pasaba el 20% del petróleo mundial. El 35% del crudo que viaja por mar. El grifo energético del planeta.
De un día para otro, 77 barcos donde antes pasaban 1.229. El Brent se disparó un 50%. La OCDE recortó el crecimiento global. Y Europa, que había aumentado su dependencia del gas del Golfo tras cortar con Rusia, se quedó mirando al mapa como quien descubre que solo tenía una puerta de salida y alguien acaba de cerrarla con llave.
Si tienes un sitio web y esto te suena lejano, déjame reformularlo:
tu web tiene su propio estrecho de Ormuz. Y probablemente no lo has pensado hasta ahora.
Un solo punto de paso, millones de barriles
El estrecho de Ormuz tiene 33 kilómetros de ancho en su punto más estrecho.
33 kilómetros por los que pasa la economía de medio planeta.
Nadie pensó que eso fuera un problema. Durante décadas, los petroleros entraban y salían como coches por una autopista. Siempre abierto. Siempre disponible.
Tu servidor funciona igual.
Un solo proveedor de hosting. Un solo centro de datos. Una sola IP pública entre tu contenido y los millones de peticiones que llegan cada día.
Mientras todo va bien, ni lo piensas. Es como Ormuz antes de marzo: un estrecho por el que simplemente se pasa.
Hasta que alguien decide que no.
Un ataque DDoS no necesita ser sofisticado. Solo necesita volumen.
En 2025, Cloudflare mitigó el mayor ataque DDoS jamás registrado: 29,7 Tbps.
Eso son 29.700.000 megabits por segundo intentando pasar por tu estrecho de 33 kilómetros.
Si no tienes una flota detrás, tu web se hunde como un petrolero en llamas.
La Quinta Flota y el CDN: misma misión, distinto océano
Estados Unidos mantiene la Quinta Flota en Bahréin, a un tiro de piedra de Ormuz.
Portaaviones, destructores, submarinos. Todo desplegado con un único objetivo: que el tráfico siga fluyendo.
No producen petróleo. No cargan barriles. Su trabajo es asegurar que los que sí lo hacen puedan pasar.
Cloudflare tiene 330 centros de datos en más de 120 países.
AWS CloudFront tiene 600 puntos de presencia globales.
No alojan tu contenido original. Su trabajo es exactamente el mismo que el de la Quinta Flota: que el tráfico pase, limpio y rápido, pase lo que pase.
Cuando un usuario pide tu web, no va directo a tu servidor en Madrid. El CDN lo intercepta en el nodo más cercano —Barcelona, Lisboa, París— y le sirve una copia cacheada.
Tu servidor original ni se entera. Como un petrolero que sale del Golfo por una ruta alternativa mientras Ormuz está bloqueado.
Excepto que aquí la ruta alternativa ya estaba preparada.
La diferencia entre tener una puerta y tener veinte
El error de Europa con Ormuz fue de manual: dependencia de un solo punto de paso.
Cortaron el gas ruso y compensaron con GNL del Golfo. Cambiaron un proveedor por otro, pero no cambiaron la arquitectura. Seguían teniendo un solo cuello de botella; simplemente le habían puesto otro nombre.
En la web, el equivalente es esto:
- Un hosting compartido sin CDN. Un único servidor contestando a todo el mundo.
- DNS apuntando a una sola IP. Si esa IP cae, tu web desaparece del mapa.
- Sin WAF. Todo el tráfico —legítimo y malicioso— entrando por la misma puerta.
Lo que ofrecen Cloudflare y AWS no es magia. Es multiplicar las puertas de entrada:
- Cloudflare: proxy inverso, DDoS mitigation ilimitada (sí, incluso en el plan gratuito), WAF, rate limiting. Tu servidor real queda oculto detrás de su red. Los atacantes golpean una pared de 449 Tbps de capacidad.
- AWS Shield + CloudFront: Shield Standard es gratuito y absorbe los ataques más comunes. Shield Advanced (3.000 $/mes) añade protección contra ataques de capa 7 y un equipo de respuesta 24/7. CloudFront distribuye tu contenido globalmente.
El 70% de los sitios web sufrieron al menos un ataque DDoS en 2025. Las APIs recibieron un 675% más de ataques que las webs tradicionales.
Tu estrecho está más transitado de lo que crees. Y más vigilado por gente a la que no le caes bien.
Cinco horas: la ventana que no puedes permitirte
Cuando Irán anunció el cierre, los mercados reaccionaron en minutos. El crudo subió un 13% antes de que nadie pudiera hacer nada.
En ciberseguridad, la ventana es parecida: cuando se publica una vulnerabilidad, los bots empiezan a escanear en menos de 5 horas.
Cloudflare actualiza sus reglas WAF de forma centralizada. Cuando detectan una nueva amenaza, la bloquean en toda su red antes de que tú te enteres.
Es la diferencia entre tener un sistema de alerta temprana y enterarte del cierre de Ormuz por Twitter al día siguiente.
AWS WAF permite crear reglas personalizadas y se integra con AWS Managed Rules, que se actualizan automáticamente contra las amenazas más recientes.
Ambos hacen lo mismo que debería haber hecho Europa: no esperar a que el estrecho se cierre para buscar una ruta alternativa.
Tu web no es un país. Pero tiene las mismas vulnerabilidades.
Ormuz nos enseñó algo que la geopolítica ya sabía y la industria web sigue ignorando:
la disponibilidad es tan importante como el contenido.
Da igual que tu web sea preciosa, que tu SEO esté impecable, que tu contenido sea brillante.
Si un ataque DDoS te tumba a las tres de la tarde de un martes, no eres una web. Eres un estrecho cerrado.
Y tus usuarios van a buscar otro proveedor igual que Europa buscó otro gas.
La buena noticia: no necesitas una Quinta Flota. Necesitas un CDN con WAF, un plan de contingencia y dejar de pensar que «a mí no me va a pasar».
Porque eso es exactamente lo que pensaba Europa sobre Ormuz.
Y ahora todos sabemos cómo termina esa frase.