[Inicio](https://servhidden.com/es) / [Guías de Alojamiento Privado](https://servhidden.com/es/guides) / Ocultar la IP de origen: CDN, proxy inverso y qué se filtra Privacidad # Ocultar la IP de origen Absorber un ataque y seguir siendo inencontrable son dos problemas distintos, y la disposición que resuelve uno puede deshacer el otro sin que te des cuenta. Qué cubre el filtrado a nivel de red, qué añade y cuesta un CDN, cómo se encuentran realmente los orígenes — y cómo comprobar el tuyo. [Leer la guía](#guide-body) [Preguntas frecuentes](#guide-faq) ## En esta página - [Guía](#guide-body) - [Preguntas frecuentes](#guide-faq) - [Guías relacionadas](#guide-related) - [Páginas recomendadas](#guide-cta) Sin KYC Solo cripto Sin registros DMCA ignorado Root completo NVMe SSD 17 min de lectura Actualizado Aug 2026 En esta página [01Dos problemas que parecen uno solo](#dos-problemas-que-parecen-uno-solo) [02Lo que tu proveedor ya hace, y dónde se detiene](#lo-que-tu-proveedor-ya-hace-y-dónde-se-detiene) [03Lo que oculta un CDN, y el servicio de abuso que heredas](#lo-que-oculta-un-cdn-y-el-servicio-de-abuso-que-heredas) [04Las seis formas en que una dirección de origen se filtra igualmente](#las-seis-formas-en-que-una-dirección-de-origen-se-filtra-igu) [05Cerrar el origen para que solo el frontal pueda alcanzarlo](#cerrar-el-origen-para-que-solo-el-frontal-pueda-alcanzarlo) [06Tu propio nodo frontal en lugar de un CDN](#tu-propio-nodo-frontal-en-lugar-de-un-cdn) [07Cómo elegir, en una sola tabla](#cómo-elegir-en-una-sola-tabla) [08La cuenta suele ser el eslabón más débil](#la-cuenta-suele-ser-el-eslabón-más-débil) [09Auditar tu propia exposición en diez minutos](#auditar-tu-propia-exposición-en-diez-minutos) [10Cuando la dirección ya está quemada](#cuando-la-dirección-ya-está-quemada) [11La versión corta](#la-versión-corta) [FAQPreguntas frecuentes](#guide-faq) [→Páginas recomendadas](#guide-cta) «¿Debería poner un CDN delante?» es la primera pregunta que se hace la mayoría de la gente después de comprar un servidor offshore, y no tiene una respuesta única, porque en realidad son dos preguntas con un solo abrigo. Absorber un ataque y seguir siendo inencontrable son problemas distintos con soluciones distintas, y la disposición que resuelve uno puede deshacer el otro sin que te des cuenta. La confusión sale cara en ambas direcciones. Hay quien pone un gran CDN estadounidense delante de un contenido que eligió alojar precisamente por su [hosting ignorado por DMCA](https://servhidden.com/es/dmca-ignored-hosting), y así devuelve un canal de reclamaciones justo al tipo de intermediario que intentaba evitar. Otros se saltan todo, reciben una inundación de capa de aplicación que el filtrado de red nunca fue diseñado para ver, y concluyen que la protección DDoS era mentira. Esta guía separa los dos problemas, explica qué hace realmente cada capa, y dedica la mayor parte de su extensión a la parte que decide el resultado en cualquier caso: las seis formas en que una dirección de origen se filtra incluso cuando todo lo demás está bien configurado. ## Dos problemas que parecen uno solo Cualquier cosa que pongas delante de un servidor cumple una de dos funciones: mantener un ataque alejado de él, o mantener su dirección desconocida. Se solapan lo suficiente como para confundirse y difieren lo suficiente como para que resolver el problema equivocado sea un desperdicio de dinero. | Lo que te preocupa | Lo que realmente lo resuelve | Lo que no | | --- | --- | --- | | Una inundación volumétrica que llena tu conexión (capas 3 y 4) | Filtrado en el borde de la red del proveedor, incluido en todos nuestros planes | Nada que instales en el servidor — para entonces la conexión ya está llena | | Una inundación de aplicación con solicitudes que parecen reales (capa 7) | Un CDN o un WAF, caché, límites de tasa, endpoints más baratos | El filtrado de paquetes, que ve HTTP válido y lo deja pasar | | Nadie debería poder alcanzar la máquina directamente | Un frontal (CDN o tu propio nodo) *más* un firewall que solo lo acepte a él | Un CDN solo, si el origen sigue respondiendo a todo internet | | Nadie debería saber quién lo dirige | Alta sin KYC, privacidad en el pago, disciplina de cuenta | Cualquier cantidad de infraestructura — esto es una cuestión de identidad | | El contenido debe sobrevivir a las reclamaciones | La jurisdicción, y un proveedor que no actúa ante ellas | Un CDN, que **añade** un canal de reclamaciones en lugar de eliminarlo | Lee dos veces la última fila, porque es la que atrapa a la gente. Todo lo demás en esta página es ingeniería. Esa fila no lo es. Lo que sea que pongas delante de tu servidor también se interpone entre tú y quienes se quejan de él — lo cual es protección en una dirección y una nueva dirección para las notificaciones en la otra. ## Lo que tu proveedor ya hace, y dónde se detiene El filtrado de capa 3 y capa 4 está incluido en todos los planes que vendemos, sin coste adicional, y se ejecuta en el borde de la red en lugar de en tu servidor — el único lugar donde puede funcionar, ya que un enlace ascendente saturado no lo arregla nada que se ejecute detrás de él. El ancho de banda es ilimitado, así que un ataque no se convierte en una factura. Para la gran mayoría de lo que la gente llama «un DDoS», esa es toda la historia. Lo que no puede ver es el otro tipo. Quinientas solicitudes por segundo a un endpoint de búsqueda desde cuarenta mil direcciones residenciales no es tráfico malformado; es tráfico. Las conexiones Slowloris que gotean una cabecera cada pocos segundos son, individualmente, educadas. Un formulario de inicio de sesión martilleado con cuerpos POST reales es indistinguible a nivel de paquete de un lunes ajetreado. Ningún filtro de paquetes ayuda, porque no hay nada malo en los paquetes. **La prueba para saber si necesitas algo más que filtrado de red:** ¿puede una sola solicitud bien formada costarle a tu servidor un escaneo de base de datos, un redimensionado de imagen o un hash de contraseña? Si la respuesta es sí, tienes una superficie de capa 7, y la solución es caché, limitación de tasa y endpoints más baratos — con o sin un CDN delante. Hay una dirección de tráfico ante la que sí actuamos, y merece decirse sin rodeos: los ataques y el spam masivo *originados* en nuestra red pueden enviarse a una ruta nula (null-routing) para mantener sano el resto de la infraestructura. Es una medida operativa, no de contenido — la distinción que nuestra [guía de hosting ignorado por DMCA](https://servhidden.com/es/guides/dmca-ignored-hosting-explained) desarrolla con más detalle. ## Lo que oculta un CDN, y el servicio de abuso que heredas El mecanismo es simple y genuinamente eficaz. Tu dominio resuelve a las direcciones del proveedor, los clientes se conectan ahí, y el proveedor obtiene el contenido de tu origen. La dirección real nunca aparece en la conexión de un cliente, así que nadie que solo conozca el dominio puede atacarla. El mismo truco es la razón por la que el CDN fronting funciona para [proxies resistentes a la censura](https://servhidden.com/es/censorship-resistant-hosting/v2ray): un censor ve tráfico hacia una dirección que no puede permitirse bloquear. Con eso llegan tres cosas, y ninguna está escondida en la letra pequeña: - **El borde termina tu TLS.** El tráfico es texto plano dentro de la red del proveedor por diseño — así es como funcionan el caché y el filtrado. Lo que sea que escriban tus usuarios llega a un tercero antes de llegar a ti. - **Un canal de abuso que antes no existía.** Las reclamaciones pueden presentarse directamente contra el CDN, y un CDN las responde: reenviándotelas, señalando a tu proveedor de hosting, o dándote de baja. Si tu razón para estar offshore es que las reclamaciones no llegan a ninguna parte, poner un intermediario estadounidense delante reconecta la cadena que pagaste por romper. - **Una cuenta.** Dirección de correo electrónico, método de pago, a menudo un número de teléfono, vinculados a tu dominio y conservados indefinidamente. Más sobre esto más abajo, porque suele ser el eslabón más débil de toda la disposición. Nada de eso hace que un CDN sea un error. Lo convierte en una decisión con dos caras: excelente para una tienda o una aplicación con usuarios reales y presión real de capa 7, activamente contraproducente para una publicación que atrae retiradas. Nuestra propia respuesta a esta pregunta en la [página de hosting ignorado por DMCA](https://servhidden.com/es/dmca-ignored-hosting) siempre ha sido la versión corta de esto: para resistir a las retiradas, usa el filtrado de red que ya tienes y prescinde del CDN. ## Las seis formas en que una dirección de origen se filtra igualmente Esta es la sección que importa, porque la ocultación no es un producto que se compra — es una propiedad que mantienes o pierdes, normalmente en cuestión de días, ante una de seis cosas. Cada día se encuentran orígenes detrás de configuraciones de CDN perfectamente correctas. - **Los registros de Certificate Transparency.** Todo certificado de confianza pública emitido para tu dominio se publica en registros públicos, permanentes y consultables en cuestión de minutos. No publican tu dirección; publican tus *nombres de host* — staging, mail, vpn, el subdominio que configuraste una vez en 2024. Cada uno es candidato a resolverse, y un solo registro que no apunte al frontal termina con el ejercicio. - **El historial de DNS.** Los servicios de DNS pasivo archivan cada dirección a la que ha resuelto alguna vez tu dominio. Pasar detrás de un CDN más tarde no despublica lo que ya quedó registrado — la ocultación tiene que empezar antes de que el dominio resuelva por primera vez, o necesitas una dirección nueva, no un frontal nuevo. - **Registros que no se pueden proxear, y los que olvidaste.** Los servidores de correo tienen que apuntar a algo alcanzable. Lo mismo ocurre con un registro AAAA olvidado cuando solo proxeaste IPv4, un antiguo nombre de host de FTP o de panel, un comodín, o el host de desarrollo «temporal» que ya tiene tres años. - **Cualquier cosa que envíe el servidor.** El correo desde el origen lleva su dirección en las cabeceras Received — un mensaje de restablecimiento de contraseña es una divulgación por cuenta propia. Los webhooks, las descargas de imágenes salientes, las vistas previas de enlaces, los pingbacks, las comprobaciones de actualizaciones y los reportadores de fallos contactan todos desde la dirección real, y cualquiera que consiga que tu aplicación hable con un host que controla la aprende. - **El escaneo de todo internet.** Cada dirección IPv4 se escanea y se indexa continuamente mediante servicios públicos, y los resultados son consultables en segundos. Si tu origen responde en el puerto 443 con tu certificado, o sirve tu página de inicio ante cualquier cabecera Host, encontrar la coincidencia es una sola consulta contra un hash del cuerpo, una huella de certificado o un hash de favicon. Así es como se encuentran la mayoría de los orígenes, y no le cuesta nada a quien busca. - **La aplicación hablando de sí misma.** URLs absolutas y redirecciones que contienen la dirección en crudo, endpoints de estado o de métricas dejados abiertos, trazas de pila detalladas que nombran hosts internos, cabeceras que revelan el backend, y el host virtual por defecto que sirve alegremente tu sitio a cualquiera que lo pida por dirección. **Cinco de esas seis son cuestión de configuración, no de criptografía.** Nada de la lista se vence con un plan de CDN más grande, y nada en ella es exótico — son las primeras seis cosas que cualquiera comprueba, en este orden. ## Cerrar el origen para que solo el frontal pueda alcanzarlo Una ocultación que depende de que nadie adivine la dirección no es ocultación. La disposición solo se sostiene cuando el origen se niega a hablar con nadie que no sea el frontal, de modo que una dirección filtrada sea una molestia y no un incidente. - **Denegar por defecto, y luego permitir al frontal.** Acepta los puertos 80 y 443 solo desde los rangos de direcciones publicados por el proveedor, y actualiza esa lista automáticamente — los rangos cambian, y una lista desactualizada falla abierta o falla cerrada en el peor momento. Todo lo demás, incluido SSH, pertenece a un túnel o a una dirección de gestión, como en nuestra [lista de refuerzo de la primera hora](https://servhidden.com/es/guides/first-hour-vps-hardening-checklist). - **Autenticar al frontal.** Los certificados de cliente entre el CDN y tu origen — normalmente llamados authenticated origin pulls — hacen que incluso una dirección correcta más una cabecera Host correcta no obtengan nada sin el certificado. - **Mejor: ningún puerto de entrada en absoluto.** Un túnel solo de salida desde el origen hasta el borde, ya sea el conector propio del CDN o WireGuard hacia un nodo que tú operas, hace que el origen nunca escuche en una interfaz pública. El escaneo no puede encontrar lo que no responde, y esta es, con diferencia, la versión más sólida de la disposición. - **Un solo host virtual, una sola cabecera Host.** El servidor por defecto no debería devolver nada útil. Si tu sitio carga por dirección, un escáner lo emparejará en cuestión de una semana. - **Saca el correo del origen web.** El correo tiene que ser alcanzable y tiene que identificarse; mantenlo en su propia máquina, como asume nuestra [guía de servidor de correo](https://servhidden.com/es/guides/offshore-mail-server-setup). - **Verifica desde fuera.** Cada comprobación de esta lista no significa nada si se ejecuta desde el propio servidor. Pruébalo desde una red que no sea la tuya. ## Tu propio nodo frontal en lugar de un CDN La tercera opción se pasa por alto porque no tiene presupuesto de marketing: un VPS pequeño como cara pública, un túnel cifrado de vuelta a la máquina que guarda los datos, y nginx o HAProxy pasando el tráfico entre ambos. Desde fuera parece cualquier servidor web. El real está en otro sitio, sin ningún puerto de entrada. Lo que obtienes es ocultación sin nadie más en la disposición — sin cuenta de terceros, sin servicio de abuso externo, sin ningún desconocido terminando tu TLS. También obtienes una división de jurisdicción que de otro modo es difícil de comprar: el frontal donde están los usuarios, los datos donde te conviene la ley, elegidos entre nuestras [siete ubicaciones](https://servhidden.com/es/locations). Y como no se vinculó ninguna identidad al darte de alta, el frontal es desechable — una dirección quemada se sustituye en minutos en lugar de negociarse. Lo que no obtienes es capacidad anycast. Un nodo tiene la capacidad de un nodo, y aunque nuestro filtrado de red lo protege exactamente igual que a cualquier otro servidor, un ataque volumétrico genuinamente grande es una competición de ancho de banda que gana una red global. Planteado con honestidad: un nodo frontal es la respuesta correcta para ocultar un backend pesado o caro — una cabina de almacenamiento, una máquina con GPU, un servidor de correo, una base de datos — y para dividir jurisdicciones. No sustituye a un CDN bajo presión sostenida de capa 7. ## Cómo elegir, en una sola tabla | Tu situación | Disposición | Razonamiento | | --- | --- | --- | | Publicación que atrae notificaciones de retirada | Directo, sin CDN, en una jurisdicción elegida a propósito | Un CDN añade un servicio de abuso que tu proveedor deliberadamente no tiene | | Tienda o SaaS con usuarios reales y presión de capa 7 | CDN delante, origen restringido a sus rangos | La capa 7 es el problema para el que realmente está construido un CDN | | Endpoint de elusión en un país censurado | CDN fronting | El censor ve una dirección que no puede permitirse bloquear | | Tráfico estático o multimedia de gran volumen | CDN para descargar el caché | El ancho de banda y la latencia son lo importante; la ocultación es un efecto secundario | | El anonimato es el requisito principal | Tu propio nodo frontal, o nada delante | Una cuenta de terceros es un registro de identidad que antes no tenías | | Backend pesado que merece la pena ocultar | Nodo frontal más túnel solo de salida | La máquina cara nunca aparece en el internet público | ## La cuenta suele ser el eslabón más débil Piensa en lo que ocurre cuando la infraestructura es perfecta y el papeleo no lo es. El servidor se pagó en Monero, sin documentos de identidad ni dirección de correo electrónico — la disposición que describen nuestras páginas de [hosting sin KYC](https://servhidden.com/es/no-kyc-hosting). Luego se abre una cuenta de CDN con una tarjeta, una dirección personal y un número de teléfono, indicando el dominio que protege. Esa cuenta es un registro de identidad más sólido y más duradero que cualquier cosa del servidor, en manos de una empresa que responde a citaciones judiciales, y deshace por completo la privacidad del pago. La solución no es complicada, solo fácil de olvidar: si el objetivo es el anonimato, o el frontal te pertenece, o la cuenta que hay delante es tan desechable y tan inatribuible como el servidor que hay detrás. [OpSec para servidores](https://servhidden.com/es/guides/server-opsec-staying-anonymous) cubre esta disciplina como es debido, y [nuestra respuesta honesta sobre el anonimato offshore](https://servhidden.com/es/guides/is-offshore-hosting-truly-anonymous) es tajante sobre qué eslabones de la cadena suelen romperse primero. Casi nunca son los técnicos. ## Auditar tu propia exposición en diez minutos Cada punto de la lista siguiente es algo que una parte interesada comprobaría en los primeros minutos. Hazlo tú mismo, desde una máquina que no sea el servidor, antes de necesitar las respuestas. - **Lista todos los nombres de host que hayas certificado alguna vez.** Busca tu dominio raíz en un motor de búsqueda de Certificate Transparency y resuelve cada resultado. Cualquiera que no apunte al frontal es una fuga, incluidos los hosts que ya no usas. - **Lee tu propio historial de DNS.** Una consulta de DNS pasivo muestra las direcciones a las que resolvió tu dominio antes del CDN. Si el origen de ayer sigue siendo el de hoy, la ocultación nunca fue real. - **Pregunta al origen directamente.** curl -sI --resolve example.com:443:198.51.100.10 https://example.com/ — si el sitio responde, tu firewall no está restringiendo el frontal y cualquiera con una dirección candidata puede confirmarlo con una sola solicitud. - **Pregunta sin rodeos.** curl -skI https://198.51.100.10/ no debería devolver nada reconocible. Un host virtual por defecto que sirve tu página de inicio es el error único más común de esta página. - **Comprueba cada tipo de registro, no solo A.** dig +short AAAA example.com, dig +short MX example.com, y lo mismo para cada subdominio que revelaron los registros de transparencia. Un IPv6 dejado sin proxear es un clásico. - **Envíate un correo desde la aplicación.** Dispara un restablecimiento de contraseña y lee la cadena completa de Received. Si la dirección de origen está ahí, también lo está en todos los mensajes que hayas enviado nunca. - **Confirma que los puertos están cerrados.** Desde una red que no tenga relación, nmap -Pn -p80,443 198.51.100.10 debería mostrarlos como filtered, no como open. - **Busca en los escáneres.** Consulta la huella de tu certificado y el hash del favicon de tu página de inicio en un índice público de escaneo de internet. Si tu origen está indexado, así es como se encontrará. ## Cuando la dirección ya está quemada Da por hecho que seguirá quemada. Una dirección que ha aparecido en DNS pasivo y en índices de escaneo queda en el registro público de forma permanente, y ningún cambio de configuración la retira. La respuesta es mecánica, no ingeniosa. - **Arregla primero la fuga.** Rotar a una dirección nueva sin cerrar el agujero reproduce la situación en cuestión de días, y habrás gastado una migración para no aprender nada. - **Luego rota.** Despliega un reemplazo — en una jurisdicción distinta si el motivo era legal y no técnico — restaura, y haz el cambio. Como no se vinculó ninguna identidad al primer servidor, esto es un comienzo desde cero en lugar de una negociación, que es la ventaja práctica y poco glamurosa de comprar servidores sin historial de cuenta. - **Prepara el cambio antes de la emergencia.** Un TTL de DNS corto, una configuración que puedas volver a desplegar desde un repositorio y una restauración probada convierten una mala tarde en veinte minutos. Nadie organiza esto durante un ataque. - **Retira bien la dirección antigua.** No dejes el servidor antiguo aparcado en la dirección antigua sirviendo el mismo contenido; eso es una confirmación en vivo para quien esté observando, y mantiene fresco el registro. ## La versión corta El filtrado a nivel de red se ocupa de los ataques volumétricos, viene con el servidor y no cuesta nada extra. Un CDN se ocupa de la capa de aplicación y oculta el origen, al precio de un intermediario que termina tu TLS, responde a las reclamaciones y sabe quién eres. Tu propio nodo frontal compra ocultación sin el intermediario, pero no capacidad global. La jurisdicción decide la cuestión legal y ninguna de las tres opciones la toca. Y a todas las deshace un solo registro sin proxear, un solo correo desde el origen, o un solo host virtual por defecto. Decide según el objetivo y no por costumbre, y dedica luego los diez minutos a la auditoría — encuentra más exposición real que cualquier mejora de plan. Si quieres la arquitectura sin el tercero, un pequeño [VPS](https://servhidden.com/es/vps) como frontal y el trabajo real en [hardware dedicado](https://servhidden.com/es/dedicated) detrás es la disposición que vemos con más frecuencia entre quienes ya han sido encontrados una vez. Preguntas frecuentes ## IP de origen y DDoS — preguntas frecuentes ### 01 ¿Un CDN oculta la dirección IP real de mi servidor? La oculta de los clientes, que es la mayor parte del beneficio: los visitantes se conectan al CDN y nunca ven tu dirección. No la oculta de registros públicos que ya existen, de nada que tu servidor envíe hacia fuera, ni de escáneres de todo internet que pueden identificar tu origen por su certificado o por su página de inicio. Y solo funciona si tu firewall impide que el origen responda a nadie que no sea el CDN — de lo contrario, la dirección está a una sola solicitud confirmada de volver a ser útil. ### 02 ¿Poner Cloudflare u otro CDN delante anula el hosting ignorado por DMCA? En la práctica, sí. Un CDN es parte de tu servicio y tiene su propio proceso de gestión de abusos: se pueden presentar notificaciones directamente contra él, y normalmente te las reenviará, identificará a tu proveedor de hosting, o te dará de baja como cliente. Eso reconecta la cadena de retiradas que el hosting offshore se elige precisamente para romper. Para contenido que atrae reclamaciones, la disposición mejor es el hosting directo en una jurisdicción elegida a propósito, con el filtrado DDoS a nivel de red que ya viene con el servidor. ### 03 ¿Basta por sí sola la protección DDoS de capa 3/4? Para los ataques volumétricos — los que llenan tu enlace ascendente — sí, y es la única capa que puede ayudar ahí, porque actúa antes de que el tráfico te alcance. Está incluida en todos los planes con ancho de banda ilimitado, así que un ataque tampoco genera una factura. Lo que no puede abordar es una inundación de capa 7 con solicitudes bien formadas. Si una sola solicitud a tu aplicación puede desencadenar un escaneo de base de datos o un redimensionado de imagen, ahí está tu riesgo, y la respuesta es el caché, la limitación de tasa y un WAF, no el filtrado de paquetes. ### 04 ¿Cómo encuentra la gente la IP de origen detrás de un CDN? Seis vías explican casi todos los casos: los registros de Certificate Transparency que revelan subdominios sin proxear, los archivos de DNS pasivo que conservan la dirección que usaba el dominio antes del traslado, registros que no se pueden proxear como los servidores de correo, conexiones salientes desde el propio servidor incluidas sus propias cabeceras de correo, el escaneo de todo internet que identifica el origen por su certificado o por el contenido de la página, y la propia aplicación filtrando su dirección mediante redirecciones, endpoints de estado o un host virtual por defecto. Ninguna de ellas requiere habilidad alguna. ### 05 ¿Puedo usar un CDN y seguir siendo anónimo? Solo si la cuenta es tan anónima como el servidor, algo que rara vez ocurre. Una cuenta de CDN lleva una dirección de correo electrónico, un método de pago y a menudo un número de teléfono, vinculados a tu dominio y conservados indefinidamente por una empresa que responde a procesos legales. Si pagaste el servidor en Monero sin documentos de identidad y luego abriste una cuenta de CDN con una tarjeta personal, la cuenta es ahora el registro de identidad más sólido de toda la disposición. O mantienes el frontal bajo tu propio control, o haces que la cuenta sea tan desechable como todo lo demás. ### 06 ¿Necesito algo de esto para un sitio pequeño? Normalmente no. Un sitio pequeño en un servidor con filtrado a nivel de red, un firewall que deniega por defecto y sin servicios que no necesita es una disposición perfectamente normal y razonablemente sólida. La cuestión del origen se vuelve real cuando hay una razón concreta para ocultar la máquina — una audiencia que incluye a gente que la atacaría, un backend que vale más que el frontal, o contenido cuya disposición de hosting prefieres no anunciar. ### 07 ¿Debería el servidor de correo funcionar en la misma IP que el sitio web? No, y esta es una de las formas más comunes en que se expone un origen. El correo tiene que ser alcanzable en una dirección que no se puede proxear, y cada mensaje que envía lleva esa dirección en sus cabeceras. Ejecutar el correo en una máquina separada mantiene el origen web fuera de cada correo que envías y fuera de los registros DNS que cualquiera puede consultar. También evita que un problema de reputación de correo se convierta en un problema del sitio web. ### 08 Mi IP de origen ya se ha filtrado — ¿y ahora qué? Trata la dirección como pública para siempre, porque el DNS pasivo y los archivos de escaneo la conservan. Cierra primero la fuga, ya sea un registro sin proxear, una vía de correo o un host virtual por defecto, y luego pasa a una dirección nueva y haz el cambio con un TTL de DNS corto preparado de antemano. No dejes el servidor antiguo respondiendo en la dirección antigua con el mismo contenido. Como nada del servidor original estaba vinculado a una identidad, sustituirlo es un despliegue normal y no una negociación con nadie. Guías relacionadas ## Seguir leyendo [### Cómo Elegir una Jurisdicción de Alojamiento Offshore en 2026 Compra Un marco práctico de decisión para elegir una jurisdicción offshore: legislación de retención de datos, exposición al MLAT, postura ante DMCA, velocidad judicial y aplicación real — país por país. FAQ de 6 preguntas](https://servhidden.com/es/guides/choosing-an-offshore-jurisdiction) [### VPS vs Servidor Dedicado para Cargas de Trabajo Críticas de Privacidad Compra Cuándo un VPS es suficiente, cuándo la tenencia compartida es un riesgo y cuándo el bare metal es la única respuesta honesta. Aislamiento de hardware, riesgo de hipervisor y coste frente a modelo de amenazas. FAQ de 6 preguntas](https://servhidden.com/es/guides/vps-vs-dedicated-for-privacy) [### VPN Autogestionada en un VPS Sin KYC: WireGuard vs OpenVPN Operaciones Por qué una VPN autogestionada supera a los proveedores comerciales, y cómo WireGuard y OpenVPN se comparan realmente en privacidad, rendimiento y riesgo operativo en 2026. FAQ de 6 preguntas](https://servhidden.com/es/guides/self-hosted-vpn-wireguard-vs-openvpn) [### RTX 4090 vs H100 SXM5 para inferencia IA (y dónde encaja la RTX 5090) Compra Guía de decisión de compra: qué GPU NVIDIA elegir para LLM, imagen, video, voz y cargas de trabajo de fine-tuning autoalojadas en 2026. RTX 4090 vs RTX 5090 vs H100 SXM5 vs dual H100 — VRAM, rendimiento, $/token, cuándo gana cada una. FAQ de 6 preguntas](https://servhidden.com/es/guides/rtx-4090-vs-h100-for-ai-inference) [### RDP Windows Offshore para Trading Forex con MT4 / MT5 / cTrader Operaciones Guía completa: por qué usar un RDP Windows para trading forex, cómo elegir una jurisdicción offshore de baja latencia, configuración de MT4 / MT5 / cTrader / Expert Advisor, latencia a servidores de broker, y el proceso de checkout sin KYC. FAQ de 6 preguntas](https://servhidden.com/es/guides/offshore-windows-rdp-for-forex-trading) [### Alojamiento Ignorado por DMCA: Lo Que Realmente Significa en 2026 Compra Qué ofrece realmente el alojamiento «ignorado por DMCA», qué jurisdicciones lo respaldan de verdad, para qué cargas de trabajo es necesario, y las trampas sobre derechos de autor que el término no cubre. FAQ de 6 preguntas](https://servhidden.com/es/guides/dmca-ignored-hosting-explained) [### Registro Anónimo de Dominios con Cripto: Privacidad WHOIS en 2026 Privacidad Una guía práctica de 2026 para registrar dominios sin revelar tu identidad: regímenes WHOIS por TLD, elección de registrador, opciones de pago en cripto, y los errores operativos que te delatan igualmente. FAQ de 6 preguntas](https://servhidden.com/es/guides/anonymous-domain-registration-with-crypto) [### Pagos Cripto para Alojamiento: Monero vs Bitcoin vs USDT Privacidad Cómo la elección de la moneda afecta lo que tu proveedor aprende sobre ti. Privacidad, comisiones, finalidad y exposición al análisis de cadena para XMR, BTC y USDT — con una recomendación clara. FAQ de 6 preguntas](https://servhidden.com/es/guides/crypto-payments-monero-vs-bitcoin-vs-usdt) [### ¿Es realmente anónimo el hosting offshore? Una respuesta honesta Privacidad El hosting offshore sin KYC elimina la identidad que un proveedor normal recopila, pero «anónimo» depende del pago, del registro de logs del proveedor y de tu propia opsec. Esto es lo que realmente se puede rastrear. FAQ de 6 preguntas](https://servhidden.com/es/guides/is-offshore-hosting-truly-anonymous) [### La primera hora de hardening de un VPS: una checklist Operaciones Una checklist concreta y ordenada para asegurar un VPS nuevo en menos de una hora: claves SSH, un firewall, fail2ban, actualizaciones automáticas y la reducción de superficie de ataque que detiene la mayoría de los ataques oportunistas. FAQ de 6 preguntas](https://servhidden.com/es/guides/first-hour-vps-hardening-checklist) [### ¿Qué es el Hosting sin KYC? Definición, Legalidad y Cómo Funciona Privacidad El hosting sin KYC te permite alquilar un servidor sin ninguna verificación de identidad: sin nombre, sin correo electrónico, sin identificación. Aquí encontrarás exactamente qué significa, cómo funciona técnicamente, si es legal y cómo elegir un proveedor genuino. FAQ de 6 preguntas](https://servhidden.com/es/guides/what-is-no-kyc-hosting) [### ¿Es Legal el Hosting Offshore? La Respuesta Honesta para 2026 Compra El hosting offshore es legal, tanto para ti como para el proveedor. Aquí explicamos qué significa realmente el término, dónde está la línea legal, los mitos que vale la pena descartar y cómo utilizarlo de forma responsable. FAQ de 6 preguntas](https://servhidden.com/es/guides/is-offshore-hosting-legal) [### Cómo pagar el alojamiento con Monero (XMR) — Guía paso a paso Privacidad Guía paso a paso para pagar un VPS o servidor dedicado con Monero (XMR): por qué XMR es la opción más privada, cómo adquirirlo y cómo funciona el proceso de pago — desde la factura hasta un servidor en funcionamiento en minutos. FAQ de 6 preguntas](https://servhidden.com/es/guides/how-to-pay-for-hosting-with-monero) [### Cómo alojar un sitio web de forma anónima — Guía práctica 2026 Privacidad Una guía práctica y por capas para alojar un sitio web sin revelar tu identidad: la cuenta, el pago, el dominio, la jurisdicción, la conexión y el contenido — cada capa explicada en detalle. FAQ de 6 preguntas](https://servhidden.com/es/guides/how-to-host-a-website-anonymously) [### Cómo configurar una VPN WireGuard en un VPS — Guía paso a paso Operaciones Crea tu propia VPN privada en un VPS con WireGuard: por qué una VPN autoalojada supera a una comercial, la configuración completa desde la instalación hasta el primer cliente conectado, y cómo reforzar la seguridad. FAQ de 6 preguntas](https://servhidden.com/es/guides/how-to-set-up-wireguard-vpn-on-a-vps) [### Cómo alojar tu propio LLM en un servidor GPU — Guía 2026 Operaciones Ejecuta tu propio modelo de lenguaje en un servidor GPU alquilado: por qué el autoalojamiento supera a una API, qué GPU y modelo elegir, la configuración con Ollama o vLLM, y cuánto cuesta. FAQ de 6 preguntas](https://servhidden.com/es/guides/self-host-an-llm-on-a-gpu-server) [### Hosting Bulletproof vs Hosting Offshore — ¿Cuál es la diferencia? Compra El hosting bulletproof y el hosting offshore se confunden constantemente, pero no son lo mismo. Aquí encontrarás la diferencia real, por qué importa y cuál es el que verdaderamente necesitas. FAQ de 6 preguntas](https://servhidden.com/es/guides/bulletproof-vs-offshore-hosting) [### Cómo comprar un VPS con Bitcoin — paso a paso (2026) Compra Una guía accesible para comprar un VPS con Bitcoin: cómo obtener BTC, elegir un plan, pagar la factura y lo que obtienes a cambio — un servidor en funcionamiento sin tarjeta y sin nombre vinculado. FAQ de 6 preguntas](https://servhidden.com/es/guides/how-to-buy-a-vps-with-bitcoin) [### Los mejores países para hosting ignorado por DMCA en 2026 Compra Dónde alojar cuando necesitas servidores fuera del alcance de las órdenes de retirada al estilo estadounidense: las jurisdicciones que funcionan, qué significa realmente «ignorado por DMCA» y cómo elegir. FAQ de 6 preguntas](https://servhidden.com/es/guides/best-countries-for-dmca-ignored-hosting) [### Cómo alojar un servicio oculto de Tor (sitio .onion) — Guía 2026 Operaciones Configura un servicio onion de Tor en un VPS: qué es un servicio oculto, por qué es la forma más sólida de alojamiento anónimo, el proceso completo de configuración y cómo mantener el anonimato real. FAQ de 6 preguntas](https://servhidden.com/es/guides/how-to-host-a-tor-hidden-service) [### Configuración de un servidor de correo offshore — Aloja tu propio email privado en 2026 Operaciones Ejecuta tu propio servidor de correo privado en un VPS offshore: por qué alojar el email tú mismo, qué necesitas, la configuración práctica con una solución todo-en-uno y cómo garantizar la entregabilidad. FAQ de 6 preguntas](https://servhidden.com/es/guides/offshore-mail-server-setup) [### Guía de alojamiento de nodos cripto — Ejecuta un nodo blockchain en un VPS Operaciones Cómo alojar un nodo blockchain en un servidor: por qué ejecutar tu propio nodo, cómo dimensionar el servidor para Bitcoin, Ethereum, Monero y otras redes, la configuración inicial y cómo mantenerlo privado. FAQ de 6 preguntas](https://servhidden.com/es/guides/crypto-node-hosting-guide) [### Hosting GPU para Stable Diffusion — Monta tu propio servidor de imágenes Operaciones Ejecuta Stable Diffusion en tu propio servidor GPU: por qué autoalojar la generación de imágenes, qué GPU elegir, la configuración con una interfaz web y qué cuesta frente a un servicio alojado. FAQ de 6 preguntas](https://servhidden.com/es/guides/gpu-hosting-for-stable-diffusion) [### OpSec para servidores — Mantener el anonimato cuando gestionas un servidor Privacidad Seguridad operacional para quien gestiona un servidor anónimo: los errores que desvelan identidades, los hábitos que los previenen y cómo mantener las identidades verdaderamente separadas. FAQ de 6 preguntas](https://servhidden.com/es/guides/server-opsec-staying-anonymous) [### Guía de configuración de seedbox — Crea tu propio seedbox privado en 2026 Operaciones Cómo construir tu propio seedbox en un servidor: qué es un seedbox, cómo dimensionarlo, instalar un cliente torrent con interfaz web y mantenerlo privado y seguro. FAQ de 6 preguntas](https://servhidden.com/es/guides/seedbox-setup-guide) [### Cómo eludir la censura DPI con tu propio VPS (guía 2026) Privacidad ¿Tu VPN dejó de funcionar? Cómo eludir la censura DPI con tu propio VPS: qué detecta realmente la inspección profunda de paquetes, cuál de los cinco protocolos de 2026 vence a cada tipo de bloqueo, y una guía completa de VLESS+REALITY paso a paso. FAQ de 6 preguntas](https://servhidden.com/es/guides/bypass-dpi-censorship-with-your-own-vps) [### Cifrado de disco completo en un VPS: configurar LUKS y qué protege Operaciones Cómo cifrar un VPS con LUKS: volúmenes cifrados, cifrado de raíz completa con desbloqueo remoto por SSH, los ajustes que importan en un servidor pequeño, y qué detiene realmente el cifrado de disco. FAQ de 8 preguntas](https://servhidden.com/es/guides/full-disk-encryption-on-a-vps) [### Backup de VPS: cifrado, fuera del sitio y que realmente restaura Operaciones Tu proveedor no guarda copias. Qué destruye realmente un servidor, por qué el backup por push muere con él, restic vs Borg, y cómo probar que restaura de verdad. FAQ de 8 preguntas](https://servhidden.com/es/guides/vps-backup-strategy) [### Autoalojar un servidor Matrix: federación, metadatos y qué no cifra el E2EE Operaciones Qué cambia autoalojar tu propio servidor Matrix: Synapse frente a Conduit, el server_name que no puedes cambiar y lo que la federación sigue revelando. FAQ de 8 preguntas](https://servhidden.com/es/guides/self-host-a-matrix-server) [### Cómo migrar un sitio web a alojamiento offshore sin inactividad Operaciones El orden que convierte una migración de servidor en algo aburrido: baja el TTL de DNS con días de antelación, mantén los dos servidores en paralelo, congela las escrituras solo minutos, no horas, y limpia el rastro de DNS pasivo, Certificate Transparency y WHOIS que deja el traslado. FAQ de 8 preguntas](https://servhidden.com/es/guides/migrate-website-to-offshore-hosting) [### How to Self-Host a Crypto Payment Gateway with BTCPay Server Operaciones Run your own non-custodial checkout on an offshore VPS: BTCPay Server, a pruned Bitcoin node, Lightning and Monero — how to size the disk, why the private keys must never touch the machine, and where KYC quietly reappears at the cash-out. FAQ de 8 preguntas](https://servhidden.com/es/guides/self-host-a-crypto-payment-gateway) ## Pon la capa adecuada delante del servidor adecuado Filtrado DDoS a nivel de red y ancho de banda ilimitado en todos los planes, en siete jurisdicciones offshore. Ejecuta un nodo frontal por unos pocos dólares al mes y mantén el trabajo real detrás — sin KYC, solo cripto. [Ver planes VPS](https://servhidden.com/es/vps) [DMCA ignorado](https://servhidden.com/es/dmca-ignored-hosting) [Hosting offshore](https://servhidden.com/es/anonymous-hosting) ## Structured data (JSON-LD) ```json { "@context": "https://schema.org", "@type": "Organization", "@id": "https://servhidden.com/#organization", "name": "ServHidden", "url": "https://servhidden.com", "description": "VPS y servidores dedicados offshore en 7 jurisdicciones privacy-friendly. Sin KYC, sin registros, solo criptomonedas. Privacidad por arquitectura.", "logo": { "@type": "ImageObject", "url": "https://servhidden.com/ServHidden.webp", "width": 512, "height": 512 }, "foundingDate": "2025", "areaServed": [ { "@type": "Country", "name": "Iceland" }, { "@type": "Country", "name": "Panama" }, { "@type": "Country", "name": "Moldova" }, { "@type": "Country", "name": "Romania" }, { "@type": "Country", "name": "Switzerland" }, { "@type": "Country", "name": "Netherlands" }, { "@type": "Country", "name": "Russia" } ], "knowsAbout": [ "Offshore hosting", "Offshore VPS", "Bare-metal dedicated servers", "DMCA-ignored hosting", "No KYC hosting", "Cryptocurrency payments", "Privacy engineering", "Token-based authentication", "Anonymous domain name registration", "No-KYC domain registrar", "WHOIS privacy", "Cheap .com domains", "Crypto-paid domain names", "NVIDIA GPU compute", "Windows RDP hosting", "Agentic commerce" ], "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "url": "https://servhidden.com/contact", "availableLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] }, "sameAs": [ "https://servhidden.com/canary", "https://servhidden.com/press" ] } ``` ```json { "@context": "https://schema.org", "@type": "WebSite", "@id": "https://servhidden.com/#website", "url": "https://servhidden.com", "name": "ServHidden", "publisher": { "@id": "https://servhidden.com/#organization" }, "inLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "headline": "Ocultar la IP de origen: CDN, proxy inverso y qué se filtra", "description": "Si conviene poner un CDN delante de un servidor offshore: qué oculta, el servicio de abuso que heredas, las seis formas en que la IP de origen se filtra igualmente, y cómo auditar la tuya.", "image": "https://servhidden.com/assets/img/guides/hiding-your-origin-server-ip.webp?v=1787175673", "author": { "@type": "Organization", "@id": "https://servhidden.com/#editorial", "name": "ServHidden Editorial", "url": "https://servhidden.com/about", "description": "Operator-side editorial team writing about offshore hosting jurisdictions, offshore server architecture, self-hosted privacy stacks and crypto payments.", "knowsAbout": [ "Offshore hosting jurisdictions", "Data retention law", "MLAT and judicial cooperation", "WireGuard and OpenVPN deployment", "Tor relay operation", "Monero and Bitcoin payment privacy", "KVM virtualization and bare-metal hosting", "DMCA-ignored hosting" ], "parentOrganization": { "@id": "https://servhidden.com/#organization" } }, "publisher": { "@id": "https://servhidden.com/#organization" }, "datePublished": "2026-08-19T00:00:00+00:00", "dateModified": "2026-08-19T00:00:00+00:00", "mainEntityOfPage": "https://servhidden.com/guides/hiding-your-origin-server-ip", "inLanguage": "es", "keywords": "hide origin server IP, origin IP leak, Cloudflare offshore hosting, DDoS protection offshore VPS, reverse proxy hide origin, L7 DDoS mitigation, certificate transparency origin leak, lock origin to CDN IP ranges", "articleSection": "Privacidad", "wordCount": 3396 } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "¿Un CDN oculta la dirección IP real de mi servidor?", "acceptedAnswer": { "@type": "Answer", "text": "La oculta de los clientes, que es la mayor parte del beneficio: los visitantes se conectan al CDN y nunca ven tu dirección. No la oculta de registros públicos que ya existen, de nada que tu servidor envíe hacia fuera, ni de escáneres de todo internet que pueden identificar tu origen por su certificado o por su página de inicio. Y solo funciona si tu firewall impide que el origen responda a nadie que no sea el CDN — de lo contrario, la dirección está a una sola solicitud confirmada de volver a ser útil." } }, { "@type": "Question", "name": "¿Poner Cloudflare u otro CDN delante anula el hosting ignorado por DMCA?", "acceptedAnswer": { "@type": "Answer", "text": "En la práctica, sí. Un CDN es parte de tu servicio y tiene su propio proceso de gestión de abusos: se pueden presentar notificaciones directamente contra él, y normalmente te las reenviará, identificará a tu proveedor de hosting, o te dará de baja como cliente. Eso reconecta la cadena de retiradas que el hosting offshore se elige precisamente para romper. Para contenido que atrae reclamaciones, la disposición mejor es el hosting directo en una jurisdicción elegida a propósito, con el filtrado DDoS a nivel de red que ya viene con el servidor." } }, { "@type": "Question", "name": "¿Basta por sí sola la protección DDoS de capa 3/4?", "acceptedAnswer": { "@type": "Answer", "text": "Para los ataques volumétricos — los que llenan tu enlace ascendente — sí, y es la única capa que puede ayudar ahí, porque actúa antes de que el tráfico te alcance. Está incluida en todos los planes con ancho de banda ilimitado, así que un ataque tampoco genera una factura. Lo que no puede abordar es una inundación de capa 7 con solicitudes bien formadas. Si una sola solicitud a tu aplicación puede desencadenar un escaneo de base de datos o un redimensionado de imagen, ahí está tu riesgo, y la respuesta es el caché, la limitación de tasa y un WAF, no el filtrado de paquetes." } }, { "@type": "Question", "name": "¿Cómo encuentra la gente la IP de origen detrás de un CDN?", "acceptedAnswer": { "@type": "Answer", "text": "Seis vías explican casi todos los casos: los registros de Certificate Transparency que revelan subdominios sin proxear, los archivos de DNS pasivo que conservan la dirección que usaba el dominio antes del traslado, registros que no se pueden proxear como los servidores de correo, conexiones salientes desde el propio servidor incluidas sus propias cabeceras de correo, el escaneo de todo internet que identifica el origen por su certificado o por el contenido de la página, y la propia aplicación filtrando su dirección mediante redirecciones, endpoints de estado o un host virtual por defecto. Ninguna de ellas requiere habilidad alguna." } }, { "@type": "Question", "name": "¿Puedo usar un CDN y seguir siendo anónimo?", "acceptedAnswer": { "@type": "Answer", "text": "Solo si la cuenta es tan anónima como el servidor, algo que rara vez ocurre. Una cuenta de CDN lleva una dirección de correo electrónico, un método de pago y a menudo un número de teléfono, vinculados a tu dominio y conservados indefinidamente por una empresa que responde a procesos legales. Si pagaste el servidor en Monero sin documentos de identidad y luego abriste una cuenta de CDN con una tarjeta personal, la cuenta es ahora el registro de identidad más sólido de toda la disposición. O mantienes el frontal bajo tu propio control, o haces que la cuenta sea tan desechable como todo lo demás." } }, { "@type": "Question", "name": "¿Necesito algo de esto para un sitio pequeño?", "acceptedAnswer": { "@type": "Answer", "text": "Normalmente no. Un sitio pequeño en un servidor con filtrado a nivel de red, un firewall que deniega por defecto y sin servicios que no necesita es una disposición perfectamente normal y razonablemente sólida. La cuestión del origen se vuelve real cuando hay una razón concreta para ocultar la máquina — una audiencia que incluye a gente que la atacaría, un backend que vale más que el frontal, o contenido cuya disposición de hosting prefieres no anunciar." } }, { "@type": "Question", "name": "¿Debería el servidor de correo funcionar en la misma IP que el sitio web?", "acceptedAnswer": { "@type": "Answer", "text": "No, y esta es una de las formas más comunes en que se expone un origen. El correo tiene que ser alcanzable en una dirección que no se puede proxear, y cada mensaje que envía lleva esa dirección en sus cabeceras. Ejecutar el correo en una máquina separada mantiene el origen web fuera de cada correo que envías y fuera de los registros DNS que cualquiera puede consultar. También evita que un problema de reputación de correo se convierta en un problema del sitio web." } }, { "@type": "Question", "name": "Mi IP de origen ya se ha filtrado — ¿y ahora qué?", "acceptedAnswer": { "@type": "Answer", "text": "Trata la dirección como pública para siempre, porque el DNS pasivo y los archivos de escaneo la conservan. Cierra primero la fuga, ya sea un registro sin proxear, una vía de correo o un host virtual por defecto, y luego pasa a una dirección nueva y haz el cambio con un TTL de DNS corto preparado de antemano. No dejes el servidor antiguo respondiendo en la dirección antigua con el mismo contenido. Como nada del servidor original estaba vinculado a una identidad, sustituirlo es un despliegue normal y no una negociación con nadie." } } ] } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Inicio", "item": "https://servhidden.com/es/" }, { "@type": "ListItem", "position": 2, "name": "Guías de Alojamiento Privado", "item": "https://servhidden.com/es/guides" }, { "@type": "ListItem", "position": 3, "name": "Ocultar la IP de origen: CDN, proxy inverso y qué se filtra", "item": "https://servhidden.com/es/guides/hiding-your-origin-server-ip" } ] } ```