Punto SynoPower Club:<\/strong> Trabaj\u00e9 durante a\u00f1os en el soporte t\u00e9cnico de Synology, y las m\u00e1quinas comprometidas que vi casi nunca fueron vulneradas con m\u00e9todos ingeniosos. Ten\u00edan la cuenta de administrador predeterminada activada, un puerto de administraci\u00f3n redirigido a internet y ning\u00fan segundo factor de autenticaci\u00f3n. Una buena seguridad para un NAS consiste principalmente en tareas rutinarias realizadas en el orden correcto. Lo que me sorprendi\u00f3 despu\u00e9s de empezar a alojar nuestra propia tienda fue la cantidad de trabajo que se realiza fuera del NAS. La mayor parte del tr\u00e1fico que rechazamos hoy se desv\u00eda antes de que llegue a nuestra red.<\/p>\n<\/blockquote>\n\n\n\n En t\u00e9rminos de seguridad, un NAS privado tiene una \u00fanica funci\u00f3n: impedir el acceso de personas no autorizadas a la p\u00e1gina de inicio de sesi\u00f3n. Un NAS que aloja un sitio web p\u00fablico se enfrenta al problema opuesto. Los usuarios son personas no autorizadas, y miles de ellas deben acceder diariamente sin una cuenta. La cuesti\u00f3n cambia: ya no se trata de qui\u00e9n puede conectarse, sino de qu\u00e9 informaci\u00f3n puede solicitar una conexi\u00f3n.<\/p>\n\n\n\n Por eso dejamos de pensar en la seguridad NAS como una caracter\u00edstica del producto y comenzamos a trazarla como un camino. Una solicitud para nuestra tienda debe cumplir cinco requisitos, y cada uno puede rechazarla:<\/p>\n\n\n\n No se puede confiar en que ninguna capa individual sea correcta. Cada una est\u00e1 ah\u00ed para el d\u00eda en que la capa anterior falle, est\u00e9 mal configurada o simplemente se omita.<\/p>\n\n\n\n Una buena seguridad para un NAS comienza en alg\u00fan lugar que no sea el propio NAS. La solicitud m\u00e1s f\u00e1cil de proteger es la que nunca llega. En las 24 horas previas a la redacci\u00f3n de este informe, Cloudflare gestion\u00f3 78\u00a0690 solicitudes para nuestro dominio. Respondi\u00f3 a 57\u00a0620 de ellas desde su cach\u00e9, bloque\u00f3 5590 por considerarlas no deseadas y envi\u00f3 solo 15\u00a0470 a nuestro servidor de origen. Cuatro de cada cinco solicitudes no utilizaron ni un solo ciclo de CPU en el NAS.<\/p>\n\n\n\n Tenemos el plan Pro y ejecutamos 15 reglas de firewall personalizadas, adem\u00e1s de dos l\u00edmites de velocidad. Cada una de ellas existe debido a un mal d\u00eda espec\u00edfico. Tres ejemplos muestran el patr\u00f3n:<\/p>\n\n\n\n Cloudflare Turnstile cubre los formularios que el firewall no puede procesar: registro, restablecimiento de contrase\u00f1a, comentarios y el formulario de contacto. Tanto la cuenta que controla todo esto como la de nuestro registrador de dominios requieren un segundo factor de autenticaci\u00f3n. Un atacante que pueda modificar su DNS no necesita comprometer su NAS.<\/p>\n\n\n\n Todo lo que Cloudflare permite que pase llega a un enrutador Synology que ejecuta SRM, la segunda capa de seguridad NAS. Esta es la capa que se mencionaba en la nota original de este art\u00edculo: La prevenci\u00f3n de amenazas bloquea otra oleada.<\/em>. Se trata de un sistema de prevenci\u00f3n de intrusiones que compara los paquetes con firmas de ataque conocidas, y el nuestro est\u00e1 configurado para descartar autom\u00e1ticamente las coincidencias de alta gravedad en lugar de simplemente registrarlas.<\/p>\n\n\n\n El 2 de agosto de 2026, una direcci\u00f3n IP lanz\u00f3 116 intentos de explotar una vulnerabilidad de PHP que solo afecta a servidores Windows. Era imposible que funcionara contra nosotros, y ese es el punto clave: la prevenci\u00f3n de amenazas bloque\u00f3 todos los intentos, y cuando revisamos los registros del servidor web posteriormente, la direcci\u00f3n IP ya no aparec\u00eda. El ataque finaliz\u00f3 en el enrutador.<\/p>\n\n\n\n Tres configuraciones m\u00e1s sencillas en el mismo dispositivo ofrecen la misma seguridad para el NAS que el motor de inspecci\u00f3n:<\/p>\n\n\n\n El NAS frontal es el primer sistema Synology al que puede llegar un paquete externo, por lo que aqu\u00ed se aplican plenamente los consejos cl\u00e1sicos de seguridad para NAS. Nuestra configuraci\u00f3n es deliberadamente poco original:<\/p>\n\n\n\n Dos h\u00e1bitos son tan importantes para la seguridad del NAS como los conmutadores. Accedemos a DSM desde el exterior mediante QuickConnect o directamente no lo hacemos, por lo que no es necesario abrir ning\u00fan puerto de administraci\u00f3n. Adem\u00e1s, los usuarios temporales obtienen cuentas temporales: cuando un contratista o un agente de IA necesita acceso de administrador, creamos una cuenta con nombre, dejamos que el trabajo finalice y la desactivamos el mismo d\u00eda.<\/p>\n\n\n\n WordPress no se ejecuta en el NAS frontal. Se ejecuta en un contenedor dentro de un Virtual DSM, una segunda copia completa de DSM alojada en Virtual Machine Manager. Por lo tanto, el correo electr\u00f3nico, el proxy inverso y la tienda residen en sistemas separados con cuentas y almacenamiento independientes.<\/p>\n\n\n\n El aislamiento es la parte de la seguridad NAS que no intenta prevenir una intrusi\u00f3n, sino limitar su valor. Si un plugin de WordPress se ve comprometido, el atacante accede a un contenedor con memoria limitada, dentro de una m\u00e1quina virtual sin buzones ni copias de seguridad. Y dado que toda la m\u00e1quina es un \u00fanico archivo por Virtual Machine Manager, crear una instant\u00e1nea antes de cada cambio arriesgado solo lleva unos segundos, mientras que revertirlo lleva unos minutos.<\/p>\n\n\n\n Virtual Machine Manager incluye una instancia de Virtual DSM gratuita en los modelos compatibles, suficiente para probar esta configuraci\u00f3n. Las instancias adicionales requieren una licencia cada una.<\/p>\n\n\n\nQu\u00e9 implica la seguridad del NAS una vez que el NAS aloja un sitio web.<\/h2>\n\n\n\n
\n
Capa 1: Cloudflare rechaza la mayor\u00eda de los ataques antes de que nos alcancen.<\/h2>\n\n\n\n
![\"An\u00e1lisis](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/cloudflare-security-analytics-mitigated-requests-scaled.webp\")
\n
Capa 2: Prevenci\u00f3n de amenazas en el router Synology<\/h2>\n\n\n\n
![\"Mapa](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-router-threat-prevention-map.webp\")
\n
Capa 3: Seguridad NAS dentro de DSM, desde la autenticaci\u00f3n de dos factores hasta el bloqueo autom\u00e1tico.<\/h2>\n\n\n\n
\n
administraci\u00f3n<\/code> y invitado<\/code> est\u00e1n desactivados. Todos los ataques de inicio de sesi\u00f3n automatizados comienzan con esos dos nombres.<\/li>\n\n\n\n![\"Pesta\u00f1a](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/dsm-enforce-2fa-administrators-adaptive-mfa.webp\")
Capa 4: Un Virtual DSM que contiene el da\u00f1o<\/h2>\n\n\n\n