Publicado el 28 octubre 2026 · Equipo mitza.es
Casi todas las pymes tienen un firewall sin saberlo (el que lleva el router de la oficina o el propio Windows), y casi ninguna sabe si está bien configurado. Un firewall mal ajustado es peor que no tener ninguno, porque da una falsa sensación de seguridad. Esta guía explica qué es, cómo funciona y qué hace falta de verdad para una pequeña empresa.
Qué es un firewall (cortafuegos) y para qué sirve
Un firewall o cortafuegos es un sistema de seguridad que filtra el tráfico de red entre tu red interna y el exterior (normalmente, internet) según unas reglas: deja pasar lo permitido y bloquea lo demás. Puede ser un programa (software), un aparato (hardware) o un servicio en la nube, y su función es impedir accesos no autorizados y reducir la superficie de ataque.
Piensa en un portero: comprueba quién entra y quién sale, y solo abre a quien tiene permiso. No impide que alguien con una invitación falsa (un correo de phishing, por ejemplo) entre por la puerta principal, y de ahí viene parte de la confusión sobre lo que protege.
Cómo funciona un firewall
Cada conexión de red tiene un origen, un destino, un puerto (el «canal» que usa un servicio) y un protocolo. El firewall compara cada conexión con su lista de reglas y decide si la permite o la bloquea. La buena práctica es denegar por defecto: todo lo que no esté expresamente permitido, se bloquea. Por ejemplo, se permite la navegación web saliente y se bloquean las conexiones entrantes no solicitadas.
Tipos de firewall
Se pueden clasificar de dos maneras: por dónde se instalan y por cómo filtran.
Según dónde se instalan
- Firewall de red (hardware): protege toda la red desde la entrada. Es el del router profesional, un aparato dedicado (UTM) o un servidor.
- Firewall de equipo (software): funciona en cada ordenador. El Firewall de Windows (Microsoft Defender Firewall) viene activado por defecto y conviene dejarlo así.
- Firewall en la nube (FWaaS): se contrata como servicio y filtra el tráfico antes de que llegue a tu red; útil con muchas sedes o personal remoto.
Según cómo filtran
- Filtrado de paquetes: mira datos básicos (dirección, puerto y protocolo). Es rápido y sencillo, pero poco «inteligente».
- Con estado (stateful): además recuerda en qué estado está cada conexión y solo admite respuestas a conexiones iniciadas desde dentro. Es el mínimo razonable hoy.
- Proxy o de aplicación: actúa de intermediario y revisa el contenido de ciertas aplicaciones.
- Firewall de nueva generación (NGFW): suma inspección profunda del tráfico, prevención de intrusiones (IPS), control de aplicaciones y filtrado web. Es lo que suele venderse a empresas.
Firewall de aplicaciones web (WAF): lo que protege tu web
Un WAF (web application firewall) es un cortafuegos específico para páginas web: analiza las peticiones que llegan a tu sitio y bloquea intentos habituales como la inyección SQL o los scripts maliciosos. Si tienes una web con WordPress o una tienda online, es una capa muy recomendable, sobre todo porque los fallos en plugins se explotan en pocos días (lo contamos en nuestro análisis de una vulnerabilidad crítica de WordPress). Muchos hostings y servicios de protección lo incluyen; compruébalo antes de contratar otro.
Firewall, antivirus y VPN: qué hace cada uno
- Firewall: controla qué conexiones entran y salen de la red o del equipo.
- Antivirus / EDR: detecta y detiene programas maliciosos que ya están en un equipo, aunque hayan entrado por un correo o una memoria USB.
- VPN: crea un túnel cifrado para conectarte de forma segura a la red de la empresa desde fuera. No sustituye al firewall: se complementan.
Una defensa razonable las combina. Ninguna por sí sola protege de todo.
Qué protege un firewall y qué no
Un firewall bien configurado es muy bueno para:
- Impedir que se pueda acceder desde internet a equipos y servicios que no deberían estar expuestos.
- Limitar a qué sitios y programas se pueden conectar los equipos de la empresa.
- Separar redes (invitados, cámaras, impresoras, ordenadores de trabajo).
Y no te protege, por sí solo, de lo que entra «por invitación»: un correo de phishing que convence a alguien de dar su contraseña, un adjunto que instala ransomware, una contraseña débil o una cuenta en la nube comprometida. Por eso la formación del equipo, la verificación en dos pasos y las copias de seguridad son tan importantes como el cortafuegos.
¿Qué firewall necesita una pyme?
- Hasta unos cinco puestos, sin servidor y con servicios en la nube: un router actualizado, el Firewall de Windows activado, el wifi bien configurado y buenas contraseñas suelen bastar.
- Entre cinco y cincuenta puestos, con servidor, sedes o teletrabajo: conviene un firewall de red profesional (UTM o NGFW) con soporte y actualizaciones, VPN para acceso remoto y segmentación de la red.
- Con web o tienda propia: añade un WAF, ya sea del hosting o de un servicio de protección.
- Con datos sensibles o requisitos regulatorios (por ejemplo, si te alcanza la normativa NIS2): suma registros centralizados y revisión periódica por un profesional.
Ajustes básicos que sí marcan la diferencia
- Cambia las credenciales por defecto del router o firewall y usa una contraseña larga y única.
- Actualiza el firmware con regularidad: los propios cortafuegos y routers se atacan.
- Desactiva la administración remota desde internet, o limítala a una VPN o a una IP concreta.
- Aplica «denegar por defecto» en las conexiones entrantes y abre solo lo imprescindible.
- Desactiva UPnP y cierra los puertos que ya no se usen.
- Separa en otra red el wifi de invitados y los dispositivos de oficina conectados (cámaras, TPV, impresoras).
- Usa una VPN con verificación en dos pasos para el acceso remoto, en lugar de abrir puertos.
- Activa los registros (logs) y las alertas, y revísalos de vez en cuando.
- Guarda una copia de la configuración para poder restaurarla.
- No desactives el Firewall de Windows «porque da problemas»: revisa la regla concreta que lo causa.
Un firewall también necesita mantenimiento
Los dispositivos de borde (cortafuegos, pasarelas, VPN) son un objetivo prioritario porque están expuestos a internet. Lo hemos visto este año con los zero-days de Citrix NetScaler y con las pasarelas de correo de Cisco y FortiMail. La lección es sencilla: un firewall sin actualizar es una puerta abierta con apariencia de cerradura.
Preguntas rápidas
¿Me basta con el firewall de Windows?
Es una buena capa para cada equipo y debe estar activado, pero no protege la red entera ni a los dispositivos que no son Windows. Úsalo junto a un firewall de red.
¿El router de mi operadora ya trae firewall?
Sí, uno básico, que bloquea conexiones entrantes no solicitadas. Suele tener pocas opciones y no cubre necesidades como VPN avanzadas, segmentación o registros. Para una oficina con varios puestos, se queda corto.
Si trabajo todo en la nube, ¿necesito firewall?
Menos, pero sigue haciendo falta proteger la red de la oficina y los equipos. Lo que sí necesitas con seguridad son cuentas bien protegidas y copias independientes.
Cómo te ayudamos en Mitza
Revisamos la configuración de tu red y tus accesos, y también la seguridad de tu web con una auditoría de seguridad web. Si quieres que miremos tu caso, cuéntanoslo en la página de contacto.