Acciones Prohibidas en los Servidores Virtuales de AlexHost: Política Completa y Explicación Técnica

Comprender qué está prohibido en un servidor privado virtual no es solo una cuestión de leer la letra pequeña — determina directamente si su infraestructura permanece en línea, si la reputación de su IP se mantiene limpia y si su cuenta evita una cancelación inmediata. AlexHost aplica una estricta política de uso aceptable (AUP) en todos los planes de VPS Hosting para proteger la infraestructura de red compartida, mantener la reputación de IP en toda la subred y garantizar el cumplimiento de la legislación internacional.

Este documento ofrece un desglose detallado de cada categoría prohibida, el razonamiento técnico detrás de cada restricción, los mecanismos de aplicación vigentes y las consecuencias reales de las infracciones — incluidos escenarios que frecuentemente se malinterpretan, como la distinción entre abuso intencional y un servidor comprometido.

Por qué existen las políticas de uso aceptable en infraestructuras compartidas

Un VPS, a pesar de estar aislado lógicamente mediante virtualización a nivel de hipervisor, sigue compartiendo enlaces de red físicos, bloques de direcciones IP y, en ocasiones, I/O de almacenamiento con instancias vecinas en el mismo nodo host. Cuando un inquilino incurre en comportamiento abusivo — ya sea intencional o como resultado de un compromiso — el radio de impacto se extiende más allá de su propia instancia.

El daño a la reputación de IP es la consecuencia más inmediata y técnicamente perjudicial. Si una sola IP dentro de una subred /24 aparece en SpamHaus, Spamcop o la Spamhaus Block List (SBL), la entregabilidad de todos los demás servidores en ese rango se degrada. Las búsquedas de DNS inverso fallan, las conexiones SMTP salientes son rechazadas y las empresas legítimas que operan en IPs adyacentes sufren daños colaterales que no causaron.

Por eso la aplicación no es opcional y los umbrales de acción son deliberadamente bajos.

Categorías de actividades prohibidas: desglose técnico

Spam de correo electrónico — saliente y entrante

El spam de correo electrónico intencional en cualquier dirección está estrictamente prohibido. Esto incluye:

• Campañas masivas de correo comercial no solicitado (UCE) enviadas mediante relay SMTP
• Configuraciones de relay abierto que permiten a terceros enrutar spam a través de su servidor
• Siembra de trampas de spam entrante o aceptación deliberada de spam para envenenar filtros
• Operaciones de spam de tipo snowshoe distribuidas en múltiples IPs
• Scripts de listas de correo comprometidos explotados para enviar correo masivo no solicitado

La excepción por compromiso: Si su servidor fue vulnerado y un actor malicioso instaló un script de spam (un paso común posterior a la explotación), AlexHost trabajará con usted para remediar el problema en lugar de cancelar la cuenta de inmediato — siempre que responda con prontitud y demuestre una remediación activa. Esta excepción no se aplica indefinidamente. El abuso continuado tras la notificación, independientemente del estado de compromiso alegado, resulta en la suspensión del servicio.

Nota técnica: Los sistemas modernos de detección de spam como SpamAssassin, los demonios de políticas de Postfix y los limitadores de velocidad saliente pueden detectar volúmenes SMTP anormales en cuestión de minutos. Si su servidor envía repentinamente 10.000 mensajes por hora, activará bloqueos automáticos a nivel de red antes de que un humano revise el caso.

Malware, exploits, botnets y redirecciones maliciosas

Alojar o distribuir cualquiera de los siguientes elementos está prohibido sin excepción:

• Cargas útiles de malware: Droppers de ransomware, troyanos, keyloggers, herramientas de acceso remoto (RATs)
• Kits de exploits: Frameworks de exploits basados en navegador (históricamente: Angler, RIG, Magnitude)
• Infraestructura de comando y control (C2) de botnets: Bots basados en IRC, paneles C2 HTTP, coordinación de bots peer-to-peer
• Scripts de descarga silenciosa: Inyectores JavaScript que envían malware silenciosamente a los visitantes del sitio
• Redirecciones maliciosas: Redirecciones a nivel de .htaccess o DNS que apuntan a los usuarios hacia dominios de phishing o que sirven malware

Estas actividades son monitoreadas por fuentes de inteligencia de amenazas que incluyen VirusTotal, abuse.ch, Emerging Threats y plataformas SIEM comerciales. Una vez que la IP de un servidor aparece en estas fuentes, queda en lista negra en las bases de datos de proveedores de antivirus a nivel mundial — un proceso que puede tardar meses en revertirse incluso después de eliminar el contenido malicioso.

La excepción por compromiso también aplica aquí, con las mismas condiciones: notificación inmediata, cooperación activa y pasos de remediación demostrables.

Material de abuso sexual infantil (CSAM) y contenido de edad ambigua

Esta categoría tiene tolerancia cero y no admite excepciones — incluida la excepción por compromiso. El contenido prohibido incluye:

• Material de abuso sexual infantil (CSAM) en cualquier formato
• Contenido de incesto
• Contenido zoofílico
• Cualquier contenido que muestre a personas que aparenten ser menores de 18 años, independientemente de la verificación de edad alegada

El CSAM no es simplemente una infracción de los términos del servicio. Es un delito penal bajo las leyes de prácticamente todas las jurisdicciones, incluida la Directiva de la UE 2011/93/UE, la Ley PROTECT de EE. UU. y el código penal de Moldavia (AlexHost opera bajo jurisdicción moldava). Los informes se remiten al CyberTipline del National Center for Missing and Exploited Children (NCMEC) y a las agencias nacionales de aplicación de la ley pertinentes sin demora.

La cancelación de la cuenta es inmediata y permanente. No se emite ningún reembolso. La derivación a las autoridades es automática.

Robo, fraude y delitos financieros

Las actividades prohibidas en esta categoría incluyen:

• Páginas de phishing que suplantan bancos, procesadores de pago u organismos gubernamentales
• Portales de recolección de credenciales
• Infraestructura de fraude de facturas falsas o transferencias bancarias
• Alojamiento de campañas de ingeniería social
• Sitios de reclutamiento de mulas de dinero

Organizaciones de seguridad como los CERTs nacionales, el Anti-Phishing Working Group (APWG) y los equipos de fraude de instituciones financieras monitorean activamente estas operaciones y envían solicitudes de eliminación directamente a los proveedores de alojamiento. El tiempo de respuesta se mide en horas, no en días. Los infractores se enfrentan tanto a la cancelación de la cuenta como a la derivación a las autoridades, con los registros de alojamiento preservados como posible evidencia.

Sitios web fraudulentos y cadenas de redirección

Distinta del phishing directo, esta categoría abarca:

• Tiendas falsas que cobran pagos sin entregar productos
• Sitios web de marcas falsificadas (infracción de marcas registradas)
• Cadenas de redirección diseñadas para ocultar el destino final a los usuarios y a los escáneres de seguridad
• Esquemas de monetización de tráfico basados en redirecciones engañosas

Estas operaciones frecuentemente intentan utilizar múltiples capas de redirección — a menudo a través de dominios intermediarios de apariencia legítima — para evadir la detección. El análisis de tráfico a nivel de red y la monitorización pasiva de DNS pueden identificar estos patrones independientemente de la ofuscación.

Infraestructura de carding y fraude con tarjetas de pago

El carding se refiere al uso de datos de tarjetas de pago robadas para realizar compras fraudulentas, y el ecosistema más amplio a su alrededor incluye:

• Foros y mercados de carding
• Scripts de validación de tarjetas (comúnmente llamados “checkers”)
• Bases de datos de dumps y fullz
• Bots de carding automatizados dirigidos a flujos de pago en comercios electrónicos
• Alojamiento de scripts skimmer (inyectores JavaScript estilo Magecart)

Esto se clasifica como un delito financiero grave bajo la legislación internacional. Las redes de tarjetas de pago (Visa, Mastercard) operan sus propias unidades de inteligencia de fraude que identifican y reportan activamente la infraestructura de alojamiento. Las consecuencias incluyen cancelación inmediata, inclusión en listas negras de IP en los sistemas de seguridad de redes financieras y derivación penal.

Ataques contra gobiernos e infraestructuras críticas

Está prohibido alojar herramientas, servicios o infraestructura de coordinación para ataques contra organismos gubernamentales, infraestructuras nacionales críticas o cualquier organización de terceros. Esto incluye:

• Servicios de escaneo de vulnerabilidades dirigidos a redes gubernamentales
• Infraestructura de entrega de exploits para campañas de tipo APT
• Plataformas de coordinación de hacktivismo
• Herramientas de credential stuffing precargadas con conjuntos de datos de empleados gubernamentales

La excepción por compromiso aplica en el caso concreto en que un servidor fue tomado y utilizado como punto de pivote sin el conocimiento del propietario — pero esto requiere notificación inmediata y plena cooperación con cualquier investigación posterior.

Actividades que provocan la inclusión en listas negras de IP

Cualquier acción que cause que una dirección IP de AlexHost aparezca en las principales listas negras de reputación está prohibida. Las listas negras relevantes incluyen:

Salir de estas listas tras un evento de inclusión es un proceso laborioso y no está garantizado. Algunas inclusiones, en particular en SpamHaus, requieren una remediación demostrada y pueden tardar semanas en resolverse. El coste operativo para AlexHost y los inquilinos vecinos es significativo, razón por la cual esta categoría se trata con la misma gravedad que el abuso directo.

Ataques DDoS — tanto “pruebas” entrantes como salientes

Esta es una de las restricciones técnicamente más malinterpretadas. Dos escenarios distintos están prohibidos:

1. Ataques DDoS de “prueba” contra su propio servidor:

Generar tráfico de ataque de alto volumen hacia la IP de su propio VPS — incluso con fines legítimos de prueba de carga o prueba de mitigación DDoS — crea congestión real en el enlace compartido. La infraestructura de red no puede distinguir entre tráfico de “prueba” y un ataque real. El resultado es pérdida de paquetes, picos de latencia y degradación del rendimiento para todos los demás clientes en el mismo segmento de red.

2. Ataques DDoS salientes contra terceros:

Usar un servidor arrendado para participar u orquestar ataques de denegación de servicio distribuido contra cualquier objetivo es un delito penal en la mayoría de las jurisdicciones (Computer Fraud and Abuse Act en EE. UU., Computer Misuse Act en el Reino Unido, estatutos similares en toda la UE). Esto incluye:

• Backends de servicios stresser/booter
• Reflectores de ataques de amplificación (DNS, NTP, memcached)
• Participación voluntaria en botnets
• Herramientas de ataque de capa de aplicación de bajo y lento (Slowloris, RUDY)

Abuso de recursos más allá de DDoS: Incluso los patrones de tráfico no atacantes que saturan el canal compartido o causan un I/O de disco excesivo — como operaciones de minería de criptomonedas mal configuradas, crawlers mal escritos o trabajos de copia de seguridad desbocados — entran en esta categoría de aplicación.

Mecanismos de aplicación y ruta de escalada

La aplicación de AlexHost sigue un modelo escalonado, aunque el nivel aplicado depende enteramente de la gravedad de la infracción:

Nivel 1 — Advertencia y ventana de remediación:

Se aplica a infracciones de primera vez y menor gravedad en las que el titular de la cuenta parece cooperativo. Se envía una notificación con un plazo de remediación específico.

Nivel 2 — Limitación de tráfico o bloqueo a nivel de puerto:

Se aplica cuando un VPS genera volúmenes de tráfico problemáticos que afectan a instancias vecinas. El bloqueo del puerto SMTP saliente 25 es un ejemplo común. El servicio continúa pero con restricciones.

Nivel 3 — Suspensión inmediata:

Se aplica a infracciones graves (CSAM, DDoS activo, infraestructura de carding activa) sin advertencia previa. La instancia se suspende, los datos se conservan pendientes de investigación y no se emite ningún reembolso.

Nivel 4 — Cancelación permanente y derivación a las autoridades:

Se aplica a infracciones de categoría penal. La cuenta se cierra permanentemente, los registros relevantes se conservan y el caso se deriva a las autoridades competentes.

Importante: Si su VPS está generando problemas para otros usuarios — ya sea mediante tráfico de ataque DDoS, saturación excesiva del canal o carga anormal en el subsistema de disco — AlexHost se reserva el derecho de limitar los recursos o cancelar el servicio de forma inmediata y sin previo aviso. En tales casos, se puede ofrecer la migración a un Servidor Dedicado como alternativa, aislando completamente su carga de trabajo de la infraestructura compartida.

La excepción por compromiso: qué cubre y qué no

Varias categorías prohibidas incluyen un calificador de “a menos que su servidor haya sido hackeado”. Esto no es una cláusula de inmunidad general. Es el reconocimiento de que los operadores de servidores legítimos pueden convertirse en participantes involuntarios en el abuso sin culpa propia — y que sancionarlos de forma idéntica a los abusadores intencionales es contraproducente.

La excepción por compromiso aplica cuando:

• Notifica proactivamente a AlexHost al descubrir la brecha
• Toma medidas inmediatas para contener el compromiso (desconectar la instancia, revocar credenciales, aislar el servicio afectado)
• Coopera plenamente con cualquier investigación
• El abuso se detiene dentro de un plazo de remediación razonable

La excepción por compromiso NO aplica cuando:

• Fue notificado del abuso y no actuó
• El “compromiso” se utiliza como excusa recurrente para incidentes repetidos
• La infracción cae en las categorías de tolerancia cero (CSAM, en particular)
• Intenta continuar operando el servicio comprometido mientras alega remediación

Recomendaciones prácticas de seguridad para evitar compromisos:

• Deshabilite la autenticación por contraseña en SSH; use únicamente claves Ed25519 o RSA-4096
• Ejecute fail2ban o sshguard para bloquear intentos de fuerza bruta
• Mantenga todo el software — paquetes del SO, aplicaciones web, plugins de CMS — parcheado y actualizado
• Use un Web Application Firewall (WAF) frente a cualquier aplicación web de cara al público
• Monitorice las conexiones salientes con herramientas como netstat, ss o auditd para detectar comportamientos anómalos
• Configure reglas de firewall saliente (iptables o nftables) para restringir el tráfico de salida inesperado

Si está ejecutando un servidor de correo, considere combinar su VPS Hosting con una infraestructura de Email Hosting correctamente configurada que incluya filtrado de spam integrado y aplicación de DKIM/DMARC/SPF, reduciendo el riesgo de que su infraestructura de correo sea explotada para relay de spam.

Comparación: abuso intencional vs. servidor comprometido — tratamiento según la política

Política de reembolso en caso de infracciones

Este punto requiere una claridad inequívoca: no se emite ningún reembolso para cuentas canceladas por infracciones de la AUP, independientemente del período de servicio restante. Esto aplica tanto si la cancelación resulta de un abuso intencional como de un compromiso que no fue remediado a tiempo.

Esta política existe porque los costes incurridos por las infracciones de la AUP — remediación de la reputación de IP, tiempo de ingeniería de red, posible exposición legal y daño a los clientes vecinos — frecuentemente superan el valor de la suscripción que se cancela.

Elegir la infraestructura adecuada para cargas de trabajo de alto consumo de recursos o sensibles

Si su caso de uso legítimo implica altos volúmenes de tráfico saliente, actividad de red intensiva o cargas de trabajo que podrían ser identificadas erróneamente como abusivas por sistemas automatizados, un Servidor Dedicado proporciona aislamiento físico completo de otros inquilinos. No hay contención de enlace compartido, no hay impacto en inquilinos vecinos y mayor flexibilidad para configurar controles de seguridad a nivel de red.

Para cargas de trabajo que requieren cómputo GPU — incluida la inferencia de aprendizaje automático, renderizado o computación científica — el GPU Hosting proporciona el perfil de recursos adecuado sin el riesgo de activar sistemas de detección de abuso diseñados para instancias VPS de propósito general.

Para proyectos web estándar donde las demandas de recursos son predecibles y modestas, el Shared Web Hosting proporciona un entorno rentable con controles de abuso a nivel de plataforma ya implementados, reduciendo la carga administrativa para el titular de la cuenta.

Lista de verificación de puntos clave técnicos

Antes de implementar cualquier carga de trabajo en un VPS de AlexHost, verifique lo siguiente:

• SSH reforzado: Autenticación por contraseña deshabilitada, solo autenticación por clave, puerto no predeterminado considerado
• Firewall configurado: Cadenas tanto entrantes (INPUT) como salientes (OUTPUT) definidas en iptables/nftables
• Servidor de correo (si aplica): Registros SPF, DKIM y DMARC publicados; limitación de velocidad saliente habilitada; prueba de relay abierto superada
• Software parcheado: Paquetes del SO, frameworks web, plugins de CMS todos actualizados
• Monitorización activa: Monitorización de conexiones salientes, alertas de intentos de inicio de sesión fallidos, detección de anomalías en I/O de disco
• Copias de seguridad aisladas: Trabajos de copia de seguridad programados en horas de menor actividad con limitación de velocidad para evitar la saturación de I/O
• Contenido revisado: Todo el contenido alojado verificado contra las categorías de la AUP antes de publicarse
• Plan de respuesta a incidentes: Sepa cómo desconectar su instancia rápidamente si se detecta un compromiso
• Contacto de abuso guardado: Contacto de soporte de AlexHost almacenado y accesible independientemente del propio servidor

Preguntas frecuentes

¿Qué ocurre si mi VPS es hackeado y comienza a enviar spam antes de que me dé cuenta?

AlexHost distingue entre abuso intencional y compromiso del servidor. Si se le notifica sobre spam originado desde su instancia, responda de inmediato, desconecte el servicio afectado y abra un ticket de soporte con los detalles de sus pasos de remediación. Se proporcionará una ventana de remediación razonable. La falta de respuesta o los incidentes repetidos resultarán en suspensión independientemente del estado de compromiso alegado.

¿Puedo ejecutar un laboratorio de pruebas de penetración o un entorno de investigación de seguridad en un VPS?

La investigación de seguridad está permitida siempre que todas las pruebas se limiten a infraestructura de su propiedad o para la que tenga autorización escrita explícita para probar. Escanear, sondear o atacar cualquier IP de terceros — incluso como parte de un ejercicio “controlado” — viola la AUP. Para entornos de prueba de alto volumen, se recomienda encarecidamente un Servidor Dedicado para evitar cualquier impacto en la infraestructura de red compartida.

¿Recibiré una advertencia antes de que mi cuenta sea suspendida por una infracción?

Depende de la categoría de la infracción. Los incidentes de primera vez de menor gravedad típicamente reciben una advertencia con un plazo de remediación. Las infracciones graves — participación activa en DDoS, CSAM, infraestructura de carding — resultan en suspensión inmediata sin advertencia previa. La gravedad de la infracción, no el historial de la cuenta, determina el nivel de respuesta.

¿Por qué está prohibido “probar” un ataque DDoS contra mi propio servidor?

Porque la infraestructura de red física es compartida. El tráfico de alto volumen dirigido a la IP de su VPS atraviesa los mismos enlaces utilizados por otros clientes en el mismo nodo host y segmento de red. La red no puede distinguir el tráfico de prueba de un ataque real. La congestión, la pérdida de paquetes y la latencia causadas por su “prueba” son reales y afectan a clientes reales.

¿Cuál es la forma más rápida de eliminar mi IP de una lista negra tras un compromiso?

Primero, elimine completamente la fuente del abuso — elimine los scripts maliciosos, rote todas las credenciales, parchee la vulnerabilidad explotada y verifique con la monitorización de tráfico saliente que el abuso ha cesado. Luego envíe solicitudes de eliminación directamente a cada lista negra (SpamHaus, SpamCop y AbuseIPDB tienen portales de eliminación basados en web). Simultáneamente, notifique al soporte de AlexHost con evidencia de la remediación. Algunas listas negras se eliminan automáticamente después de un período de inactividad; otras requieren revisión manual. Las inclusiones en SpamHaus SBL en particular requieren una remediación demostrada y pueden tardar varios días en resolverse.