Sí hace falta. El router de la operadora te da internet y frena lo básico que intenta entrar, pero no controla lo que sale de tus equipos ni a dónde preguntan en internet. Es justo lo que encontramos con más frecuencia cuando llegamos a una empresa que solo tiene ese router: los equipos salen a todo, sin ningún control. Este artículo explica qué falta, cuánto cuesta ponerlo y qué se ve en un cortafuegos real durante una semana.
Es una de las preguntas que más nos hacen en la primera reunión: "ya tengo router, y la operadora dice que lleva su propio cortafuegos". Tiene sentido preguntarlo. La respuesta corta es que lleva uno, pero para otro trabajo.
Qué hace de verdad el router de la operadora
El router da la salida a internet, reparte direcciones a los equipos y normalmente lleva un cortafuegos básico. Ese cortafuegos deja pasar lo que tú has pedido y frena lo que llega sin que nadie lo haya pedido. Para una casa es razonable.
Una empresa de 20 personas, con facturas, datos de clientes y un servidor, necesita algo más. El router no es malo: está pensado para dar internet, no para vigilar una red de trabajo. En muchos modelos, además, la configuración avanzada la lleva la operadora y tú no puedes tocar las reglas.
Lo que no controla: lo que sale
Lo que encontramos más a menudo en una empresa que solo tiene el router de la operadora es esto: nadie controla el tráfico saliente ni el DNS. Los equipos salen a todo, sin control, y no hay ningún control sobre la red.
El tráfico saliente es todo lo que tus equipos mandan hacia internet. Si no hay reglas, un portátil infectado o un programa que nadie ha autorizado puede enviar datos fuera y nadie lo ve. Con reglas escritas, lo que no debe salir no sale, y queda anotado.
El DNS es la agenda que convierte el nombre de una web en su dirección. Cada vez que alguien hace clic en el enlace de un correo, su equipo pregunta a esa agenda. Si nadie la filtra, se contesta todo lo que se pregunte, incluido un dominio de fraude creado ayer. Con el DNS filtrado, esa web peligrosa se bloquea antes de que el equipo llegue a conectarse.
Con el router tienes internet. Con el cortafuegos sabes qué está haciendo tu red con él.
Qué cambia con un cortafuegos gestionado
| Qué se controla | Router de la operadora | Cortafuegos gestionado |
|---|---|---|
| Lo que entra | Bloqueo básico | Reglas a medida y detección de intentos de intrusión |
| Lo que sale | Normalmente sin reglas | Reglas escritas para tu empresa |
| El DNS | El que llegue de la operadora, sin filtrar | Filtrado de dominios fraudulentos o de mala reputación |
| Quién lo mira | Normalmente nadie, mientras haya internet | Vigilancia 24 horas con alertas |
| Informes | Ninguno | Informe mensual de lo bloqueado |
Además de eso, el cortafuegos bloquea países y direcciones peligrosas conocidas, se actualiza con los parches de seguridad y da acceso remoto cifrado a quien teletrabaja. Todo se lleva con pfSense, una tecnología abierta, así que la configuración es tuya y te la puedes llevar si algún día cambias de proveedor.
Una semana en un cortafuegos real
Esto es una semana, del 3 al 9 de octubre de 2026, en uno de los cortafuegos que gestionamos: 140.852 conexiones entrantes bloqueadas, 15.513 salientes y unas 5.080 consultas DNS bloqueadas.
Las entrantes son las que un router también frena en parte. Las otras dos son las que un router de operadora normalmente deja pasar: conexiones que salían de la red hacia sitios que una regla consideró peligrosos, y consultas a dominios que no tenían que resolverse. Sin cortafuegos, esas más de 20.000 habrían salido con normalidad y nadie se habría enterado.
Las 140.852 entrantes las ve cualquier cortafuegos. Las que más dicen de una empresa son las que salen, porque cada una es un equipo de tu red hablando con alguien con quien no debería.
¿Hay que quitar el router de la operadora?
No hace falta cambiar de operadora ni de fibra. La línea la sigues contratando con tu operador, y si hay que hablar con él, lo hacemos nosotros, para que no pierdas una mañana al teléfono con su centralita.
La instalación se hace en paralelo: montamos el nuevo cortafuegos mientras tu red sigue funcionando y el cambio se da en una ventana que pactamos, normalmente fuera de horario. La mayoría se completa en 7 a 14 días, y el corte real dura minutos.
Cuánto cuesta
| Concepto | Precio |
|---|---|
| Cortafuegos gestionado | desde 40 €/mes |
| Instalación y configuración inicial | desde 300 €, pago único |
| Vigilancia 24 horas y alertas | incluida |
| Soporte de lunes a viernes, de 9:00 a 17:30 | incluido |
| Urgencias fuera de horario | 120 €/hora |
| Permanencia | ninguna, 1 mes de preaviso |
El contrato es de 12 meses. El precio final depende del número de sedes, de cuántos cortafuegos hagan falta y de lo compleja que sea la red.
Son 480 € al año por el cortafuegos, sin contar la instalación. Si hace falta un equipo nuevo, switches o puntos de acceso, se presupuesta aparte y lo apruebas tú antes. Lo mismo con el cableado y las líneas de internet: no entran en la cuota.
Cómo saber si tu empresa está en este caso
Cuatro preguntas que se contestan sin entender de redes:
- ¿Sabes a dónde se conectan tus equipos cuando salen a internet? Si nadie lo ha mirado nunca, lo normal es que no haya reglas.
- ¿Quién ha mirado alguna vez lo que bloquea tu red? Si la respuesta es "nadie", no hay nada que bloquee.
- ¿El WiFi de las visitas está separado de la red de trabajo? Si no lo está, los móviles de las visitas comparten red con tus equipos.
- ¿Sabes quién puede entrar a tus equipos desde fuera? Un acceso remoto que nadie recuerda es una puerta abierta.
Si respondes "no sé" a dos o más, es probable que estés en el caso que más encontramos.
Qué hacer ahora
Lo más rápido es mirarlo con datos. La auditoría gratuita revisa 243 puntos, entre ellos qué hay entre tu red e internet, y te dice qué tienes y en qué estado está. El informe es tuyo, contrates o no.
Si quieres ver el servicio entero antes de decidir, está en la página de seguridad de red. Y si te interesa ver qué pasa en un solo día, lo contamos en lo que bloquea el cortafuegos de una empresa en un solo día.
Preguntas frecuentes
¿El router de mi operadora no hace ya de cortafuegos?
Trae uno básico, pensado para frenar lo que intenta entrar desde internet. Lo que normalmente no hace es controlar lo que sale de tus equipos ni a qué dominios se conectan, que es donde aparecen los problemas de verdad. Para eso hace falta un cortafuegos con reglas propias.
¿Qué significa controlar el tráfico saliente?
Decidir a qué puede conectarse cada equipo y cada servicio de tu red hacia internet. Sin ese control, un portátil infectado o un programa que nadie ha autorizado puede enviar datos fuera sin que lo veas. En un cortafuegos gestionado se escriben reglas para lo que sale y se bloquea lo que no debe salir.
¿Qué es controlar el DNS y para qué sirve?
El DNS es la agenda que convierte el nombre de una web en su dirección. Si lo controlas, puedes bloquear dominios fraudulentos o de mala reputación antes de que el equipo llegue a conectarse. Si no lo controlas, se contesta todo lo que se pregunte, también lo que viene de un correo falso.
¿Cuánto cuesta un cortafuegos gestionado?
Desde 40 € al mes por cortafuegos, más una instalación inicial desde 300 € (pago único). Incluye vigilancia 24 horas, filtrado de webs peligrosas y las actualizaciones. Si hace falta un equipo nuevo, se presupuesta aparte y lo apruebas tú. El contrato es de 12 meses y se puede dejar con un mes de preaviso.
