Caso de estudio · Infraestructura y DevOps
Bastion: una flota de apps self-hosted blindada
Un mini PC corriendo una flota en producción: reverse proxy, TLS automático, gateway 2FA, monitoreo, alertas, backups y una docena de apps, con 99.9% de uptime.
- Sector
- Ingeniería de plataformas
- Duración
- operación en curso
- Año
- 2026
- Servicios
- DevOps, Hardening de seguridad, Monitoreo
El problema
La respuesta por defecto a “dónde corremos esto” se ha vuelto una pila de suscripciones cloud, cada una facturando al mes, cada una reteniendo un trozo de tus datos, cada una con su propia historia de seguridad. Para una flota de herramientas internas y productos, eso es complejidad alquilada. La alternativa contra la que todos te advierten, el self-hosting, fracasa en la práctica por una razón: se suele hacer como hobby, no como operaciones.
Qué construimos
Una plataforma de nivel producción en hardware propio, operada como si importara. Cada aplicación se despliega igual y hereda la misma línea base de seguridad y observabilidad:
- Una sola puerta de entrada. Un reverse proxy Traefik termina TLS para cada app con emisión y renovación automáticas de Let’s Encrypt, HSTS, security headers y rate limiting aplicados a toda la flota por middleware, no por la buena voluntad de cada app.
- Defensa en profundidad. SSH solo con llaves y jails de fail2ban, un gateway 2FA con códigos de Telegram delante de las superficies de administración, aislamiento de red por app para que las bases de datos nunca sean alcanzables desde la red del proxy, y secretos confinados en archivos env por app.
- Monitoreo que asume el fallo. Tres capas independientes: métricas del host con alertas, checks de uptime de caja negra sobre cada servicio, y un monitor de seguridad que barre cada cinco minutos en busca de intentos de fuerza bruta, agotamiento de recursos y contenedores muertos. Todo escala a Telegram en segundos.
- Deploys como patrón, no como arte. Cada app es un repo git con un archivo compose y un overlay de producción. Desplegar es pull, build, up. El patrón está documentado tan bien que un agente de IA lo ejecuta sin asistencia.
Resultado
99.9% de uptime medido, costo mensual de hosting cercano a la factura de la luz, y un activo que se acumula: cada producto nuevo se lanza a un entorno donde TLS, auth, monitoreo y backups ya existen. Esta flota es además nuestra prueba de competencia: cuando decimos “lo desplegamos y lo operamos”, esto es lo que significa operar.