Tanto las pruebas DDoS como las pruebas de carga envían grandes cantidades de tráfico a un sistema, por lo que a menudo se confunden. Sus propósitos son distintos. Las pruebas de carga buscan saber si su aplicación funciona de forma aceptable cuando llegan muchos usuarios reales. Las pruebas DDoS buscan saber si sus defensas resisten cuando el tráfico está diseñado para saturarlas o agotarlas. Elegir la equivocada puede dejar sin respuesta la pregunta real. Esta guía compara ambas y le ayuda a decidir cuál realizar primero.
Lo que es
Las pruebas de carga y de estrés simulan un comportamiento realista de los usuarios: navegar, iniciar sesión, buscar, agregar al carrito, pagar o llamar a API. Las pruebas aumentan el tráfico hasta los niveles esperados y de máxima demanda, y a veces más allá, para encontrar los puntos de ruptura. Los resultados se centran en tiempos de respuesta, tasas de error, rendimiento y uso de recursos, y ayudan a identificar cuellos de botella como consultas lentas a la base de datos, pools de conexiones limitados o un autoescalado que reacciona con demasiada lentitud. Las pruebas de resiliencia ante DDoS simulan patrones de tráfico hostil: inundaciones a nivel de red, agotamiento de conexiones o grandes volúmenes de solicitudes a la aplicación diseñadas para eludir la caché. Los resultados se centran en si los servicios de mitigación, la limitación de tasa, las reglas del WAF y las protecciones upstream detectan y absorben el tráfico, cuánto tardan en hacerlo y qué impacto perciben los usuarios legítimos. Las pruebas de carga tratan principalmente de capacidad y eficiencia; las pruebas DDoS, principalmente de protección y respuesta. Ambas requieren un alcance por escrito, límites seguros y condiciones de parada, y las pruebas DDoS requieren además, en la mayoría de los casos, la aprobación del proveedor.
Para quién es
Esta comparación ayuda a los equipos que:
- Se preparan para un lanzamiento, una campaña o un pico de temporada y quieren tener confianza en su capacidad
- Han contratado una CDN o un servicio de mitigación de DDoS y quieren ver cómo se comporta
- Sufrieron lentitud o caídas del servicio y no saben si la causa fue la carga o un ataque
- Necesitan explicar a la dirección por qué se proponen dos pruebas de tráfico
Qué ayuda a aclarar
Comparar ambas ayuda a aclarar:
- Si su principal riesgo es que la demanda real supere la capacidad o que el tráfico hostil supere la protección
- Qué entorno es adecuado: un sistema de staging similar a producción para las pruebas de carga o una ventana coordinada en producción para las pruebas de resiliencia
- Qué métricas importan: tiempo de respuesta y tasa de error, o detección, tiempo de mitigación e impacto en los usuarios
- Qué proveedores deben ser informados o aprobar la actividad
Qué se incluye
- Elija pruebas de carga si: se acerca un lanzamiento o un pico, el rendimiento es una queja recurrente o ha cambiado la arquitectura o el hosting
- Elija pruebas DDoS si: depende de servicios de mitigación que nunca ha visto en acción, opera un servicio de alta visibilidad o sus clientes o socios preguntan por la resiliencia
- Para pruebas de carga: defina los recorridos de usuario, los volúmenes esperados y de máxima demanda, los datos de prueba y los criterios de éxito
- Para pruebas DDoS: defina los escenarios de ataque, las tasas máximas, las aprobaciones de los proveedores y las condiciones de parada
- Para ambas: acuerde entornos, ventanas, monitoreo, contactos designados y reportes
- Considere la secuencia: corrija los problemas de capacidad detectados en las pruebas de carga antes de probar las protecciones
Qué no se incluye
- Afirmar que alguna de las dos pruebas asegura la disponibilidad o protege frente a todos los eventos de tráfico futuros
- Pruebas sin autorización por escrito ni aprobación del proveedor cuando se requiera
- Monitoreo continuo o respuesta a incidentes, salvo que se definan por separado
- Técnicas detalladas de generación de tráfico
Cuándo elegirlo
Si no está seguro, parta de la pregunta que necesita responder. Si la pregunta es “¿podemos atender a los clientes esperados el día del lanzamiento?”, realice una prueba de carga. Si la pregunta es “¿resistirían nuestras protecciones si alguien intentara dejarnos fuera de línea?”, realice una prueba de resiliencia ante DDoS. Muchas organizaciones hacen ambas en secuencia: pruebas de carga para establecer una línea base saludable y, después, pruebas de resiliencia para evaluar las protecciones frente a esa línea base.
Nuestro enfoque
Defina el éxito antes de probar. Para las pruebas de carga, puede ser un tiempo de respuesta aceptable con un número determinado de usuarios simultáneos. Para las pruebas de resiliencia, puede ser el tiempo que tarda en activarse la mitigación y el nivel de impacto que perciben los usuarios legítimos mientras tanto. Nuestro servicio Application Load & Stress Testing evalúa el comportamiento de la aplicación en escenarios de uso, niveles de carga, entornos y límites de seguridad acordados. Nuestro servicio DDoS Resilience Testing evalúa escenarios de disrupción acordados dentro de límites establecidos por escrito, incluida la coordinación con los proveedores. Cada uno produce observaciones por escrito y recomendaciones priorizadas, y la remediación o el monitoreo continuo pueden añadirse con un alcance acordado por separado. Si planifica ambas, defina su alcance de forma conjunta para que los entornos, los contactos y los formatos de reporte coincidan y los resultados puedan compararse.
Preguntas frecuentes
Artículos relacionados
Empezar
¿Quiere ayuda para elegir la prueba de tráfico adecuada para su situación?
Cuéntenos sobre su aplicación, hosting, proveedores y el evento o riesgo para el que se prepara. Le recomendaremos un alcance de prueba proporcionado.
Solicitar un alcance por escrito