La deep web (web profunda) es la parte de la World Wide Web que los buscadores no indexan, como el contenido protegido por inicio de sesión, muros de pago, formularios y bases de datos privadas.
Qué incluye la deep web
Michael K. Bergman popularizó el término en un artículo de 2001 que describía cuánto contenido en línea era invisible para los buscadores. La mayor parte es corriente y legítima:
- bandejas de correo web, banca en línea y cuentas de almacenamiento en la nube;
- intranets corporativas, paneles de administración y wikis internas;
- historiales médicos, bases de datos académicas y noticias de pago;
- páginas dinámicas que solo se generan como respuesta a un formulario de búsqueda.
Las páginas también pueden excluirse a propósito con robots.txt o etiquetas «noindex». La deep web es mucho mayor que la «web superficial» indexada.
Deep web y dark web
Ambos términos se confunden a menudo. La dark web es un pequeño subconjunto de la deep web, oculto a propósito y accesible solo con software especial como Tor. Casi todos los internautas usan la deep web a diario (basta con consultar el correo), mientras que la dark web se asocia al anonimato y, a menudo, a mercados delictivos.
Por qué importa para la seguridad
Como los recursos de la deep web contienen datos sensibles, son un objetivo clave. Las credenciales filtradas o reutilizadas dan a los atacantes acceso a cuentas de correo y banca, lo que expone información de identificación personal. Un error común es suponer que lo no indexado es privado: buckets de almacenamiento en la nube, bases de datos Elasticsearch y paneles de administración mal configurados aparecen con regularidad en escáneres y servicios como Shodan, aunque ninguna página pública enlace a ellos. Investigadores y atacantes usan técnicas de inteligencia de fuentes abiertas para descubrir esos recursos expuestos.
Buenas prácticas
- Proteger cada recurso no público con autenticación robusta y MFA, no solo con la oscuridad.
- No confiar en robots.txt ni en URL difíciles de adivinar para ocultar datos sensibles.
- Analizar con regularidad la superficie de ataque externa propia en busca de bases de datos y paneles expuestos.
