Sí: Drupal Steward cuesta desde US$15 al mes por dominio y conviene cuando nadie en tu equipo puede aplicar el parche crítico el mismo día.
Qué es Drupal Steward y qué protege realmente
Cuando el Drupal Security Team anuncia un parche de severidad crítica, el reloj empieza a correr. El aviso advierte que los exploits pueden aparecer en cuestión de horas, y para un sitio pequeño eso significa una sola cosa: o actualizas esa noche, o quedas expuesto.
Drupal Steward cambia ese orden. Es un servicio de virtual patching: un firewall de aplicación web (WAF) gestionado que el Drupal Association y el Drupal Security Team operan en conjunto, y que se interpone entre los visitantes y tu sitio. Cuando el Security Team conoce una vulnerabilidad crítica, configura una regla que bloquea la petición antes de que llegue al núcleo de Drupal. Tú sigues con tu calendario de actualización normal, pero el hueco ya está tapado a nivel de red.
Vale la pena ser preciso sobre el alcance, porque aquí hay malentendidos que cuestan dinero:
- Cubre vulnerabilidades explotables masivamente. Es decir, las que un atacante puede lanzar contra cualquier sitio sin autenticarse, con una petición estándar.
- Bloquea en la capa de request, no en el código. La regla vive en la infraestructura, no en tu instalación.
- No reemplaza el parche. Es una protección temporal. Una vez aplicas la actualización, la regla deja de ser necesaria.
- No cubre ataques internos ni vulnerabilidades que requieren autenticación o condiciones especiales de configuración.
La documentación oficial lo resume en su FAQ de Steward: Steward te da una ventana para actualizar sin exponerte, no una póliza de seguro de por vida.
Cuánto cuesta Drupal Steward para una pyme
El tier comunitario arranca en US$15 al mes por dominio e incluye 100.000 peticiones mensuales por dominio, según la página oficial del servicio. Cada 10.000 peticiones adicionales cuestan US$0,100.
El cobro escala con el tráfico, no con el tamaño del negocio. Con esa tarifa, los ejemplos reales quedan así:
- Un sitio con 1 millón de peticiones al mes paga alrededor de US$24/mes.
- Un sitio con 10 millones de peticiones al mes paga unos US$114/mes.
La configuración es a nivel de DNS y toma unos 30 minutos. Además, si tu sitio está alojado en Acquia, Pantheon, Ironstar o Skpr, ya tienes Steward incluido en el hosting y no necesitas contratarlo aparte.
Para ponerlo en contexto colombiano: un e-commerce de pyme con tráfico moderado cae casi siempre en la primera franja. La barrera de entrada no es el precio; es entender si el servicio aplica a tu caso. Si no sabes tu volumen de peticiones, ese dato lo tienes en tu panel de hosting o en tu CDN.
El costo oculto de actualizar de urgencia
El argumento de negocio que da el propio Drupal Association es el que casi nadie calcula: mantener al equipo despierto durante una ventana crítica cuesta miles de dólares en ingeniería no planeada.
Piénsalo en horas reales. Un parche crítico activa una cadena que empieza a las 8 de la noche:
- Alguien monitorea el anuncio del Security Team.
- El responsable técnico interrumpe su vida personal, entra al servidor y evalúa el riesgo.
- Se hace respaldo, se aplica el parche y se revisan los módulos contrib compatibles.
- Se prueba el sitio y se despliega a producción.
- Se verifica que nada se rompió y se documenta.
Eso son entre 3 y 8 horas de trabajo no planeado, con el riesgo de cometer un error por prisa. En un equipo externo se factura a tarifa de urgencia; en un equipo interno, se traduce en un desarrollador que no trabajó en la hoja de ruta al día siguiente. Frente a eso, los US$15 mensuales son un costo fijo y previsible.
No se trata de que el WAF sea "mejor" que actualizar. Se trata de que la actualización de emergencia tiene un precio real que rara vez aparece en la factura del hosting.
Drupal Steward vs actualizar el core
No es una elección entre uno u otro. Es una secuencia.
Actualizar el core es la solución definitiva: elimina la vulnerabilidad de tu instalación y requiere que alguien con conocimientos lo haga bien, con respaldo y pruebas.
Drupal Steward es la red de seguridad debajo de esa ruta. Te permite no correr desesperado por un parche a las 11 de la noche. Cuando lo combinas con un plan de mantenimiento, el resultado es:
- El sitio queda bloqueado para explotación masiva desde el primer minuto.
- El equipo aplica el parche en la siguiente ventana de trabajo, con calma.
- Nadie se queda en vela por algo que se puede resolver al día siguiente.
La combinación sensata para una pyme colombiana con Drupal es tener actualizaciones gestionadas más Steward como capa de contención. Ninguna de las dos sobra.
Cuándo no vale la pena para una pyme
Ser honesto aquí es parte del trabajo. Steward no es para todos.
- Si tu sitio es una landing estática o sin base de datos expuesta, el riesgo real de estas vulnerabilidades de Drupal es bajo.
- Si tienes un equipo que actualiza el mismo día, ya tienes la protección equivalente; Steward sigue siendo útil como colchón, pero no es urgente.
- Si tu Drupal está muy desactualizado, el problema no es la ventana de un parche: es que llevas años sin mantenimiento y ningún WAF arregla eso. Ahí lo que corresponde es migrar.
- Si el tráfico es tan alto que la franja de precio te pesa, evalúa primero CDN y hosting con WAF incluido.
La regla práctica: si recibes avisos de parches críticos y no tienes a nadie que los aplique con seguridad el mismo día, Steward es barato para lo que evita. Si tienes un plan de mantenimiento sólido, es un extra razonable, no una obligación.
Vale hablar del otro lado del cálculo: el costo de una brecha. Un sitio comprometido puede significar datos de clientes expuestos, caída de ventas, pérdida de posicionamiento en Google y, en Colombia, obligaciones frente a la Ley 1581 de protección de datos personales. Las cifras exactas varían por caso y por proveedor; ninguna compañía seria te da un número único. Lo que sí es seguro: reparar un sitio hackeado casi siempre cuesta más que el año completo de Steward.
Preguntas frecuentes
¿Drupal Steward reemplaza la actualización del core?
No. Steward bloquea la explotación de una vulnerabilidad conocida en la capa de red mientras aplicas el parche. Es una protección temporal; la solución definitiva sigue siendo actualizar Drupal a la versión corregida. La documentación oficial lo aclara: no sustituye el parche, solo te da tiempo.
¿Cuánto cuesta Drupal Steward exactamente?
El tier comunitario arranca en US$15 al mes por dominio e incluye 100.000 peticiones mensuales. Cada 10.000 peticiones adicionales cuestan US$0,100. Así, un sitio con 1 millón de peticiones paga cerca de US$24 al mes, y uno con 10 millones, unos US$114. El precio depende del tráfico, no del tamaño de la empresa.
¿Sirve para un sitio en Drupal 7?
No resuelve el problema de fondo. Si tu sitio corre Drupal 7 sin soporte oficial, la prioridad no es un WAF sino migrar a una versión vigente. Steward protege las versiones soportadas, no instalaciones abandonadas.
¿Qué vulnerabilidades no cubre Drupal Steward?
Solo cubre las explotables masivamente y bloqueables en la capa de request. No protege contra ataques que requieren autenticación, configuraciones mal hechas ni vulnerabilidades del hosting o de módulos de terceros. Es una capa, no toda la seguridad.
¿Cómo sé si mi sitio necesita Drupal Steward?
Si recibes avisos de parches críticos y no tienes a alguien que los aplique con seguridad el mismo día, el servicio es una inversión barata. Si tu equipo actualiza de inmediato y tienes prácticas sólidas de respaldo y pruebas, es un extra razonable.
En Saibher implementamos sitios y e-commerce en Drupal con licencia vitalicia, sin mensualidad, además de ERP y POS a medida para pymes colombianas, y te ayudamos a decidir si tu caso realmente necesita un WAF gestionado o solo un plan de mantenimiento serio. Cuéntanos qué tienes hoy montado y te damos una recomendación sin compromiso: escríbenos por el formulario de contacto en saibher.com o por WhatsApp y te mandamos la cotización.
