La app de Duolingo es la mejor app gratuita del mundo para aprender idiomas, ya que permite aprender 35 idiomas. En la actualidad, Duolingo es el método más popular para aprender idiomas online y la aplicación más descargada de su categoría en todo el planeta. ¡Y no parece que vaya a parar de crecer! En marzo de 2023, Duolingo registró 72,6 millones de usuarios activos mensuales y 20,3 millones de usuarios activos al día, cifras que representan un aumento interanual del 47 % y el 62 %, respectivamente.
La app líder de formación online refuerza la resiliencia del sitio y simplifica la seguridad con Fastly
El desafío
Los 113 millones de usuarios activos que acceden a Duolingo cada mes confían en la aplicación para aprender idiomas de forma fácil y amena, sin interrupciones que se interpongan entre ellos y un fantástico sistema basado en la ludificación. Los ataques DDoS eran frecuentes y costosos, como descubrió Matt Brandman, Senior Engineering Manager, Platform Security en Duolingo. «Las dos primeras semanas las pasé apagando incendios. Además del impacto en los clientes, el coste de las horas de ingeniería se iba acumulando: un ataque DDoS podía generar cinco problemas distintos y consumir decenas de horas de trabajo de ingeniería», afirma.
El enfoque de Brandman en materia de seguridad en Duolingo se centra en soluciones sistémicas y en la formación del equipo, así que quería implementar una solución de seguridad en el edge que facilitara el trabajo a los desarrolladores y garantizara la resiliencia del sitio. «Como responsable de ingeniería, me importa mucho la relación entre la experiencia de los desarrolladores y la experiencia de seguridad. Con Fastly, es más fácil generar confianza entre los desarrolladores».
Tras varias malas experiencias con proveedores que dejaban de ofrecer un servicio de un día para otro, Duolingo quería un partner conocido por volcarse con sus clientes a largo plazo y en el que su equipo de seguridad pudiera confiar cuando hubiera mucho en juego.
La solución
Fastly ofrece a los desarrolladores la productividad, la fiabilidad y la resiliencia que necesita Duolingo. «El WAF de última generación ya estaba en producción y bloqueaba tanto tráfico que logró reducir considerablemente los ataques DDoS en menos de una semana», afirma Brandman.
La resiliencia de la plataforma te da la flexibilidad para innovar
Los desarrolladores de Duolingo despliegan los servicios más rápido sabiendo que están protegidos por el WAF de última generación en el edge de Fastly. «Pueden poner en marcha un servidor antes, sabiendo que pueden limitar su tráfico si hace falta», dice Brandman. «Y, como Fastly cumple con su trabajo y protege los servicios, no les despiertan por la noche por culpa de incidentes.
Con una cultura DevOps que lleva a cabo cientos de experimentos cada trimestre, Duolingo ha descubierto incluso que el WAF de última generación ofrece resiliencia frente a los experimentos de los desarrolladores que se descontrolan. «Algunos desarrolladores pensaron que les habíamos limitado el ancho de banda. Resultó que su experimento nos estaba enviando decenas de miles de peticiones, así que, en realidad, evitamos que un error interno dejara el sitio fuera de servicio».
La visibilidad ahorra horas de trabajo de ingeniería
Otro problema clave que Fastly resuelve para Duolingo es la visibilidad, lo que permite a Duolingo reaccionar rápidamente ante incidentes de seguridad. «Los paneles de control de Fastly nos dan la visibilidad necesaria para ver que un servicio acaba de recibir 5 millones de peticiones a la vez y sabemos de inmediato que esa es la razón por la que se ha caído», dice Brandman. «El mayor coste para las empresas de ingeniería es el tiempo de desarrollo: el coste de las herramientas es casi insignificante comparado con 30 ingenieros intentando solucionar un problema durante tres horas. Con Fastly, dedicamos como mucho dos o tres horas de ingeniería a resolver un problema: uno o dos ingenieros se ponen manos a la obra, hacen un cambio y lo implementan en producción. El ahorro de costes es tangible y es una de las mayores ventajas de Fastly», afirma.
Los controles pormenorizados ajustan con precisión la seguridad con una práctica herencia
Cada ruta requiere un enfoque de seguridad distinto, por lo que al equipo de Brandman le encanta poder personalizar las reglas con precisión. Según él, una ruta de inicio de sesión necesita más protección. «No quieres permitir 2000 intentos fallidos de inicio de sesión por segundo, porque acabarás teniendo intentos de enumeración». Con el WAF de última generación, podemos especificar con gran precisión qué comportamientos queremos bloquear. Por ejemplo, si alguien ha fallado 30 intentos de inicio de sesión en el último segundo, probablemente no sea un usuario real, así que lo ponemos en un «banco de penalización» durante unos minutos. Teniendo en cuenta la frecuencia con la que cambian las direcciones IP y la cantidad de proxies que hay, el «banco de penalización» es un enfoque mucho mejor que el bloqueo definitivo».
Brandman añade que también resulta muy útil poder poner el WAF de última generación en modo de supervisión, comprobar si se adapta al tráfico y asegurarnos de que no bloquee todo el tráfico antes de activarlo en modo de bloqueo. «Incluso podemos hacerlo ruta por ruta, basándonos en el agente de usuario de la cabecera. Bloquear un agente de usuario específico en una ruta nos da tiempo para implementar una solución más completa». Y lo que es aún más potente, las señales se pueden combinar para crear reglas más amplias. «Una de las cosas que más me gustan del WAF de última generación es lo modular que es», dice Brandman. «Con el tiempo, hemos ido acumulando señales fundamentales, como los agentes de usuario antiguos. Por sí sola, puede que no sea una señal de alerta, pero si vemos un agente de usuario antiguo con diez intentos fallidos de inicio de sesión procedentes de una versión antigua de una app, podemos aplicar un tiempo de espera más largo que al agente de usuario de una versión más reciente de la app. Fastly ofrece la posibilidad de explorar, entender y realizar cambios revisados en este tipo de reglas con facilidad».
Las ventajas de la seguridad automatizada se suman a la flexibilidad de la gestión directa
Los expertos en seguridad de Fastly ponen lo mucho que saben de internet al servicio de Duolingo. Esto incluye las experiencias de otros clientes, lo que han observado en determinados sectores y los vectores de ataque que se encuentran en auge. Fastly analiza los registros de Duolingo con frecuencia para identificar tendencias que la automatización pasa por alto, antes de que alcancen niveles de emergencia. Gracias a esto, Duolingo evita que se produzcan incidentes. Y cuando los equipos internos necesitan un poco de ayuda, el Servicio de Seguridad de Respuesta se pone manos a la obra para echarles una mano. «Al principio, cuando implementamos el WAF de última generación, involucramos al centro de operaciones de ciberseguridad (CSOC) y al equipo de implementación al mismo tiempo. Trabajaron codo con codo mientras lo íbamos resolviendo», dice Brandman.
Brandman dice que cada interacción es una experiencia genial, porque Fastly se toma el tiempo necesario para entender al cliente. «Fastly tiene un equipo técnico que sabe muy bien de lo que habla y que entiende a la perfección nuestra pila tecnológica. Cuando abrimos un ticket en el CSOC, el tiempo de respuesta suele ser de unos minutos. Y no se limitan a mirar un panel de control, sino que escriben scripts y analizan el tráfico. Hacen preguntas acertadas y dan consejos muy útiles sobre cómo proceder, adaptados específicamente a nuestra pila tecnológica. Además, te echan una mano cuando surge un incidente y todo el mundo está ocupado».
Conclusión
Duolingo ha encontrado un partner de seguridad a largo plazo que apuesta tanto por la resiliencia como por la innovación. Una colaboración sólida y un enfoque experto se traducen en una mayor protección, tranquilidad, concentración en las operaciones e innovación por parte de los desarrolladores. «Cuando busques un partner para el WAF y la CDN, piensa en la calidad del equipo con el que vas a colaborar y asegúrate de que sea capaz de seguir el ritmo al trabajo que hacéis en tu organización. Este equipo será una pieza clave del tuyo y su primera línea defensiva. Una relación sólida es sinónimo de buenos resultados durante años, por eso nos decantamos por Fastly», concluye Brandman.