IIS 6 (Windows Server 2003)

Por qué entonces

En 2003 elegir IIS 6 era lo sensato para una administración con dominio Active Directory montado. Se integraba con la autenticación de Windows, lo administraba el mismo equipo que llevaba los servidores de ficheros y no hacía falta contratar perfiles de Unix. IIS 6 fue además la respuesta de Microsoft a los desastres de seguridad de IIS 5 (los gusanos Code Red y Nimda, en 2001): salió con los servicios apagados por defecto y fue, en su momento, un salto de seguridad real.

Qué pasó

Windows Server 2003 terminó su soporte extendido el 14 de julio de 2015. Desde esa fecha Microsoft no publica parches para el sistema ni para IIS 6, salvo contratos de soporte extendido de pago que hoy ya no se ofrecen.

Por qué está mal hoy

No es que sea antiguo: es que cualquier fallo descubierto después de 2015 sigue abierto y nunca se va a cerrar. Un servidor con IIS 6 en 2026 lleva más de una década acumulando vulnerabilidades sin parche. Además no habla los protocolos actuales en condiciones: TLS 1.2 hay que forzarlo a mano y HTTP/2 no existe.

En lo público

Un IIS 6 vivo casi nunca es una web olvidada sin más: suele ser una aplicación que alguien sigue usando y que nadie se atreve a tocar porque no queda documentación ni el proveedor original. Es el retrato exacto de la deuda técnica pública: no falta dinero para migrarlo, falta saber qué hace.

El arreglo

Migración de la aplicación a una versión soportada de Windows Server con IIS 10, o reescritura si la aplicación es ASP clásico. Mientras tanto, un proxy inverso moderno delante limita la exposición pero no arregla el fondo.