FortiCare y FortiGuard: qué pagas cada año por tu FortiGate (y por qué ya no hay 8x5)

Llega la renovación anual del FortiGate. El documento dice algo como "UTP 24x7", trae un número con varios ceros, y aterriza en el escritorio del director con una pregunta que se repite en cada empresa: "ya compramos el equipo hace tres años, ¿qué es esto que estamos pagando otra vez?".

Es una de las confusiones más caras del mundo Fortinet, porque de la respuesta depende que renueves bien, de más, o —lo peor— que dejes vencer algo que no sabías que tenías. Vamos a decodificarlo, y de paso a contar por qué el recibo de hoy se ve distinto al de hace unos años.

Son dos cosas distintas bajo el mismo recibo

Lo primero que hay que separar: el FortiGate te cobra por dos cosas que suenan parecido y no lo son. FortiCare y FortiGuard.

• FortiCare es el soporte. Es tu derecho a abrir tickets con el TAC de Fortinet, a la garantía extendida y al reemplazo por RMA cuando el hardware falla, y a las actualizaciones de firmware. Sin FortiCare activo no tienes a quién llamar cuando algo se rompe, y el reclamo de garantía se complica. Es el "quién me ayuda y quién me repone el equipo".
• FortiGuard son los servicios de seguridad. Es la inteligencia que mantiene al equipo viendo amenazas nuevas: las firmas de IPS y antivirus, el filtrado web, el antispam, el control de aplicaciones, las listas de botnets. Es el "qué sabe reconocer tu firewall hoy que no sabía ayer".

La distinción importa porque fallan distinto —y aquí hay un matiz que casi nadie explica, porque FortiGuard en realidad son dos tipos de servicio. Los que se basan en firmas que se descargan al equipo —IPS, antivirus, control de aplicaciones— siguen operando con las firmas viejas cuando vence el contrato: el FortiGate sigue prendido y pasando tráfico, pero ciego a lo que apareció después de la fecha de corte. Ese es el peligro silencioso, porque no se nota: todo "funciona".

Pero los servicios que dependen de consultas en vivo a la nube de FortiGuard —sobre todo el filtrado web por categorías, el filtrado DNS y el antispam— fallan de otra manera, y esa sí se nota, de inmediato. Al vencer, las consultas de categoría dejan de responder, y según cómo tengas configurado el manejo del error de rating, el equipo empieza a bloquear todo o a dejar pasar todo. El teléfono suena el mismo día: "no me abre ninguna página" o, peor y en silencio, "ya entra a todo lo que antes bloqueabas". Saber qué servicio vence te dice si el síntoma será un apagón visible o una ceguera callada.

Y si dejas vencer FortiCare, el día que el hardware falle o necesites al TAC descubres que no tienes derecho a ninguno de los dos. Un firewall sin suscripción no es un firewall roto; es un firewall que se quedó en el pasado sin avisarte —o que, con el filtrado web caído, te avisa a gritos.

El bundle: por qué se venden juntos

En la práctica casi nadie compra FortiCare y FortiGuard por separado: Fortinet los empaqueta. Hoy el paquete más común se llama UTP — Unified Threat Protection, e incluye el soporte FortiCare más el grueso de los servicios FortiGuard. Hay paquetes más chicos (solo lo esencial de inspección) y más completos (con servicios adicionales para entornos grandes), pero UTP es el que verás en la mayoría de las renovaciones de una PYME o empresa mediana.

Y aquí es donde el recibo de hoy se ve distinto al de hace unos años.

Un poco de historia: cuando existía el 8x5

Quienes llevamos suficiente tiempo en esto nos acordamos del modelo anterior —y no es nostalgia, está en los catálogos. Hasta hace unos años, el mismo firewall se vendía con el soporte en dos modalidades a elegir según el bolsillo: 8x5 —horario de oficina, de lunes a viernes— y 24x7, más caro. Si el presupuesto apretaba, tomabas el 8x5 y asumías que un problema del sábado esperaba al lunes. Y el paquete de servicios de seguridad no se llamaba UTP: se llamaba UTM Bundle (Unified Threat Management).

¿La prueba de que el 8x5 era una opción de primera clase y no un detalle menor? En aquellas listas existía incluso un renglón cuyo único propósito era migrar de 8x5 a 24x7. Nadie crea un producto de migración para algo que no importa: el 8x5 era una decisión de compra deliberada, con su precio, que miles de empresas tomaron.

Compara eso con el catálogo de hoy y el 8x5 simplemente desapareció. En la lista vigente del mismo tipo de equipo no queda un solo renglón de soporte en horario de oficina: cada nivel y cada bundle nace en 24x7, y la única opción más económica es un soporte solo por web, no un 8x5 telefónico. Y el "UTM Bundle" de entonces hoy se llama UTP. No hace falta un comunicado que lo anuncie; los dos catálogos, a una década de distancia, lo dicen solos.

Cómo leer ese cambio (las dos lecturas, y las dos son ciertas)

La lectura generosa —y es verdad— es que Fortinet reconoció una realidad incómoda: la seguridad no tiene horario de oficina. Un ataque no espera al lunes, y un soporte 8x5 para un dispositivo de seguridad siempre fue un poco una ficción: la mitad del riesgo vive fuera del horario laboral. Mover todo a 24x7 alinea el soporte con la naturaleza real del problema. En eso el cambio maduró el modelo.

La lectura honesta —y también es verdad, porque la credibilidad vive en los matices— es que para el cliente eso significó un piso de precio más alto sin la opción barata. Ya no puedes elegir el 8x5 para ahorrar; entras al 24x7 o no entras. Para una empresa que solo quería lo mínimo, fue un aumento efectivo. Pretender que fue puro beneficio sería venderte humo.

Nuestra postura, sin adornos: para un dispositivo que es tu perímetro de seguridad, el 24x7 es lo correcto —pero conviene entrar sabiendo que estás pagando por una cobertura real de tiempo completo, no por una etiqueta. Y ahí es donde el quién opera ese soporte cambia todo, como veremos al hablar del TAC de Fortinet más adelante en esta serie.

La trampa de la renovación

El error más común no es pagar de más: es dejar vencer sin darte cuenta. Porque, como dijimos, un FortiGate con FortiGuard vencido sigue funcionando —solo que ciego. Pasan meses, nadie nota nada, hasta que entra algo que una firma actualizada habría detenido. Y reactivar después de vencido no siempre es tan simple ni tan barato como renovar a tiempo.

Hay algo más que revela comparar los catálogos a lo largo de los años: hace una década, ese contrato anual compraba, en esencia, firmas y soporte. Hoy el mismo renglón puede incluir SD-WAN, acceso seguro tipo SASE, prevención de fuga de datos, seguridad para entornos OT, hasta monitoreo administrado 24x7. El FortiGate dejó de ser "un firewall con suscripción de firmas" y se volvió una plataforma. Eso es más valor real —y también más superficie que mantener vigente. Saber qué de todo eso de verdad usas es la diferencia entre renovar con criterio y firmar un número.

Por eso la renovación de estos servicios no es un trámite administrativo que se atiende cuando llega el correo de Fortinet: es parte de mantener el equipo operado. Cuando administramos el perímetro Fortinet de un cliente, el control de vencimientos, el registro de los equipos y la renovación a tiempo son parte del servicio —precisamente para que nadie descubra, el peor día, que el firewall llevaba medio año ciego o sin derecho a soporte. Lo que pagas cada año no es "otra vez el equipo": es que el equipo siga siendo capaz de hacer su trabajo mañana.