Suponiendo que para un servidor web auto-alojado:
¿Qué tipo de peligros quedan? (Ignorando los agujeros de seguridad en un parche)
Parece que has hecho un buen trabajo cuidando a los sospechosos habituales.
¿Qué tan buenas son tus habilidades de desarrollo web? En mi experiencia laboral, los servidores web mal configurados son el vector de amenaza más común para una violación. Tenerlo solo estático es un buen movimiento. ¿Has desactivado todas las páginas predeterminadas? ¿Está el servidor web actualizado? ¿Ha ejecutado algún análisis de vulnerabilidad contra él (al menos ejecute ZAP, es gratis)? Abrir un puerto de entrada a su red con un servidor es, digamos, más riesgoso, ya que ahora tiene una huella en Internet para que los escáneres lo encuentren. Por supuesto, el enrutador de su casa también se escanea y ataca en forma regular.
Si esto está en su propia red doméstica, y alguien la rompe, está en un lugar realmente malo. ¿Ha considerado alojarlo en AWS o etc? Eso al menos lo separa de los sistemas de su hogar con información crítica sobre ellos. Estoy no diciendo que no hagas esto, como algunos lo harían, pero sugiero altamente la segmentación de la red, sin embargo, lejos del resto de tu red doméstica.
Todavía hay algunos peligros. Por página HTML estática, ¿te refieres solo a HTML (y quizás a CSS), sin javascript o cualquier idioma del lado del servidor?
¿Hay alguna cookie en el sitio web? Por los sonidos de eso no hay. Si no hay PHP y es solo páginas HTML, realmente no hay peligros con respecto a la explotación web (SQLi, XSS, LFI, RFI, XXE, RCE, etc.). Cuando se trata de la seguridad del servidor web real, es importante asegurarse de cerrar todos los puertos excepto los que se necesitan.
Esto cubre el endurecimiento del sitio web (no puede ser más difícil que solo HTML), y también el endurecimiento del servidor web. También es importante fortalecer el software de su servidor web (Apache, nginx, Lighttpd). Esto evitará que cualquier vulnerabilidad potencial con el servidor web permita a alguien rootear sus cajas en el futuro.
Hablando de manera realista, parece que este es un sitio web muy privado que no atraerá mucha atención de todos modos. Siempre hay potenciales para ataques, se inteligente. Además, probablemente deberías considerar usar un servicio como CloudFlare para evitar un ataque DDoS y también para ayudar a ocultar la IP de tu servidor.
Lea otras preguntas en las etiquetas web-hosting iptables port-forwarding