Willy: El capítulo de hoy es: CloudFlare segurida y sitios.

Willy: Patty, hoy toca entender qué obtiene un sitio cuando apunta sus nameservers a Cloudflare. Y la idea clave es que estos servicios se activan por dominio, o por zona. Casi todo lo básico está en el plan Free; al pagar aumentan las reglas, las opciones avanzadas y el soporte.

Patty: Ah, o sea que Cloudflare pasa a ser el DNS autoritativo. Yo sigo creando registros A, CNAME y demás, pero es Cloudflare quien responde por el dominio.

Willy: Exacto. En la práctica puedes tener registros de sobra, aunque hay límites puntuales, como comentarios de cien caracteres y la ausencia de etiquetas en Free. Además, DNSSEC es gratuito. Y cada registro puede usar nube naranja o nube gris.

Patty: La naranja significa proxied: el tráfico atraviesa Cloudflare, recibe protección y caché, y la IP real del servidor queda oculta. Con DNS only, la nube gris, Cloudflare solo resuelve el nombre y el visitante llega directamente al origen, sin esa protección.

Willy: Eso es. Y comprar el dominio mediante Cloudflare Registrar es otra cosa: se cobra aparte, aunque al precio mayorista y sin margen.

Patty: ¿Qué ocurre al activar el proxy?

Willy: Entra en juego la CDN. Imágenes, CSS y JavaScript pueden guardarse cerca del visitante. Es como dejar copias del producto en varias sucursales, en vez de enviarlo siempre desde la bodega central. Así reduces carga y mejoras velocidad. Free incluye diez Cache Rules por zona y, por defecto, respeta el Cache-Control del origen. También ofrece HTTP/2, HTTP/3 con QUIC, 0-RTT y compresión Brotli sin coste adicional.

Patty: ¿Y HTTPS? ¿Tengo que comprar un certificado?

Willy: No para lo habitual. Universal SSL emite y renueva automáticamente un certificado gratuito. Luego eliges Flexible, Full o Full strict, según cómo se cifra el tramo entre Cloudflare y tu servidor. Lo recomendable suele ser Full strict con certificado válido en el origen.

Patty: Hay un detalle para aplicaciones delicadas: gzip o Brotli pueden transformar un ETag en débil, con formato W barra comillas. Si la aplicación compara ETags manualmente, como ocurrió en el caso Racing Ecuador, puede comportarse distinto. También existen certificados personalizados y mTLS desde Free, aunque con limitaciones mediante Authenticated Origin Pulls.

Willy: En seguridad, la protección DDoS estándar está siempre activa, incluso en Free, y es no medida para capas 3 a 7. Cubre ataques HTTP y de red L3 y L4. Se pueden personalizar reglas gestionadas; la protección adaptativa completa, en cambio, queda principalmente para Enterprise con add-on, mientras los demás planes reciben reglas de error.

Patty: Luego está el WAF. Todos tienen el Cloudflare Free Managed Ruleset, pero el conjunto completo de Cloudflare y OWASP empieza en Pro. Para reglas propias, Free permite cinco, Pro veinte, Business cien y Enterprise mil. Las expresiones pueden revisar, por ejemplo, si la ruta contiene /admin, pero regex solo está disponible desde Business.

Willy: Y para limitar solicitudes por IP, Free incluye una regla de rate limiting, Pro dos y Business cinco. Los campos disponibles crecen con el plan: desde ruta y bot verificado hasta host, consulta, método, IP de origen o User-Agent.

Patty: Por último, Bot Fight Mode en Free detecta bots sencillos, como navegadores headless, y les impone un reto computacional costoso. Es útil, pero se aplica a todo el tráfico del dominio y no permite ajuste fino. En resumen: la nube naranja reúne rendimiento y protección; la gris deja a Cloudflare únicamente como DNS.

Willy: Patty, seguimos con herramientas de Cloudflare que pueden usarse incluso en el plan gratuito. Empecemos por Turnstile, el CAPTCHA sin fricción.

Patty: Ah, el que verifica si eres humano sin obligarte a buscar semáforos en nueve fotos.

Willy: Exacto. Además, puedes insertarlo en cualquier formulario, aunque el dominio no esté gestionado por Cloudflare. El plan Free admite hasta veinte widgets, diez hostnames por widget y verificaciones ilimitadas. Conserva siete días de analítica, pero muestra la marca de Cloudflare.

Patty: Y Enterprise elimina la marca, ofrece widgets ilimitados, hasta doscientos hostnames y treinta días de historial. El precio, eso sí, se consulta con ventas.

Willy: Luego están las reglas de tráfico. Todas las familias principales existen desde Free, aunque con menos cupo. Por ejemplo, tienes diez Configuration Rules para cambiar ajustes según una condición, como desactivar minificación en una ruta.

Patty: También diez Origin Rules para cambiar el servidor o puerto de destino, y diez Transform Rules para reescribir URLs o cabeceras. Es como decir: si llega una petición con estas características, modifícala antes de continuar.

Willy: Para redirecciones hay diez Single Redirects con expresiones o comodines. Si necesitas migrar miles de páginas, Bulk Redirects permite quince reglas, cinco listas y hasta diez mil URLs. Las antiguas Page Rules siguen disponibles, pero solo tres y están en desuso.

Patty: O sea, mejor construir lo nuevo con reglas específicas. ¿Y la analítica web?

Willy: Web Analytics es gratuita, sin cookies y orientada a privacidad. En sitios con nube naranja no hay límite. Para sitios no proxied añades un script JavaScript y puedes medir hasta diez sitios. Ese script funciona por separado; no depende del archivo _headers ni de reglas propias del sitio.

Patty: Hablemos de acceso remoto. Cloudflare Tunnel, usando cloudflared, expone un servicio interno sin abrir puertos del router. La conexión sale cifrada hacia Cloudflare, y gratis hay hasta mil túneles y mil rutas por cuenta.

Willy: Cloudflare Access añade login con Google, GitHub o códigos por correo, sin una VPN tradicional. El nivel gratuito suele contemplar hasta cincuenta usuarios, pero conviene comprobarlo al contratar porque cambia con frecuencia.

Patty: Los límites técnicos incluyen quinientas aplicaciones, quinientas políticas reutilizables y mil reglas por aplicación. También cincuenta dominios por aplicación, certificados raíz mTLS, tokens de servicio y proveedores de identidad. Gateway, WARP y DLP forman parte de la misma suite, con cupos gratuitos limitados.

Willy: En correo hay una distinción importante: Email Routing permite recibir mensajes de tu dominio y reenviarlos gratis, sin límite, a Gmail u Outlook.

Patty: Pero enviar por API o SMTP requiere Workers Paid. Incluye tres mil correos mensuales y después cuesta 0,35 dólares por cada mil. Enviar a una dirección propia ya verificada sí puede ser gratis. Cada correo admite cincuenta destinatarios, hasta 998 caracteres de asunto y normalmente cinco MiB; hacia direcciones verificadas, veinticinco MiB.

Willy: Cloudflare Registrar vende dominios a precio de costo, sin margen de reventa, pero es un servicio aparte, no una ventaja incluida en Free.

Patty: Y cerramos con certificados: Universal SSL cubre el dominio principal y subdominios de primer nivel. Para niveles más profundos hacen falta certificados adicionales. Advanced Certificate Manager es un complemento de pago, mientras que Keyless SSL y los certificados de cliente avanzados son Enterprise.

Willy: En resumen: el plan gratuito da bastante margen, pero la automatización avanzada de bots —Super Bot Fight Mode y Bot Management con control por regla— exige Pro o superior.

Willy: Creado por wrcp20@gmail.com. Sígueme para más contenido.