Cuando construyes un sitio web, pronto aparecen dos preocupaciones: ¿Es lo bastante rápido para visitantes al otro lado del mundo? y ¿Qué pasa si alguien lo ataca? Un sitio pequeño en un hosting compartido no está hecho para soportar un pico de tráfico, una avalancha de solicitudes de bots o a un visitante que carga imágenes desde un servidor a miles de kilómetros.

Cloudflare es una de las formas más populares de resolver ambos problemas. Tiene un plan gratuito generoso, se configura en poco tiempo y lo usan desde blogs personales hasta algunos de los sitios más grandes de internet. Esta guía explica qué es Cloudflare, cómo funciona, qué hacen sus funciones principales y cómo configurarlo de forma segura.

¿Qué Es Cloudflare?

Cloudflare es una empresa que opera una enorme red global de servidores y ofrece servicios que se ubican entre tus visitantes y tu sitio web. En lugar de que los visitantes se conecten directamente a tu servidor de hosting (llamado origen), sus solicitudes llegan primero a Cloudflare. Entonces Cloudflare puede:

  • Servir copias guardadas de tus páginas e imágenes desde un servidor cercano al visitante (más rápido)
  • Filtrar el tráfico malicioso antes de que llegue a tu servidor (más seguro)
  • Encargarse del cifrado (HTTPS) y de otras configuraciones por ti

Piensa en él como una combinación de recepcionista y guardia de seguridad en la puerta de entrada de tu sitio web. Los visitantes hablan con la recepción, que responde de inmediato las preguntas comunes, rechaza a los alborotadores y solo te molesta cuando algo realmente requiere tu atención.

Cloudflare suele describirse como proxy inverso, CDN (red de entrega de contenido), proveedor de DNS y servicio de seguridad, todo en uno.

Cómo Funciona Cloudflare

Sin Cloudflare, el camino se ve así:

Visitante  →  Tu servidor de hosting (origen)

Con Cloudflare:

Visitante  →  Cloudflare (centro de datos más cercano)  →  Tu servidor de hosting (solo si es necesario)

El paso clave es un cambio de DNS. Cuando agregas tu sitio a Cloudflare, cambias los servidores de nombres (nameservers) de tu dominio a los de Cloudflare. A partir de ahí, cuando alguien escribe tu dirección, el DNS le indica a su navegador que se conecte a Cloudflare en lugar de directamente a tu hosting. Si necesitas un repaso sobre dominios y DNS, consulta qué es un nombre de dominio y qué es el hosting web.

Cloudflare decide entonces qué hacer con cada solicitud: responderla desde su caché, bloquearla, ponerle un desafío o pasarla a tu origen.

La Nube Naranja y la Nube Gris

En la configuración de DNS de Cloudflare, cada registro tiene un ícono de nube:

  • Nube naranja (con proxy): el tráfico pasa por Cloudflare, así que obtienes las funciones de CDN, seguridad y rendimiento. Úsala para tu sitio web (los registros A, AAAA y CNAME que sirven páginas web).
  • Nube gris (solo DNS): Cloudflare solo responde la consulta DNS y los visitantes se conectan directamente al servidor. Úsala para cosas que no pueden pasar por proxy, como los servidores de correo (registros MX) y algunos servicios que necesitan una conexión directa.

Qué Hace Cloudflare: Las Funciones Principales

1. CDN y Caché (Velocidad)

Una CDN guarda copias de tus archivos estáticos (imágenes, CSS, JavaScript) en centros de datos de todo el mundo. Un visitante en Madrid recibe tus imágenes de un servidor cercano en lugar de tu hosting en Texas. Esto reduce el tiempo de carga y también el trabajo de tu servidor. La idea se explica en conceptos de redes: CDN, VPN, QoS y TTL.

La velocidad de la página también importa para las búsquedas. Consulta qué es el SEO y cómo funciona.

2. Protección contra DDoS

Un ataque DDoS inunda un sitio con tanto tráfico falso que los visitantes reales no pueden entrar. Como la red de Cloudflare es enorme, puede absorber y filtrar ese tráfico antes de que llegue a tu servidor. La protección básica contra DDoS está incluida en todos los planes, incluido el gratuito.

3. Firewall de Aplicaciones Web (WAF) y Protección contra Bots

Un WAF inspecciona las solicitudes y bloquea las que parecen ataques, como inyección SQL o intentos de explotar vulnerabilidades conocidas. Esto es valioso para plataformas populares como WordPress, que los atacantes sondean constantemente (consulta WordPress bajo ataque). Cloudflare también ofrece protección contra bots, limitación de solicitudes y la posibilidad de escribir tus propias reglas, por ejemplo “bloquear cualquier solicitud a /wp-login.php desde fuera de mi país” o “poner un desafío a quien envíe el formulario de contacto 20 veces en un minuto”. Las funciones disponibles dependen de tu plan.

4. SSL/TLS (HTTPS)

Cloudflare puede proporcionar un certificado HTTPS para tu sitio y encargarse del cifrado para los visitantes. También eliges cómo se comunica con tu servidor de origen:

ModoQué significa¿Recomendado?
Off (Desactivado)Sin ningún cifradoNo
FlexibleVisitante a Cloudflare está cifrado, pero Cloudflare a tu servidor noSolo si tu servidor realmente no puede usar HTTPS. Puede causar bucles de redirección.
Full (Completo)Cifrado en ambos sentidos, pero no se verifica el certificado del servidorAceptable de forma temporal
Full (strict) (Completo estricto)Cifrado en ambos sentidos y el certificado del servidor debe ser válidoSí, la mejor opción

Apunta a Full (strict), lo que significa instalar un certificado válido en tu hosting. Muchos proveedores ofrecen uno gratis, y Cloudflare puede emitir un Origin Certificate gratuito para la conexión entre Cloudflare y tu servidor.

También puedes activar Always Use HTTPS (redirigir HTTP a HTTPS) y HSTS (indicar a los navegadores que siempre usen HTTPS). Hazlo cuando HTTPS funcione en todo tu sitio.

5. Administración de DNS

Cloudflare opera un servicio DNS rápido, y administrar tus registros en un solo panel claro ya es útil por sí mismo. Los cambios en los registros con proxy suelen aplicarse rápidamente.

6. Analíticas

El panel de Cloudflare muestra solicitudes, ancho de banda, tráfico en caché frente a no almacenado en caché, principales países y amenazas bloqueadas. Como ve todo el tráfico, incluidos los bots que nunca ejecutan JavaScript, puede mostrar cifras distintas a las de herramientas como Google Analytics.

7. Reglas y Redirecciones

Puedes configurar redirecciones (por ejemplo, de www al dominio sin www), reglas de caché y cambios de encabezados en el borde, sin tocar tu servidor. Es útil cuando tu hosting es limitado o cuando quieres que los cambios se apliquen al instante.

Herramientas Gratuitas de Cloudflare que Puedes Usar Hoy

Una de las mejores cosas de Cloudflare es lo mucho que obtienes sin pagar. Algunas de estas herramientas vienen con el plan gratuito de tu sitio web, y otras son productos gratuitos independientes que puedes usar incluso sin un sitio alojado en Cloudflare. Los niveles gratuitos y sus límites cambian con el tiempo, así que consulta el panel o la página de precios de Cloudflare para ver los detalles actuales.

Gratis con tu Sitio Web

  • CDN y caché: tus imágenes, CSS y JavaScript se sirven desde un centro de datos cercano a cada visitante.
  • Universal SSL: un certificado HTTPS gratuito para tu dominio, emitido y renovado automáticamente.
  • Alojamiento de DNS: DNS rápido y confiable con un panel claro.
  • Protección contra DDoS: protección permanente contra avalanchas de tráfico.
  • Reglas de firewall administradas y Bot Fight Mode: un conjunto básico de protecciones que bloquea ataques comunes y bots evidentes con un solo interruptor.
  • Always Use HTTPS y reglas de redirección: fuerza conexiones seguras y configura redirecciones sencillas (como de www al dominio sin www) sin editar archivos del servidor. El plan gratuito tiene un número limitado de reglas, que es suficiente para un sitio pequeño.
  • Protección contra hotlinking y ofuscación de correos: evita que otros sitios incrusten tus imágenes y oculta las direcciones de correo de tus páginas a los scrapers.
  • Analíticas: tráfico, ancho de banda, tasa de aciertos de caché y amenazas bloqueadas.

Herramientas Gratuitas Independientes

HerramientaQué haceBuena para
TurnstileUn reemplazo de CAPTCHA que verifica que los visitantes sean humanos, normalmente sin pedirles resolver un acertijoFormularios de contacto, registros e inicios de sesión en cualquier sitio, incluso si no está en Cloudflare
Email RoutingCrea direcciones como [email protected] y las reenvía a tu bandeja de entrada actualUna dirección profesional sin pagar un buzón
Web AnalyticsEstadísticas de visitantes respetuosas con la privacidad y sin cookiesUna alternativa o complemento sencillo a Google Analytics
Cloudflare TunnelConecta un servicio de tu computadora, servidor casero o VPS a internet sin abrir puertosLaboratorios caseros, paneles y servidores de desarrollo
Zero Trust (plan gratuito)Controla quién puede llegar a aplicaciones internas, con verificación de inicio de sesión al frente. Gratis para equipos pequeñosProteger una página de administración privada o una herramienta de equipo
App WARP / 1.1.1.1Una app gratuita que cifra el tráfico DNS de tu dispositivo y se conecta a través de CloudflarePrivacidad en Wi-Fi público (no reemplaza por completo a una VPN)
Resolvedor DNS 1.1.1.1Un servicio DNS público y rápido. Las variantes 1.1.1.2 y 1.1.1.3 bloquean malware (y contenido para adultos en 1.1.1.3)DNS más seguro y rápido en una red doméstica
PagesHosting gratuito para sitios estáticos, conectado a un repositorio de Git, con despliegues automáticosPortafolios, documentación y sitios hechos con Hugo, Jekyll o HTML simple
WorkersEjecutan pequeños fragmentos de código JavaScript en la red de Cloudflare, con una cuota diaria gratuita de solicitudesRedirecciones, proxies de API y pequeños proyectos serverless
Almacenamiento R2Almacenamiento de objetos para archivos e imágenes con una cuota mensual gratuita y sin cargo por los datos que salenGuardar imágenes, respaldos o descargas
RegistrarRegistro de dominios vendido a precio de costo, sin margenComprar y renovar dominios a bajo costo
Radar y pruebas de velocidadPaneles públicos sobre tráfico de internet, caídas y velocidad de conexiónComprobar si un problema es de tu lado o de internet

¿Con Cuáles Debería Empezar un Principiante?

  1. Agrega tu sitio para obtener DNS, HTTPS, caché y protección DDoS gratis.
  2. Activa Bot Fight Mode y las protecciones administradas, y luego revisa tu tráfico después de unos días.
  3. Agrega Turnstile a tu formulario de contacto. Reduce el spam sin molestar a las personas reales.
  4. Configura Email Routing si quieres una dirección de correo con tu marca.
  5. Prueba Pages o Tunnel más adelante, cuando tengas un proyecto que necesite hosting o acceso remoto.

Gratis no significa ilimitado. Workers, Pages y R2 tienen límites de uso, y algunos piden un método de pago registrado antes de empezar. Lee los límites antes de depender de uno para algo importante.

Planes Gratuito vs. de Pago

GratuitoPlanes de pago
Precio$0Cuota mensual por sitio
CDN, DNS, protección DDoS, SSLIncluidosIncluidos
WAF y reglasBásicoMás reglas y conjuntos de reglas administrados
SoporteComunidadCorreo y soporte prioritario
ExtrasLimitadosOptimización de imágenes, herramientas avanzadas contra bots, mejores analíticas, más reglas

Para sitios personales, blogs y sitios de pequeños negocios, el plan gratuito suele ser más que suficiente. Consulta la página de precios de Cloudflare para ver los detalles actuales, ya que los planes y límites cambian.

Cómo Configurar Cloudflare (Paso a Paso)

  1. Crea una cuenta gratuita en cloudflare.com y elige Add a site (Agregar un sitio).
  2. Ingresa tu dominio y selecciona un plan (el gratuito está bien).
  3. Revisa los registros DNS que Cloudflare importa. Compáralos con tu configuración DNS actual y asegúrate de que no falte nada, sobre todo los registros MX (correo) y TXT.
  4. Revisa los íconos de nube. Asegúrate de que los registros web tengan proxy (naranja) y los relacionados con el correo sean solo DNS (gris).
  5. Cambia tus nameservers en tu registrador de dominios a los dos nameservers de Cloudflare que aparecen en tu panel. Este es el paso que realmente hace pasar el tráfico por Cloudflare.
  6. Espera la activación. A menudo toma desde unos minutos hasta unas horas, y Cloudflare te envía un correo cuando tu sitio está activo.
  7. Configura SSL/TLS en Full (strict) después de confirmar que tu hosting tiene un certificado válido.
  8. Activa Always Use HTTPS y, más adelante, considera HSTS.
  9. Revisa la configuración de seguridad: habilita las protecciones administradas gratuitas, activa las opciones de protección contra bots que se ajusten a tu sitio y agrega una regla para rutas sensibles como las páginas de administración.
  10. Prueba tu sitio. Revisa todas las páginas, formularios, inicios de sesión y correo. Busca advertencias de contenido mixto y bucles de redirección.

Consejos Prácticos

  • Purga la caché después de publicar cambios. Si actualizas tu sitio y aún ves la versión anterior, Cloudflare puede estar sirviendo una copia en caché. Usa Caching → Purge Cache en el panel. Es una sorpresa muy común para principiantes.
  • Usa el “Development Mode” mientras pruebas. Omite temporalmente la caché para que puedas ver los cambios en vivo.
  • No almacenes en caché páginas dinámicas o privadas. Las páginas de usuarios con sesión iniciada, carritos de compra y pagos no deben guardarse en caché para todos. Revisa tus reglas de caché si tienes una tienda o un sitio de membresías.
  • Protege tu origen. Los atacantes pueden intentar llegar directamente a tu servidor, saltándose Cloudflare. Donde tu hosting lo permita, acepta tráfico web solo desde los rangos de IP de Cloudflare.
  • Restaura las direcciones IP reales de los visitantes. Como el tráfico viene de Cloudflare, los registros de tu servidor muestran las IP de Cloudflare. Cloudflare pasa la dirección del visitante en un encabezado llamado CF-Connecting-IP, y muchas plataformas tienen una opción o plugin para usarlo.
  • Evita los bucles de redirección. La causa clásica es SSL Flexible combinado con un servidor que fuerza HTTPS. Cambia a Full (strict).
  • No dupliques redirecciones. Si Cloudflare redirige HTTP a HTTPS, normalmente no necesitas la misma redirección en la configuración de tu servidor.
  • Prueba más allá de la página de inicio. Los formularios de contacto, páginas de pago y pantallas de administración son donde suelen aparecer los problemas.
  • Usa autenticación de dos factores en tu cuenta de Cloudflare. Quien controle tu cuenta controla tu tráfico y tu DNS.

Limitaciones y Cosas que Debes Saber

  • No es un escudo mágico. Cloudflare reduce muchos ataques, pero no arregla un plugin vulnerable, contraseñas débiles ni código inseguro. Mantén tu software actualizado y sigue lo básico de la guía de fundamentos de ciberseguridad.
  • Se vuelve parte de tu infraestructura. Como el tráfico pasa por Cloudflare, una caída de su lado puede afectar tu sitio, aunque las caídas son raras.
  • Ve tu tráfico. Cloudflare termina el HTTPS para los visitantes, así que confías en ellos con esos datos. Revisa sus términos de privacidad, sobre todo si manejas información sensible.
  • La caché puede causar confusión. Las páginas obsoletas y las reglas de caché son la fuente más común de “¿por qué no se ve mi cambio?”
  • Algunas funciones dependen del plan. Revisa qué incluye tu plan antes de planear en torno a una función.
  • Una mala configuración puede bloquear a la gente. Una regla de firewall demasiado estricta puede bloquear a visitantes reales, o incluso a ti. Prueba las reglas en modo de registro o desafío antes de bloquear.

¿Es Cloudflare lo Adecuado para Ti?

Cloudflare es una buena opción si quieres carga más rápida, HTTPS gratuito, protección contra bots y ataques, administración sencilla de DNS o una red de seguridad para un sitio en hosting compartido básico. También es útil para sitios estáticos y para sitios WordPress que atraen ataques automatizados.

Puede ser menos importante para un sitio privado diminuto sin audiencia pública, o para configuraciones donde tu hosting ya ofrece una CDN y firewall comparables. Aun así, muchas personas lo usan solo para DNS y caché.

Conclusión

Cloudflare coloca una capa inteligente entre tus visitantes y tu sitio web. Acelera la entrega con caché y una red global, protege tu servidor de avalanchas y ataques comunes, gestiona el HTTPS y te da un solo lugar para administrar DNS y reglas. El plan gratuito es suficiente para la mayoría de los principiantes.

Para empezar, agrega tu dominio, cambia tus nameservers, configura SSL/TLS en Full (strict) y activa Always Use HTTPS. Luego explora la configuración de seguridad y caché una a la vez, probando sobre la marcha. Recuerda que Cloudflare es una capa de protección y funciona mejor junto con software actualizado y buenos hábitos de seguridad.