← Volver al blog

Cloudflare: qué es, cómo funciona y cómo configurarlo para frenar DDoS


Qué es Cloudflare hoy: CDN, seguridad y red global

Cloudflare es, a la vez, CDN (red de entrega de contenidos) y capa de seguridad para aplicaciones y APIs. En términos simples, pone sus servidores en medio del tráfico entre tus usuarios y tu origen (tu hosting), actuando como proxy inverso. Con eso consigue dos objetivos: acelerar (porque sirve contenido cacheado desde nodos cercanos) y proteger (porque filtra y absorbe tráfico malicioso antes de que te alcance).

En mi día a día, me resulta útil pensar Cloudflare como “el borde” donde tomo decisiones rápidas: ¿esta petición es legítima?, ¿desde qué país viene?, ¿cuántas veces golpea el endpoint de login? Cuando empecé a usarlo, la mejora de tiempos fue evidente solo por cache estática (imágenes/CSS/JS) y compresión, pero el verdadero valor me llegó con el WAF y las reglas de Rate Limiting.

Puntos clave que siempre explico al equipo



CDN y proxy inverso: velocidad y latencia


WAF, Rate Limiting y mitigación DDoS: el stack de seguridad



Servicios clave: 1.1.1.1, WARP, Workers y Pages



Cómo protege de verdad contra DDoS (y qué límites tiene)

Un DDoS no es un único “tipo” de ataque: capa 3/4 (volumen/red) y capa 7 (HTTP y negocio). Cloudflare tiene defensa automática de base, pero el resultado real depende de tus reglas y de cómo diseñaste la app.

Capa 3/4 (volumen)


Capa 7 (HTTP)



Límites y buenas prácticas



Cuando Cloudflare se cae: checklist de continuidad de negocio

¿Puede caerse? Sí, como cualquier proveedor crítico. La diferencia la marca tu plan de contingencia.

Checklist práctico




Bloqueos por país o rangos de IP: cómo no pegarte un tiro en el pie

Bloquear por geolocalización o rangos de IP puede reducir ruido, pero tiene coste en usuarios legítimos. Mencionas un caso real en España, donde el bloqueo de rangos complica accesos válidos.

Estrategia recomendada




Implementación paso a paso (plantilla de reglas)

WAF básico (rule sets + custom)


Rate Limiting por rutas críticas (login, APIs)


Logs y observabilidad para iterar




Métricas que importan y cómo reportarlas a negocio


Truco de reporting: un panel mensual con 4 KPIs y 3 notas de contexto. Cuando mostré cuánto ancho de banda dejó de pagar el origen gracias a la cache, el argumento a favor de subir de plan salió solo.


Conclusión

Cloudflare es un acelerador y un escudo al mismo tiempo. Si configuras bien el WAF, aplicas Rate Limiting sensible y sustituyes bloqueos duros por desafíos inteligentes, frenas DDoS sin romper la experiencia. Y con un plan de contingencia claro para caídas, reduces el riesgo operativo. En mi caso, ha sido pieza clave en casi todos mis proyectos, con el matiz de vigilar bloqueos regionales (como en España) para no dañar a quien sí quiere entrar.


FAQs

¿Cloudflare es solo un CDN?No. Es CDN + proxy inverso + WAF + mitigación DDoS + servicios en el edge (Workers/Pages) y herramientas como Turnstile y WARP.

¿Qué hago si tengo falsos positivos?Pon reglas en Simulación, revisa logs, mueve “block” a “challenge”, añade allowlists de IP/ASN y ajusta umbrales por ruta.

¿Bloquear por país es buena idea?Solo como último recurso. Empieza por ASN conflictivos, aplica desafíos y conserva un mecanismo de desbloqueo para usuarios legítimos.

¿Cómo preparo un plan B ante caídas?Uptime externo, DNS alternativo documentado, opción de bypass (si el origen está protegido) y comunicación clara con clientes.

Cuéntame sobre tu proyecto