Cómo proteger su sitio web con Cloudflare WAF
El firewall de aplicaciones web de Cloudflare filtra el tráfico malicioso antes de que llegue a su servidor. Cómo configurarlo bien y evitar errores comunes.
Cloudflare WAF protege un sitio web inspeccionando las solicitudes entrantes en la red de Cloudflare y bloqueando o desafiando el tráfico malicioso antes de que llegue a su servidor. Para aprovecharlo bien, coloque su sitio detrás del proxy de Cloudflare, use SSL/TLS en modo Full (strict), active los conjuntos de reglas administradas que incluye su plan, agregue algunas reglas personalizadas para rutas sensibles como las páginas de acceso, establezca límites de solicitudes en formularios y puntos de autenticación, y bloquee su servidor de origen para que solo acepte tráfico desde Cloudflare. Ese último paso es el que más se omite.
Qué hace un WAF y qué no hace
Un firewall de aplicaciones web analiza las solicitudes HTTP: la URL, los encabezados, los parámetros y el cuerpo de la solicitud. Puede bloquear patrones de ataque comunes como inyección SQL, cross-site scripting e intentos de explotación conocidos contra software popular, y puede desafiar a bots sospechosos.
Un WAF no reemplaza las actualizaciones, las contraseñas fuertes ni los respaldos. Si un plugin es vulnerable, el WAF puede bloquear patrones de explotación conocidos, pero el plugin igual debe actualizarse. Piense en el WAF como un filtro delante de un sitio bien mantenido, no como un sustituto del mantenimiento.
Paso 1: Pase su sitio por el proxy de Cloudflare
Agregue su dominio a Cloudflare y actualice los servidores de nombres en su registrador. En la configuración de DNS, asegúrese de que los registros de su sitio web muestren la nube naranja (proxied). Los registros configurados como "DNS only" evitan el WAF por completo.
Mantenga los registros relacionados con el correo, como los destinos MX, en modo "DNS only", ya que el proxy estándar de Cloudflare maneja tráfico web, no correo.
Paso 2: Configure SSL/TLS correctamente
Establezca el modo de cifrado SSL/TLS en Full (strict). Esto requiere un certificado válido en su servidor de origen, que puede ser un certificado gratuito de Let's Encrypt o un certificado Cloudflare Origin CA. Evite el modo "Flexible", que deja sin cifrar la conexión entre Cloudflare y su servidor y puede causar bucles de redirección.
Active también "Always Use HTTPS" y considere HSTS cuando esté seguro de que todo funciona por HTTPS.
Paso 3: Active las reglas administradas
Cloudflare mantiene conjuntos de reglas administradas que se actualizan a medida que surgen nuevas amenazas. Los planes gratuitos incluyen un conjunto administrado gratuito que cubre vulnerabilidades de alto impacto y ampliamente explotadas, mientras que los planes pagos agregan el Cloudflare Managed Ruleset completo y el OWASP Core Ruleset. Active lo que incluya su plan y revise el registro de eventos de seguridad durante los primeros días para confirmar que no se bloquea tráfico legítimo.
Paso 4: Agregue reglas personalizadas para rutas sensibles
Las reglas personalizadas permiten actuar ante condiciones específicas. Ejemplos útiles para el sitio web de una empresa:
| Objetivo | Enfoque de ejemplo |
|---|---|
| Proteger el acceso de WordPress | Managed Challenge en /wp-login.php salvo desde la IP de la oficina |
| Proteger áreas de administración | Bloquear o desafiar /wp-admin desde fuera de los países esperados |
| Bloquear el abuso de XML-RPC | Bloquear /xmlrpc.php si no lo usa |
| Detener bots maliciosos conocidos | Desafiar solicitudes con baja puntuación de bot (planes pagos) |
Una expresión de regla personalizada para la página de acceso podría verse así:
(http.request.uri.path eq "/wp-login.php" and not ip.src in {203.0.113.10})
con la acción configurada como Managed Challenge. Reemplace la dirección de ejemplo por la IP pública de su oficina. La cantidad de reglas personalizadas disponibles depende de su plan, así que priorice las más valiosas.
Paso 5: Limite las solicitudes en formularios y accesos
Las reglas de limitación de solicitudes restringen cuántas solicitudes puede hacer un mismo cliente a una ruta en un período de tiempo. Aplíquelas a páginas de acceso, formularios de contacto, páginas de restablecimiento de contraseña y puntos de API. Esto frena los intentos de fuerza bruta y el spam en formularios sin afectar a los visitantes normales.
Paso 6: Bloquee el servidor de origen
Si los atacantes encuentran la IP real de su servidor, pueden evitar Cloudflare por completo. Para impedirlo:
- Configure el firewall del servidor para aceptar HTTP y HTTPS solo desde los rangos de IP publicados por Cloudflare.
- Considere Authenticated Origin Pulls para que su servidor solo acepte conexiones que presenten el certificado de cliente de Cloudflare.
- Verifique que registros DNS antiguos, encabezados de correo o subdominios no expongan la IP de origen.
- Si la IP de origen era pública antes de pasar a Cloudflare, considere cambiarla.
Asegúrese también de que los registros del servidor muestren las IP reales de los visitantes activando la restauración de IP de Cloudflare en el servidor web, para que herramientas como fail2ban e Imunify360 actúen sobre la dirección correcta.
Paso 7: Conozca sus opciones de emergencia
Bot Fight Mode ayuda contra el tráfico automatizado simple, y Under Attack Mode agrega una verificación del navegador para todos los visitantes durante un ataque activo. Use Under Attack Mode de forma temporal, ya que agrega fricción para los usuarios reales.
Nuestro servicio de administración de hosting web incluye la configuración de Cloudflare con bloqueo del origen, y nuestros servicios de ciberseguridad cubren el ajuste y monitoreo del WAF.
Preguntas frecuentes
¿El plan gratuito de Cloudflare es suficiente para el sitio de una pequeña empresa?
Para muchos sitios de pequeñas empresas, el plan gratuito bien configurado ofrece una protección significativa. Los sitios con mayor riesgo, comercio electrónico o requisitos de cumplimiento pueden beneficiarse de las reglas administradas adicionales y las funciones contra bots de los planes pagos.
¿Cloudflare WAF hará más lento mi sitio web?
Por lo general no. La red de Cloudflare también almacena en caché el contenido estático, lo que a menudo mejora los tiempos de carga. Las reglas mal configuradas pueden bloquear visitantes legítimos, por eso es importante revisar los eventos de seguridad después de cada cambio.
¿El WAF protege mi correo?
No. El proxy estándar de Cloudflare protege el tráfico web. La seguridad del correo depende de su proveedor de correo y de los registros SPF, DKIM y DMARC.
Siguiente paso
Si su sitio web todavía no está detrás de un WAF, o no está seguro de que su origen esté bloqueado, solicite una evaluación de TI gratuita y revisaremos su configuración de Cloudflare y hosting.
