Cloudflare para tu sitio web: 10 buenas prácticas de seguridad y velocidad

Cloudflare funciona como una puerta de entrada entre tus visitantes y tu sitio: filtra ataques, guarda copias de tus archivos cerca de cada visitante y administra tu DNS. Mucha gente lo activa, ve que el sitio sigue funcionando y se queda ahí. El valor real está en la configuración. Estas son las diez prácticas que aplicamos en proyectos reales.

1. Pasa tus registros por el proxy

En el panel de DNS, los registros de tu sitio (A, AAAA y CNAME) deben mostrar la nube naranja. Así los visitantes hablan con Cloudflare y no con tu servidor, y la dirección real de tu servidor queda oculta. Los registros de correo (MX, y los TXT de SPF o DKIM) no pasan por el proxy: es normal.

2. Usa SSL/TLS en modo Full (strict)

El modo «Flexible» cifra solo el tramo entre el visitante y Cloudflare; el tramo hacia tu servidor viaja sin cifrar. Usa «Full (strict)» con un certificado válido en tu servidor (puede ser un Origin Certificate gratuito de Cloudflare). Activa también «Always Use HTTPS» y «Automatic HTTPS Rewrites», y fija la versión mínima de TLS en 1.2.

3. Activa HSTS, pero después de probar

HSTS le dice al navegador que nunca abra tu sitio sin HTTPS. Es excelente, pero difícil de revertir si lo activas con subdominios que aún no tienen certificado. Empieza con una duración corta, verifica que todo cargue y luego súbela.

4. Protege el DNS con DNSSEC

DNSSEC firma tus registros para que nadie pueda falsificarlos en el camino. En Cloudflare se activa con un clic y se completa agregando un registro DS en tu registrador de dominio.

5. Enciende el WAF y agrega reglas propias

Las reglas administradas del firewall de aplicaciones web (WAF) bloquean ataques conocidos como inyección SQL o XSS. Complétalas con reglas propias: limita el número de intentos al formulario de contacto y al inicio de sesión (rate limiting) y exige una verificación a quien pide rutas de administración que tu sitio no usa.

6. Reemplaza el CAPTCHA por Turnstile

Turnstile es el reto de Cloudflare para formularios: casi siempre invisible para personas reales y gratuito. Recuerda que el token se valida en tu servidor; si solo lo muestras en pantalla, un bot puede saltárselo.

7. Configura la caché con intención

• Archivos estáticos (imágenes, CSS, JavaScript con nombre único): caché larga, de meses o un año.
• Páginas HTML públicas: caché corta o con revalidación; nunca caches páginas con datos de una sesión de usuario.
• Usa Cache Rules para definir excepciones, por ejemplo no guardar /admin ni /api.
• Comprueba la cabecera cf-cache-status: HIT significa que Cloudflare respondió desde su caché.

8. Agrega cabeceras de seguridad

Con Transform Rules (o desde tu propio sitio) añade estas cabeceras de respuesta:

• Strict-Transport-Security: obliga a usar HTTPS.
• X-Content-Type-Options: nosniff, evita que el navegador adivine tipos de archivo.
• Referrer-Policy: strict-origin-when-cross-origin, limita lo que compartes al enlazar.
• Permissions-Policy: apaga cámara, micrófono y ubicación si no los usas.
• Content-Security-Policy: define de dónde se pueden cargar scripts. Es la más potente y la más delicada; empieza en modo «Report-Only».

9. Protege tu correo desde el DNS

Un dominio sin SPF, DKIM y DMARC puede ser suplantado para enviar correos falsos a nombre de tu negocio, y tus mensajes legítimos terminan más seguido en spam. Publica los tres registros TXT y empieza DMARC en «p=none» para observar, luego pasa a «quarantine» y «reject».

10. Cuida el acceso a la propia cuenta

• Activa verificación en dos pasos en tu cuenta de Cloudflare.
• Usa tokens de API con permisos mínimos en lugar de la Global API Key.
• Protege entornos de prueba y paneles internos con Cloudflare Access.
• Activa las notificaciones de eventos de seguridad y revísalas.

Cómo saber si quedó bien

Prueba tu dominio en SSL Labs (cifrado), en securityheaders.com (cabeceras) y en PageSpeed Insights (velocidad). Si algo sale rojo, ya sabes qué práctica de esta lista falta. En cada proyecto de Diskette Studio dejamos esta configuración documentada y a tu nombre.