Reglas WAF y Bot Fight Mode: protege tu web en Cloudflare

Abres tu analítica un lunes y ves 3.000 visitas nuevas a tu página de contacto. Ninguna escribió por WhatsApp. Eran bots probando rutas, y tu web gastó recursos atendiéndolos mientras tus clientes reales esperaban.

Cloudflare te da dos herramientas para esto, y en el plan gratis ya vienen incluidas.

¿Qué son las reglas personalizadas del WAF?

Son filtros que tú escribes para decidir qué hacer con cada visita: dejarla pasar, desafiarla o bloquearla. Según la documentación de Cloudflare, cada regla tiene una expresión que describe el tráfico y una acción que se aplica cuando coincide. Las reglas se evalúan en orden, y una acción Block detiene la evaluación de las siguientes.

Si tu web aún no está en Cloudflare, empieza por lo que incluye el plan gratis.

¿Cuántas reglas incluye cada plan?

El plan gratis incluye hasta 5 reglas personalizadas por zona. La misma documentación de Cloudflare detalla los límites de cada plan:

Plan	Reglas personalizadas	Regex
Free	5	No
Pro	20	No
Business	100	Sí
Enterprise	1.000	Sí

Con 5 reglas alcanza para una web corporativa si las eliges bien. Las acciones disponibles incluyen Block, Managed Challenge y Skip.

¿Qué reglas conviene crear primero?

Las que protegen tu zona de administración y frenan el tráfico que no te sirve. Cloudflare lista en sus casos de uso ejemplos como exigir direcciones IP conocidas en el área de administración, desafiar bots dañinos, bloquear tráfico por país o bloquear solicitudes según su puntaje de ataque.

Para un negocio con clientes en Colombia, USA y España, una buena primera regla es desafiar el acceso a tu panel de administración desde fuera de tus ubicaciones habituales. La segunda puede ser desafiar bots dañinos en las rutas que más spam reciben. Si además usas formularios, combina esto con Cloudflare Turnstile.

Error común: poner la acción Block en una regla de país sin revisar tus datos. Si un cliente viaja o compra desde ese país, queda fuera y tú no te enteras. Empieza con Managed Challenge y pasa a Block solo cuando confirmes que el tráfico no es tuyo.

¿Qué es Bot Fight Mode y en qué se diferencia?

Es una función gratuita de Cloudflare que detecta tráfico con patrones de bots conocidos y les impone desafíos costosos en recursos. Según la documentación de Bot Fight Mode, protege todo el dominio, sin restringirlo a ciertas rutas, y no se puede ajustar con reglas personalizadas del WAF: las acciones Skip, Bypass y Allow no tienen efecto sobre él.

Para activarlo, entra al panel, abre Security Settings, filtra por Bot traffic y enciende Bot fight mode. Cloudflare avisa que puede desafiar tráfico de API o de apps móviles. Si tienes integraciones propias, como un webhook que conecta tu CRM, pruébalas después de activarlo.

¿Cómo pruebo una regla sin perder clientes?

Empieza con la acción Managed Challenge y revisa el tráfico durante unos días. Un visitante real supera el desafío y sigue navegando, mientras que un bot suele quedarse atascado. Anota cuántas solicitudes caen en cada regla y compáralas con tus conversaciones de WhatsApp de esos mismos días: si los números de clientes no bajan, la regla está bien afinada.

¿Y las reglas administradas?

Son conjuntos de reglas que Cloudflare mantiene por ti contra ataques conocidos. La documentación de reglas administradas indica que el Free Managed Ruleset está disponible en todos los planes de Cloudflare. No tienes que escribirlas: tu trabajo es revisar que sigan activas y no se te crucen con tus reglas propias.

Si lo que te preocupa es qué bots de IA entran a leer tu contenido, eso se controla con otro archivo: mira qué bots de IA permitir y cuáles bloquear en robots.txt.

En resumen

Aquellas 3.000 visitas fantasma no se arreglan con pánico, sino con una o dos reglas bien pensadas. Activa Bot Fight Mode, crea tus primeras reglas con Managed Challenge y revisa el tráfico antes de pasar a Block. Si prefieres que alguien lo configure por ti, mira nuestro servicio de hosting y dominios.