Cómo optimizar y proteger tu web o WordPress al máximo con la API de Cloudflare: caché quirúrgico, bloqueo de IPs y reglas WAF

Cuando apuntás los DNS de tu dominio a Cloudflare y activás el proxy (la clásica nube naranja), Cloudflare actúa como un escudo intermedio (CDN y proxy inverso). Sin embargo, por defecto Cloudflare solo guarda en caché archivos estáticos como fotos (.jpg, .webp), hojas de estilo (.css) y scripts (.js).

¿Qué pasa con el documento principal de tu página web o tienda online? Si abrís las herramientas de desarrollador del navegador (F12 → Red) y mirás el encabezado de respuesta de tu página, vas a encontrar esto: cf-cache-status: DYNAMIC. Eso significa que en cada visita, Cloudflare igual tiene que viajar hasta tu servidor de origen, ejecutar PHP y consultar la base de datos MySQL.

La razón por la que Cloudflare no cachea el HTML por defecto es simple: sin comunicación con tu sistema, Cloudflare no sabe cuándo cambiaste el precio de un producto, cuándo publicaste una nota nueva o cuándo un usuario inició sesión. Ahí es donde entra en juego la API v4 de Cloudflare: al darle a tu WordPress o a tu sistema en PHP un canal directo con la API de Cloudflare, tu propio sitio toma el mando de la red global.

Antes de conectar cualquier plugin de WordPress o script en PHP, necesitás generar una credencial en tu cuenta de Cloudflare. Muchos tutoriales viejos piden copiar la Global API Key, lo cual es un riesgo grave de seguridad porque entrega acceso total a todos los dominios de tu cuenta.

La forma profesional y segura hoy es crear un API Token de privilegios mínimos (acotado únicamente a tu dominio y a las funciones que tu web necesita):

1. Ingresá a tu panel de Cloudflare, hacé clic en el ícono de tu perfil (arriba a la derecha) → My Profile (Mi perfil) → pestaña API Tokens.
2. Hacé clic en el botón azul Create Token y al final de la lista elegí Create Custom Token (Crear token personalizado).
3. En Token name, poné un nombre claro, por ejemplo: Integracion_Web_WordPress_API.
4. En la sección Permissions (Permisos), agregá estas tres filas exactas:
   • Zone → Cache Purge → Purge (Permite borrar caché de URLs específicas).
   • Zone → Firewall Services (y WAF) → Edit (Permite bloquear/desbloquear IPs y gestionar reglas).
   • Zone → Zone Settings → Edit (Requerido por los plugins de WordPress para leer y ajustar el estado de caché).
5. En Zone Resources (Recursos de zona), seleccioná: Include → Specific zone → y elegí el dominio exacto de tu sitio web.
6. Generá el token y guardá en un lugar seguro dos datos: el API Token recién creado y el Zone ID (que encontrás en la página principal de tu dominio dentro de Cloudflare, en la columna derecha bajo la sección API).

Si tu sitio web o tienda online está hecho en WordPress, conectar la API de Cloudflare transforma por completo el puntaje en Google PageSpeed Insights y la capacidad de resistir picos de tráfico (como campañas en redes sociales, CyberMonday o Hot Sale).

¿Qué plugin conviene usar para conectar la API en WordPress?

• Opción 1 (Recomendada y 100% Gratuita): Super Page Cache for Cloudflare (de ThemeIsle). A diferencia del plugin básico, este plugin utiliza tu API Token para configurar automáticamente una regla de caché en el borde de Cloudflare (Cache Rule). Cachea el HTML completo de tus páginas públicas en los nodos de Cloudflare, pero excluye de forma inteligente a los usuarios con sesión iniciada y al carrito de WooCommerce.
• Opción 2: Plugin Oficial de Cloudflare + APO (Automatic Platform Optimization). Es ideal si querés habilitar la gestión oficial desde el escritorio de WordPress o activar el modo "I'm Under Attack" con un clic sin salir de tu panel /wp-admin/.
• Opción 3: Integración nativa en WP Rocket o LiteSpeed Cache. Ambos plugins tienen una pestaña dedicada a Cloudflare donde pegás tu API Token y tu Zone ID para que cada vez que vacíes la caché en WordPress, se purgue en simultáneo la red de Cloudflare.

¿Cómo funciona la magia cuando editás un producto o entrada?

Una vez vinculado el API Token en el plugin:

1. Un visitante entra a tu web desde Argentina y recibe la página en menos de 30 milisegundos directamente desde el nodo local de Cloudflare (cf-cache-status: HIT).
2. Vos entrás a tu panel de WordPress y cambiás el precio o el stock de un producto en WooCommerce.
3. En el mismo instante en que apretás "Actualizar", WordPress dispara una llamada silenciosa a la API de Cloudflare purgando únicamente la URL de ese producto, la portada y la categoría asociada, manteniendo intacta la caché del resto del sitio.
4. Si un comprador agrega un artículo al carrito (activando la cookie woocommerce_items_in_cart o wp_woocommerce_session_*), la integración salta la caché estática automáticamente y conecta al comprador directo con tu servidor en MESI Hosting para procesar el cobro en tiempo real.

El verdadero poder de la API de Cloudflare brilla cuando tenés un sistema desarrollado a medida, un catálogo propio, una API REST o una aplicación creada con Inteligencia Artificial (en PHP 8.4, Laravel, CodeIgniter o Node.js). Con apenas 25 líneas de código con cURL, tu propio sistema puede controlar la caché y el firewall global de Cloudflare sin depender de ningún plugin.

Caso Práctico A: Purgar quirúrgicamente una URL cuando tu sistema actualiza MySQL

Imaginá que tenés un catálogo o portal cuyos precios o artículos se actualizan desde un panel administrativo propio o desde tu ERP. En lugar de desactivar el caché, podés cachear tus páginas HTML durante horas y llamar a esta función en PHP 8.4 justo después del UPDATE en MySQL para refrescar solo las URLs afectadas:

<?php
/**
 * Purga quirúrgicamente una o más URLs en la caché de Cloudflare
 * Ideal para ejecutar justo después de actualizar un producto o noticia en MySQL.
 */
function cloudflarePurgarUrls(array $urls): array {
    $zoneId   = 'TU_ZONE_ID_DE_CLOUDFLARE';
    $apiToken = 'TU_API_TOKEN_SEGURO';

    $endpoint = "https://api.cloudflare.com/client/v4/zones/{$zoneId}/purge_cache";
    $payload  = json_encode(['files' => array_values($urls)], JSON_UNESCAPED_SLASHES);

    $ch = curl_init($endpoint);
    curl_setopt_array($ch, [
        CURLOPT_CUSTOMREQUEST  => 'POST',
        CURLOPT_POSTFIELDS     => $payload,
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_TIMEOUT        => 5,
        CURLOPT_HTTPHEADER     => [
            "Authorization: Bearer {$apiToken}",
            "Content-Type: application/json"
        ],
    ]);

    $response = curl_exec($ch);
    $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
    curl_close($ch);

    return [
        'ok'       => ($httpCode === 200),
        'httpCode' => $httpCode,
        'result'   => json_decode((string)$response, true)
    ];
}

// Ejemplo de uso al guardar cambios de un producto en tu base de datos MySQL:
// cloudflarePurgarUrls([
//     'https://www.tudominio.com.ar/producto/notebook-pro',
//     'https://www.tudominio.com.ar/catalogo'
// ]);

Caso Práctico B: Defensa Activa (Bloquear o Desafiar una IP atacante en el WAF desde PHP)

Si un bot o atacante intenta adivinar contraseñas en tu login 5 veces seguidas, escanea rutas inexistentes como /.env o /wp-config.php, o hace scraping masivo de tus precios, bloquearlo solo en PHP hace que el atacante siga consumiendo ancho de banda y conexiones en tu servidor.

En cambio, si tu script detecta la intrusión y envía la IP a la API del Firewall de Cloudflare, a partir del segundo siguiente Cloudflare frena al atacante en su propia frontera (Edge) antes de que vuelva a tocar tu hosting:

<?php
/**
 * Registra una regla de acceso por IP en el Firewall de Cloudflare.
 * $modo puede ser:
 *   - 'block'             (Bloqueo total en el borde)
 *   - 'managed_challenge' (Desafío inteligente anti-bots de Cloudflare)
 *   - 'whitelist'         (Lista blanca: nunca bloquear esta IP, ideal para tu oficina o ERP)
 */
function cloudflareReglaIP(string $ip, string $modo = 'block', string $motivo = 'Seguridad automatica'): array {
    $zoneId   = 'TU_ZONE_ID_DE_CLOUDFLARE';
    $apiToken = 'TU_API_TOKEN_SEGURO';

    $endpoint = "https://api.cloudflare.com/client/v4/zones/{$zoneId}/firewall/access_rules/rules";
    $payload  = json_encode([
        'mode'          => $modo,
        'configuration' => [
            'target' => 'ip',
            'value'  => $ip
        ],
        'notes'         => $motivo . ' - ' . date('Y-m-d H:i:s')
    ]);

    $ch = curl_init($endpoint);
    curl_setopt_array($ch, [
        CURLOPT_CUSTOMREQUEST  => 'POST',
        CURLOPT_POSTFIELDS     => $payload,
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_TIMEOUT        => 5,
        CURLOPT_HTTPHEADER     => [
            "Authorization: Bearer {$apiToken}",
            "Content-Type: application/json"
        ],
    ]);

    $response = curl_exec($ch);
    $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
    curl_close($ch);

    return [
        'ok'       => ($httpCode === 200),
        'httpCode' => $httpCode,
        'result'   => json_decode((string)$response, true)
    ];
}

// IMPORTANTE: Detectar siempre la IP real del visitante detrás de Cloudflare:
$ipVisitante = $_SERVER['HTTP_CF_CONNECTING_IP'] ?? $_SERVER['REMOTE_ADDR'];

// Ejemplo: Si falló 5 veces el login o intentó acceder a /.env:
// cloudflareReglaIP($ipVisitante, 'block', '5 intentos fallidos de login');

En nuestra mesa de soporte técnico humano en Argentina recibimos a diario dos consultas críticas de usuarios que activan Cloudflare por su cuenta y sufren fallas inesperadas en sus cobros o en el acceso a su web. Así se resuelven de raíz:

1. "Los clientes pagan por Mercado Pago pero el pedido queda Pendiente en mi web"

Cuando un cliente paga con Mercado Pago, los servidores de Mercado Pago envían una notificación automática (Webhook / IPN) hacia una URL de tu sitio (por ejemplo, /wc-api/WC_WooMercadoPago_Basic_Gateway en WooCommerce o /api/webhook-mp.php en tu propio sistema).

Si activaste el Bot Fight Mode (Modo de lucha contra bots) o reglas agresivas de desafío en Cloudflare, Cloudflare interpreta que el robot de Mercado Pago es un bot automatizado y le muestra una pantalla de verificación humana (Turnstile/Captcha). Como el servidor de Mercado Pago no es una persona, recibe un error HTTP 403 Forbidden y tu tienda jamás se entera de que el pago fue aprobado.

La solución paso a paso en el WAF de Cloudflare:

1. Entrá a tu dominio en Cloudflare → menú lateral Security (Seguridad) → WAF → pestaña Custom rules (Reglas personalizadas).
2. Creá una regla llamada Permitir Webhooks MercadoPago y API.
3. Configurá la condición: URI Path → contains → /wc-api/ (o la ruta de tu webhook, por ejemplo /api/webhook, o si usás el plugin nuevo de WooCommerce agregá también la condición URI Query String → contains → wc-api=).
4. En Then take action (Acción) elegí Skip (Omitir) y marcá las casillas: All remaining custom rules, All Super Bot Fight Mode rules y Security Level.

¿Todavía estás configurando tu pasarela de cobros? Revisá nuestra guía completa sobre cómo integrar Mercado Pago en tu sitio web o tienda online sin que fallen los Webhooks.

2. Cómo evitar el bloqueo de páginas en blanco por "ERR_TOO_MANY_REDIRECTS"

Si al activar la nube naranja de Cloudflare tu sitio deja de abrir y el navegador muestra el error ERR_TOO_MANY_REDIRECTS (demasiadas redirecciones), la causa es el modo SSL de Cloudflare.

Por defecto, Cloudflare a veces selecciona el modo SSL Flexible: se conecta con el visitante por HTTPS, pero le habla a tu servidor de hosting por HTTP (puerto 80 sin cifrar). Si tu WordPress o tu .htaccess está configurado para redirigir HTTP a HTTPS, se produce un bucle infinito.

¿Tenés un sitio o sistema en PHP y querés agregarle hoy mismo un módulo de administración propio para vaciar la caché de URLs, activar el modo "Bajo Ataque" en emergencias y bloquear o liberar IPs sin tener que entrar al panel de Cloudflare? Copiá este prompt y pegalo en Claude, ChatGPT, Gemini, Cursor o pedíselo a MIA de MESI:

¿Querés saber cómo alojar este tipo de desarrollos creados con inteligencia artificial directamente en tu hosting sin pagar plataformas en dólares? Leé nuestra guía sobre cómo subir tu web o app creada con IA (Claude, ChatGPT, Gemini) a tu Hosting sin pagar Vercel ni Supabase.

Existe la creencia equivocada de que al poner Cloudflare delante de un sitio web ya no importa dónde esté alojado el servidor de origen. En la práctica ocurre exactamente lo contrario: Cloudflare acelera las páginas estáticas, pero todas las operaciones que hacen ganar dinero a tu empresa ocurren en vivo dentro de tu servidor de hosting:

• El Checkout y el Carrito de Compras: Cuando un cliente agrega un producto al carrito, calcula el envío o hace clic en "Pagar", Cloudflare no puede usar caché y envía al usuario directo a tu servidor. Si tu hosting tiene discos lentos o CPU saturada, el cliente abandona la compra.
• Búsquedas internas, filtros de precios y paneles de gestión: Cada filtro por talle, marca o precio en un e-commerce y cada acción dentro de /wp-admin/ o de tu sistema ERP web depende 100% de la velocidad de los discos SSD NVMe y del motor PHP 8.4 + MySQL de tu servidor.
• Generación cuando se purga la caché (Cache Miss): Cada vez que tu API purga una URL porque cambiaste un precio, el primer visitante que entra necesita que tu servidor genere el nuevo HTML en milisegundos.