Cloudflare gratuito es probablemente la mejor mejora que puedes hacer en tu web sin gastar un euro. En 15 minutos configuras un CDN global con más de 300 nodos en todo el mundo, protección DDoS ilimitada, SSL universal y optimización de velocidad. Esta guía cubre el proceso completo, incluyendo la configuración específica para WordPress y WooCommerce, y los ajustes que marcan la diferencia real.
¿Qué es Cloudflare y qué hace realmente?
Cloudflare actúa como un proxy inverso entre tus visitantes y tu servidor. Cuando alguien accede a tu web, el tráfico pasa primero por la red de Cloudflare, que filtra bots y ataques, sirve contenido cacheado desde el nodo más cercano al visitante, y solo reenvía al servidor de origen las peticiones que requieren contenido dinámico.
El resultado: tu servidor de hosting recibe menos tráfico bruto, el contenido estático se sirve desde un nodo geográficamente cercano al visitante, y tu web tiene una capa adicional de seguridad entre Internet y tu servidor real.
¿Qué incluye el plan gratuito de Cloudflare en 2026?
- CDN global con más de 300 puntos de presencia en todo el mundo
- Certificado SSL/TLS gratuito y universal (Let’s Encrypt gestionado por Cloudflare)
- Protección DDoS básica (L3, L4, L7 incluidos en gratuito)
- 5 reglas de firewall personalizadas (WAF básico)
- Minificación de HTML, CSS y JavaScript
- Compresión Brotli/Gzip
- Analytics de tráfico (no en tiempo real en gratuito)
- Caché de contenido estático
- Workers gratuitos (100.000 peticiones/día)
- Tunnel gratuito (exponer servicios locales)
Para la mayoría de blogs, webs corporativas y tiendas pequeñas, esto es más que suficiente.
Paso 1: Crea tu cuenta en Cloudflare
Ve a cloudflare.com y regístrate con tu correo electrónico. El proceso no requiere tarjeta de crédito para el plan gratuito.
Una vez dentro, haz clic en «Add a site», introduce tu dominio (sin www) y selecciona el plan gratuito. Cloudflare escaneará automáticamente tus registros DNS actuales para importarlos.
Paso 2: Verifica los registros DNS importados
Cloudflare importa automáticamente los registros DNS de tu dominio, pero es posible que omita algunos. Antes de continuar, verifica que están todos:
- Registro A apuntando a la IP de tu hosting (o varios si tienes múltiples IPs)
- Registros MX para el correo electrónico (crítico — no los pierdas)
- Registros CNAME para subdominios (www, mail, ftp…)
- Registros TXT para SPF, DKIM, DMARC y verificaciones de Google/otras herramientas
Importante: Si tu hosting gestiona el correo (cPanel, Plesk), los registros MX deben apuntar al mismo dominio/subdominio que antes. No cambies los MX sin verificarlo — perderías el correo entrante.
El icono de nube naranja (proxied) vs nube gris (DNS only) en cada registro importa mucho:
– **Nube naranja (proxied):** el tráfico pasa por Cloudflare. Úsalo para registros web (A, CNAME para web).
– **Nube gris (DNS only):** solo resolución DNS, Cloudflare no intercepta el tráfico. Úsalo para registros de correo, FTP, y servicios que no deben pasar por proxy.
Paso 3: Cambia los nameservers en tu registrador
Cloudflare te proporcionará dos nameservers personalizados (ejemplo: anna.ns.cloudflare.com y bob.ns.cloudflare.com). Tienes que ir al panel de tu registrador de dominio y cambiar los nameservers actuales por los de Cloudflare.
El proceso varía según el registrador:
– **GoDaddy:** My Products → DNS → Nameservers → Cambiar a personalizados
– **IONOS:** Dominios → Configuración de dominio → Nameservers
– **DonDominio:** Gestor de dominios → DNS → Nameservers personalizados
– **Namecheap:** Domain List → Manage → Nameservers → Custom DNS
La propagación tarda entre unas horas y 48 horas. Cloudflare te envía un email cuando el dominio está activo. Durante la transición, tu web sigue funcionando con normalidad.
Paso 4: Configura SSL/TLS correctamente
En el panel de Cloudflare, ve a SSL/TLS y selecciona el modo apropiado:
| Modo SSL | Cuándo usar | Riesgo |
|---|---|---|
| Off | Nunca — no recomendable | Sin cifrado |
| Flexible | Solo si tu hosting NO tiene SSL instalado | Tráfico entre Cloudflare y tu servidor sin cifrar |
| Full | Tu hosting tiene SSL (aunque sea autofirmado) | No verifica validez del certificado del servidor |
| Full (Strict) | Tu hosting tiene SSL válido (Let’s Encrypt, etc.) | Más seguro — verifica el certificado del servidor |
Si tu hosting tiene Let’s Encrypt instalado (casi todos los hostings modernos lo tienen), usa Full (Strict). Es el modo más seguro.
Activa también:
– Always Use HTTPS: redirige HTTP a HTTPS automáticamente
– Minimum TLS Version: TLS 1.2 como mínimo
– Automatic HTTPS Rewrites: convierte URLs http:// en https:// en el HTML
Paso 5: Optimiza la velocidad
En Speed → Optimization, configura:
Auto Minify: activa HTML + CSS + JavaScript. Reduce el tamaño de los archivos eliminando espacios, comentarios y caracteres innecesarios.
Brotli: activa la compresión Brotli. Mejor ratio de compresión que Gzip para archivos de texto. La mayoría de navegadores modernos lo soportan.
Early Hints (103): activa si está disponible en tu plan. Permite al navegador empezar a precargar recursos antes de recibir la respuesta completa.
Rocket Loader: úsalo con precaución. Carga JavaScript de forma asíncrona, lo que puede mejorar el LCP. Sin embargo, puede romper algunos scripts que esperan el DOM cargado. Si activas Rocket Loader, prueba exhaustivamente que todo funciona, especialmente formularios, popups y carrito de WooCommerce.
Paso 6: Configura la caché correctamente
En Caching → Configuration:
- Caching Level: Standard (para la mayoría de casos)
- Browser Cache TTL: 4 horas mínimo, 1 día es razonable para la mayoría de webs
- Always Online: activa. Si tu servidor está caído, Cloudflare sirve la versión en caché.
Importante: el plan gratuito de Cloudflare no cachea HTML dinámico por defecto — solo archivos estáticos (imágenes, CSS, JS, fuentes). Para cachear HTML necesitas usar Page Rules o Workers.
Configuración específica para WordPress
WordPress en Cloudflare requiere algunas consideraciones adicionales para evitar problemas:
Plugin recomendado: Cloudflare (oficial)
El plugin oficial de Cloudflare para WordPress permite:
– Limpiar la caché de Cloudflare cuando publicas o actualizas contenido
– Configurar reglas de Page Rules directamente desde WordPress
– Activar modo «Under Attack» desde el panel de WP
Instala el plugin desde WordPress → Plugins → Añadir nuevo → busca «Cloudflare».
Regla de Page Rule imprescindible para WordPress:
Crea una Page Rule para excluir el área de admin de la caché:
URL: tudominio.com/wp-admin/*
Setting: Cache Level → BypassSin esta regla, la caché puede servir versiones antiguas del panel de administración, causando problemas con nonces y sesiones.
Si usas caché en el servidor (LiteSpeed Cache, W3 Total Cache):
Asegúrate de que la caché del servidor y la caché de Cloudflare no entran en conflicto. La recomendación es:
1. Caché del servidor: activa para páginas HTML
2. Cloudflare: activa para archivos estáticos solamente (o usar un plugin que coordine ambas)
El plugin WP Cloudflare Super Page Cache puede gestionar la coordinación automáticamente.
Configuración específica para WooCommerce
WooCommerce con Cloudflare requiere configuración especial para evitar problemas con el carrito y el checkout:
URLs que NUNCA deben cachearse:
- /carrito/ (o /cart/)
- /finalizar-compra/ (o /checkout/)
- /mi-cuenta/ (o /my-account/)
- /wp-admin/
- Cualquier URL con parámetro de sesión de WooCommerce
Crea Page Rules para estas rutas con «Cache Level: Bypass». Sin esto, usuarios diferentes pueden ver el carrito de otro usuario, lo que es tanto un bug de UX como un problema de seguridad potencial.
Configuración de seguridad
En Security → Settings:
- Security Level: Medium (por defecto). «High» puede bloquear tráfico legítimo.
- Bot Fight Mode: activa. Bloquea bots maliciosos conocidos automáticamente.
- Browser Integrity Check: activa. Verifica que los visitantes tienen navegadores reales.
En Security → WAF, las 5 reglas personalizadas del plan gratuito permiten bloquear IPs específicas, rangos de IPs, o patrones de URL. Útil para bloquear tráfico malicioso conocido.
Análisis de impacto real: qué puedes esperar
Tras configurar Cloudflare correctamente en una web WordPress típica (blog o corporativa):
| Métrica | Sin Cloudflare | Con Cloudflare gratuito | Mejora |
|---|---|---|---|
| Tiempo de carga (visitante cercano al DC) | 1,5-2,5 s | 0,8-1,5 s | 30-50% |
| Tiempo de carga (visitante lejos del DC) | 3-5 s | 1-2 s | 50-70% |
| Ancho de banda consumido en servidor | 100% | 40-60% | 40-60% ahorro |
| Peticiones al servidor origen | 100% | 30-50% | 50-70% menos |
| PageSpeed Insights (móvil) | 50-70 | 65-85 | +10-20 puntos |
Nota: los resultados con WooCommerce son menores porque el contenido dinámico no se cachea. La mejora se nota principalmente en páginas de blog, categorías y páginas estáticas.
Cloudflare gratuito vs planes de pago
| Funcionalidad | Gratuito | Pro (20$/mes) | Business (200$/mes) |
|---|---|---|---|
| CDN global | Sí | Sí | Sí |
| Reglas WAF personalizadas | 5 | 20 | 100+ |
| Polish (optimización imágenes) | No | Sí | Sí |
| Analytics en tiempo real | No | No | Sí |
| Caché de HTML (Page Rules) | 3 reglas | 20 reglas | Ilimitado |
| Soporte | Comunidad | Email prioritario | Chat 24/7 |
| SLA uptime | No | No | 100% |
Para la gran mayoría de webs, el plan gratuito es suficiente. Solo cuando necesitas WAF avanzado, optimización de imágenes automática (Polish), o soporte garantizado tiene sentido pagar.
¿Para quién es Cloudflare gratuito suficiente?
Suficiente con el plan gratuito:
- Blogs y webs de contenido de cualquier tamaño
- Webs corporativas y portfolios
- Tiendas WooCommerce con tráfico moderado (menos de 10.000 visitas/día)
- Proyectos personales y webs de startups
Considera el plan Pro si:
- Tienes problemas de seguridad frecuentes (bots, scraping agresivo)
- Quieres más de 3 Page Rules
- Necesitas optimización automática de imágenes
- Tu web genera ingresos significativos y quieres soporte por email
Preguntas frecuentes
¿Cloudflare gratuito funciona con cualquier hosting?
Sí. Cloudflare funciona como proxy inverso, por lo que es completamente independiente del proveedor de hosting. Funciona con Hostinger, SiteGround, Raiola Networks, OVHcloud o cualquier otro. Algunos hostings como SiteGround ofrecen integración nativa desde su panel de control.
¿Configuro Cloudflare antes o después de instalar WordPress?
Da lo mismo. Cloudflare actúa a nivel de DNS, no a nivel de aplicación. Puedes añadir Cloudflare en cualquier momento, antes o después de instalar WordPress o cualquier otra aplicación.
¿Cloudflare puede romper mi web?
En casos excepcionales, sí. Los escenarios más comunes: Rocket Loader conflictuando con scripts de terceros, caché sirviendo contenido desactualizado, o modo Flexible SSL causando bucles de redirección. Todos tienen solución y son raros con la configuración correcta.
¿Cloudflare gratuito incluye protección DDoS?
Sí. El plan gratuito incluye protección DDoS en capas 3, 4 y 7, que es suficiente para ataques de volumen estándar. Ataques muy sofisticados o de gran volumen pueden requerir el plan Enterprise, pero esto afecta a empresas grandes, no a webs normales.
¿Pierdo el tráfico real en Analytics si uso Cloudflare?
Google Analytics sigue funcionando igual porque el código de seguimiento se ejecuta en el navegador del usuario, no pasa por Cloudflare. Lo que sí cambia es que en los logs del servidor verás IPs de Cloudflare en lugar de las IPs reales de los visitantes. Para recuperar las IPs reales en los logs, activa «Restore Original Visitor IP» en tu configuración de servidor.
¿Es Cloudflare compatible con certificados SSL propios?
Sí. Puedes usar tu propio certificado en el origen (servidor de hosting) con el modo Full Strict de Cloudflare. Cloudflare gestionará su propio certificado de cara a los visitantes, y verificará el tuyo en la conexión origen.