Respuesta rápida: si tu web va detrás de Cloudflare y en España bloquean sus direcciones durante un partido, tus visitas desde España no llegan, aunque tu web no tenga nada que ver con el fútbol. La forma de seguir en pie es tener preparada una segunda entrada: un servidor tuyo, con certificado propio, al que apuntas el DNS solo mientras dura el bloqueo y del que vuelves en cuanto termina.
¿Qué está pasando con Cloudflare en España?
Desde principios de 2025, durante los partidos de fútbol, las operadoras españolas bloquean direcciones IP que se usan para emitir partidos sin permiso, al amparo de una sentencia del Juzgado de lo Mercantil n.º 6 de Barcelona del 18 de diciembre de 2024. Muchas de esas direcciones son de Cloudflare y las comparten miles de webs legítimas.
El impacto está medido. Según el observatorio independiente OONI, entre enero y junio de 2026 se bloquearon en España 7.441 direcciones IP únicas, y alrededor de 554.000 dominios (cerca del 5,8 % de los analizados) quedaron inaccesibles en algún momento durante los partidos. El 90 % de esos dominios estaba en Cloudflare. La propia Cloudflare lo describe en su informe de transparencia como un bloqueo de direcciones compartidas por muchos miles de webs.
Aquí no entro en si la medida es justa o no. Lo que me interesa es la parte práctica: qué hacer para que tu web siga funcionando.
El efecto técnico es sencillo de explicar. Cloudflare atiende a miles de webs desde las mismas direcciones IP. Cuando una operadora bloquea una de esas direcciones, no bloquea una web concreta: bloquea todas las que comparten esa IP en ese momento. Para tu visitante, tu web simplemente no carga.
¿Qué opciones tienes?
- Aceptarlo. Si tu público no está en España o puede esperar un par de horas, es una opción válida.
- Sacar la web de Cloudflare del todo. Pierdes la caché, el firewall y la protección contra ataques todos los días para resolver un problema de unas horas a la semana.
- Tener una segunda entrada preparada. La web sigue detrás de Cloudflare el resto del tiempo y, solo durante el bloqueo, el DNS apunta a un servidor tuyo. Es el enfoque que explico aquí.
¿Cómo funciona una segunda entrada?
La idea tiene tres piezas:
- Un servidor de entrada en la UE, cerrado a internet en condiciones normales, que sabe servir tus dominios con su propio certificado y reenviar las visitas a tus aplicaciones.
- Registros DNS que se pueden cambiar en segundos. Durante el bloqueo, cada dominio pasa de «con proxy de Cloudflare» a «solo DNS», apuntando a ese servidor, con un TTL bajo para que el cambio se note rápido. El TTL indica cuánto tiempo pueden guardar en caché un registro los resolutores (RFC 1035). En Cloudflare, los registros con proxy usan siempre 300 segundos y los de solo DNS admiten desde 60 (documentación de Cloudflare).
- Una vuelta exacta. Antes de cambiar nada se guarda cómo estaba cada registro (tipo, destino, proxy y TTL). Al terminar se restaura tal cual, no «más o menos como estaba».
Fíjate en que Cloudflare sigue siendo tu servidor DNS todo el tiempo: lo que se bloquea son las direcciones que usa para servir las webs, no la resolución de nombres. Por eso puedes cambiar los registros incluso en pleno bloqueo.
¿Y los certificados HTTPS?
Es el punto que más se olvida. Mientras Cloudflare hace de proxy, el certificado que ve el navegador es el de Cloudflare. Cuando apuntas directamente a tu servidor, el certificado tiene que ser tuyo y estar emitido de antemano. Si esperas al bloqueo para pedirlo, llegas tarde.
Con Let's Encrypt y un proxy inverso como Caddy o Nginx es fácil, con un detalle: si tu servidor está cerrado el resto del tiempo, la validación tiene que poder pasar igualmente. Deja la ruta de validación (/.well-known/acme-challenge/) fuera de cualquier redirección y comprueba la renovación antes de necesitarla.
¿Qué pierdes mientras dura el bloqueo?
Durante esas horas tu web no tiene lo que Cloudflare pone delante:
- Caché. Todas las peticiones llegan a tu servidor. Para una web normal no es un problema, pero conviene saberlo.
- Firewall y límites de peticiones. Las reglas que tengas en Cloudflare no se aplican. Repite en tu servidor las imprescindibles: la redirección a HTTPS, la del www, los métodos permitidos y un límite de peticiones razonable.
- Protección contra ataques. Pasas a depender de la protección de tu proveedor de servidores. Elige uno que la incluya.
- Lo que sirve Cloudflare directamente. Ficheros en su almacenamiento o funciones en su red no se pueden mover al servidor. Si son vídeos o descargas, puedes aceptar que fallen esas horas; si es algo crítico, tendrás que servirlo desde otro sitio.
¿Se puede automatizar?
Sí, pero empieza a mano. Un procedimiento escrito y probado vale más que un script que nadie ha visto fallar. Cuando lo automatices, pon estas salvaguardas:
- Detecta con datos de España. Una comprobación desde fuera de España no ve el bloqueo. Hay listas públicas que miden las IPs bloqueadas desde conexiones de las principales operadoras.
- Falta de datos nunca es un bloqueo. Si la fuente no responde, llega vacía o con un salto raro, no se cambia nada y se avisa.
- Histéresis. Espera varios minutos seguidos antes de cambiar en cualquiera de los dos sentidos, para no oscilar.
- Lista cerrada de registros. El automatismo solo puede tocar los registros previstos, y antes de tocar uno comprueba que está como espera.
- Orden manual. Siempre debe haber una forma de forzar el cambio o la vuelta, y la vuelta tiene que funcionar aunque la fuente de datos no responda.
- Avisos por un canal que no dependa del bloqueo. Si tus avisos pasan por la misma red bloqueada, no te llegarán justo cuando importan.
¿Hay que tocar la política de privacidad?
Sí. Durante el bloqueo, la conexión del visitante llega a otro servidor y por otro camino, y ese servidor ve su IP. Explica en tu política qué servidor es, dónde está, cómo reenvía las visitas y cuánto tiempo guarda los registros técnicos. Y hazlo antes de usarlo por primera vez, no después.
Si estás montando tu propia infraestructura, en desplegar Next.js con Docker tienes la base para servir una app desde tu servidor, y en n8n self-hosted un ejemplo de servicio propio detrás de un proxy.
Preguntas frecuentes
¿Por qué se cae mi web si no tiene nada que ver con el fútbol?
Porque el bloqueo se hace por dirección IP y Cloudflare sirve muchas webs desde las mismas direcciones. Se bloquea la dirección, no la web.
¿Cambiar el DNS durante el bloqueo funciona aunque Cloudflare esté bloqueado?
Sí. Lo que se bloquea son las IPs que sirven las webs, no los servidores DNS de Cloudflare, así que puedes cambiar tus registros y los resolutores los ven.
¿Cuánto tarda en notarse el cambio?
Depende del TTL del registro y de las cachés de los resolutores. Con un TTL bajo, unos pocos minutos.
¿Tengo que pagar un plan superior de Cloudflare?
No para esta solución. Solo necesitas un servidor propio en la UE, un certificado válido y el procedimiento probado.
