Cómo configurar Cloudflare en WordPress para bloquear bots maliciosos paso a paso

Los bots maliciosos representan más de un tercio del tráfico total en internet. Desde scripts desatendidos que buscan vulnerabilidades de plugins hasta ataques de fuerza bruta al /wp-login.php y scrapers que consumen los recursos de tu servidor, el tráfico automatizado no deseado puede ralentizar tu sitio web o dejarlo fuera de servicio.

Afortunadamente, integrar Cloudflare como red de distribución de contenidos (CDN) y cortafuegos DNS permite filtrar estas amenazas en la nube antes de que lleguen a tu hosting. En este tutorial paso a paso aprenderás a configurar Cloudflare para bloquear bots maliciosos en WordPress de forma efectiva y sin romper el funcionamiento de tu sitio.

1.Cambiar los Servidores de Nombres (Nameservers):Prerrequisito fundamental para canalizar el tráfico.

Para que Cloudflare filtre el tráfico entrante, debes delegar la gestión DNS de tu dominio:

1. Crea una cuenta gratuita en Cloudflare e ingresa el dominio de tu sitio WordPress.

2. Cloudflare escaneará tus registros DNS actuales de forma automática. Revisa que tus registros tipo A (que apuntan a la IP de tu servidor) y MX (correo) estén presentes.

3. Copia los dos Nameservers asignados por Cloudflare (por ejemplo, ada.ns.cloudflare.com y sam.ns.cloudflare.com).

4. Ve al panel de control de tu proveedor de dominios (Namecheap, GoDaddy, DonDominio, etc.) y reemplaza los servidores de nombres originales por los de Cloudflare.

5. Espera la propagación DNS (puede tardar desde unos minutos hasta 24 horas).

2.Activar Bot Fight Mode (Modo de Lucha contra Bots):Protección automatizada en el plan gratuito.

Cloudflare incluye un motor heurístico que analiza patrones de tráfico para identificar bots conocidos de spam y raspado de datos.

1. En el panel de Cloudflare, selecciona tu dominio y dirígete al menú Security (Seguridad) > Bots.

2. Localiza la opción Bot Fight Mode.

3. Activa el interruptor a On.

Esta función aplica desafíos JavaScript o Captchas automáticos cuando detecta comportamiento no humano sospechoso.

3.Crear una Regla de WAF para Proteger el Acceso (wp-login.php):Bloqueo directo de ataques de fuerza bruta.

El archivo wp-login.php y la API xmlrpc.php son los objetivos principales de los bots. Crearemos una regla personalizada en el Firewall de Aplicaciones Web (WAF):

1. Ve a Security > WAF y haz clic en Create rule (Crear regla).

2. Asigna un nombre a la regla, por ejemplo: Proteger Login de WordPress.

3. En la sección Field (Campo), selecciona URI Path.

4. En Operator (Operador), selecciona equals (es igual a).

5. En Value (Valor), escribe /wp-login.php.

6. (Opcional) Si deseas proteger también XML-RPC, añade un operador OR, campo URI Path, valor /xmlrpc.php.

7. En la sección Choose action (Elegir acción), selecciona Managed Challenge o Interactive Challenge.

8. Haz clic en Deploy (Desplegar).

A partir de este momento, cualquier solicitud automatizada dirigida a tu página de inicio de sesión deberá resolver un desafío de seguridad antes de cargar la interfaz de WordPress.

4.Instalar y Configurar el Plugin Oficial de Cloudflare en WordPress:Sincronización de IPs reales y limpieza de caché.

Cuando usas una CDN, todas las visitas parecen provenir de las direcciones IP de Cloudflare. Para evitar falsos positivos en WordPress y permitir que los plugins de seguridad vean la IP real de los visitantes:

1. Ve a tu panel de WordPress > Plugins > Añadir nuevo.

2. Busca e instala el plugin oficial Cloudflare.

3. Actívalo y navega a Ajustes > Cloudflare.

4. Inicia sesión con tu cuenta mediante tu clave API global o un API Token.

5. Haz clic en Apply Recommended Settings (Aplicar ajustes recomendados).

6. Asegúrate de que la opción de restablecer la IP real del visitante esté activa.

Buenas prácticas adicionales para optimizar la seguridad

• Bloquear países con tráfico malicioso recurrente: Si tu sitio web brinda servicios exclusivamente a nivel local o regional, puedes crear una regla de WAF para aplicar un desafío o bloquear directamente el tráfico proveniente de países desde los que recibas ataques constantes sin clientes reales.

• Modo Under Attack (Bajo ataque): Si notas un pico inusual de tráfico que ralentiza tu servidor por un ataque DDoS masivo, activa la casilla Under Attack Mode en la pestaña Overview de Cloudflare. Esto desplegará una pantalla de verificación interactiva a absolutamente todos los visitantes antes de ingresar al sitio.

Conclusión

Asegurar tu instalación de WordPress no requiere llenar tu servidor de plugins pesados que consuman memoria PHP. Al delegar la detección y mitigación de bots maliciosos a Cloudflare, detienes las amenazas en la capa de red. Con el Bot Fight Mode activo y una regla personalizada para tu wp-login.php, reducirás drásticamente la carga de tu CPU y mantendrás tu sitio rápido y protegido.

¿Has configurado Cloudflare en tus proyectos o tienes dudas con las reglas del WAF?