Si tu sitio va lento y sospechas que hay bots raspando contenido, llenando formularios de spam o generando tráfico basura, Cloudflare tiene herramientas para separar el trigo de la paja. El problema es que si activas el filtro "a lo bruto" terminas bloqueando también a Googlebot, a los monitores de uptime o a los webhooks de tu pasarela de pago, y eso sí te afecta el negocio de verdad. Aquí vas a ver cómo dejar pasar a los bots que te convienen y frenar a los que solo consumen recursos.
ANTES DE EMPEZAR: QUÉ HERRAMIENTA TE TOCA SEGÚN TU PLAN
Cloudflare no te da la misma caja de herramientas en todos los planes:
Plan Free: solo tienes Bot Fight Mode. Es un interruptor de todo o nada, no puedes crear excepciones ni reglas personalizadas.
Plan Pro y Business: tienes Super Bot Fight Mode, que sí te deja decidir qué hacer con cada categoría de tráfico (bots verificados, sospechosos, definitivamente automatizados) y crear excepciones con reglas WAF.
Plan Enterprise con el add-on de Bot Management: tienes el control más fino, con puntajes de bot por request y reglas totalmente personalizadas.
La mayoría de sitios en Pro o Business deberían usar Super Bot Fight Mode, así que va a ser el foco de esta guía.
PASO 1: APAGA BOT FIGHT MODE SI YA LO TENÍAS ACTIVO
Si vienes usando el plan Free y subiste a Pro o Business, Cloudflare no te deja tener las dos cosas prendidas a la vez. Antes de tocar nada más:
1. Entra al dashboard de Cloudflare y selecciona tu dominio.
2. Ve a Security > Settings (en el dashboard viejo es Security > Bots).
3. Filtra por "Bot traffic".
4. Busca "Bot fight mode" y apágalo.
Si no vienes de Bot Fight Mode, sáltate este paso.
PASO 2: ACTIVA SUPER BOT FIGHT MODE
1. En Security > Settings, filtra de nuevo por "Bot traffic".
2. Ubica la tarjeta "Super Bot fight mode" y actívala.
3. Vas a ver un ícono de editar junto a varias categorías de tráfico. Ahí es donde realmente configuras el comportamiento.
PASO 3: DECIDE QUÉ HACER CON CADA CATEGORÍA DE TRÁFICO
Super Bot Fight Mode divide el tráfico automatizado en tres grupos, y cada uno se configura por separado:
Bots verificados (Verified bots)
Aquí entran Googlebot, Bingbot, los crawlers de redes sociales que generan previews de enlaces, monitores de uptime conocidos, herramientas de pago tipo Stripe webhooks, etc. Cloudflare los confirma mediante firma criptográfica (Web Bot Auth) o listas de IP publicadas, y verifica que respeten tu robots.txt. Deja esta categoría en "Allow". Bloquearla es la forma más común de arruinarte el SEO por accidente.
Tráfico definitivamente automatizado (Definitely automated)
Son peticiones que el sistema identifica con altísima confianza como bots, sin ambigüedad. Aquí sí puedes poner "Block" si quieres ser agresivo, aunque "Managed Challenge" es más seguro porque deja una puerta abierta por si acaso hay un falso positivo.
Importante: si usas Cloudflare Tunnel en tu infraestructura, deja esta categoría en "Allow". Si la bloqueas, puedes tumbar tus propios túneles con un error de tipo "websocket: bad handshake". Es un dolor de cabeza evitable.
Tráfico probablemente automatizado (Likely automated)
Es la zona gris: scripts, herramientas de scraping menos evidentes, bots mal identificados. Un "Managed Challenge" aquí suele ser el punto justo: exige una prueba extra sin tumbar de plano a nadie.
PASO 4: ACTIVA PROTECCIÓN DE RECURSOS ESTÁTICOS SI TE ESTÁN ROBANDO ANCHO DE BANDA
Si notas que tu factura de ancho de banda sube por raspado de imágenes, PDFs o archivos JS/CSS, activa "Static resource protection" dentro de la misma pantalla de Super Bot Fight Mode. Esto extiende la detección de bots a esos archivos, que normalmente quedan fuera del radar.
PASO 5: BLOQUEA BOTS DE IA SIN TOCAR TODO LO DEMÁS
Desde 2026 Cloudflare separó esto en su propio interruptor porque cada vez más sitios quieren frenar a los crawlers de entrenamiento de IA sin afectar a los buscadores normales:
1. En Security > Settings, filtra por "Bot traffic".
2. Busca "Block AI bots".
3. Edita la configuración y elige entre:
- Bloquear solo en las páginas con anuncios (útil si vives de publicidad y quieres proteger ese ingreso)
- Bloquear en todo el sitio
- No bloquear
Esto frena tanto a los AI crawlers verificados como a varios no verificados que se comportan igual. Si quieres decidir bot por bot (por ejemplo, permitir el crawler de un buscador con IA pero bloquear el de entrenamiento de otro), usa AI Crawl Control en vez de este interruptor general.
PASO 6: CREA EXCEPCIONES PARA TUS PROPIOS BOTS O INTEGRACIONES
¿Tienes un bot legítimo que no está en la lista de verificados de Cloudflare? Puede ser tu propio monitor interno, un agente de IA que uses para pruebas, o una integración de terceros poco conocida (Cloudflare mismo señala que agentes como Komo, Andi o You.com Agent todavía no están verificados a mediados de 2026).
La solución es una regla WAF con acción "Skip":
1. Ve a Security > WAF > Custom rules.
2. Crea una regla que identifique ese tráfico (por IP, user-agent, header personalizado, lo que tengas disponible y sea confiable).
3. Asigna la acción "Skip" y selecciona que se salte específicamente la fase de Super Bot Fight Mode.
4. Guarda y verifica que la regla quede por encima en el orden de evaluación, porque las reglas WAF corren antes que Super Bot Fight Mode.
Ojo: nunca uses solo el user-agent como criterio si puedes evitarlo. Cualquier bot malicioso puede copiar el user-agent de un bot bueno en dos segundos. Combínalo con IP o con algo más difícil de falsificar cuando puedas.
PASO 7: REVISA QUE NO TE HAYAS DISPARADO EN EL PIE
Después de guardar los cambios, dale un vistazo a estos dos lugares:
Bot Report (Security > Bots): te muestra la distribución de tráfico de las últimas 24 horas. Si ves un porcentaje alto de tráfico automatizado, ahí está la señal de que valía la pena hacer esta configuración.
Security > Events: filtra por el servicio "Super Bot Fight Mode" para ver exactamente qué se está retando o bloqueando. Si algo que no debería estar ahí aparece bloqueado (tu propia API, una app móvil, un webhook de pago), ese es el momento de volver al paso 6 y crear la excepción correspondiente.
UNA ADVERTENCIA FINAL SOBRE WORDPRESS
Si tu sitio corre en WordPress, Super Bot Fight Mode puede interferir con las peticiones internas de loopback que usa WordPress para tareas programadas (cron, actualizaciones). Cloudflare tiene una opción específica llamada "Optimize for WordPress" en la misma pantalla de configuración; actívala si notas fallos raros en el admin o en tareas automáticas del sitio.
RESUMEN RÁPIDO DE LA CONFIGURACIÓN RECOMENDADA PARA LA MAYORÍA DE SITIOS
Bots verificados: Allow
Definitivamente automatizado: Managed Challenge (o Block si estás seguro)
Probablemente automatizado: Managed Challenge
Protección de recursos estáticos: On si te raspan archivos
Bloqueo de bots de IA: según tu modelo de negocio (actívalo si vives de contenido original o de anuncios)
Excepciones vía WAF: para todo lo tuyo que no esté en la lista de verificados
Con esto tienes un filtro que protege el rendimiento del servidor sin dejarte ciego ante los buscadores ni romper tus propias integraciones.
