¿Cómo usar el modo "Under Attack" de Cloudflare en un sitio bajo ataque DDoS?

El modo Under Attack de Cloudflare en un sitio bajo ataque DDoS es una configuración de defensa inmediata que muestra una breve verificación de seguridad a los visitantes para filtrar el tráfico de bots. Al seleccionar tu sitio en el panel de Cloudflare y activar la función Under Attack Mode desde la sección de Seguridad, puedes ralentizar en minutos la avalancha de peticiones HTTP/HTTPS, proteger el acceso de usuarios legítimos y reducir la carga en tu servidor. Sin embargo, este modo no es una solución definitiva por sí solo; debe complementarse con configuraciones adecuadas de proxy DNS, reglas de WAF, limitación de tasa, caché y seguridad en el servidor de origen.

En esta guía explicaremos paso a paso cómo activar el modo Under Attack en Cloudflare, cuándo utilizarlo, qué ajustes adicionales aplicar y cómo regresar a la normalidad de forma segura tras un ataque. El objetivo es ofrecer una lista de control práctica para actuar con rapidez en momentos críticos y restablecer la accesibilidad de tu sitio lo antes posible.

¿Qué es el modo Under Attack de Cloudflare?

El modo Under Attack es un nivel de seguridad de emergencia proporcionado por Cloudflare. Al activarse, Cloudflare presenta a los visitantes del sitio una breve validación en el navegador. Esta verificación suele durar unos segundos y dificulta que bots automáticos, herramientas simples de HTTP flood o clientes maliciosos no navegadores sobrecarguen el sitio directamente.

Su función principal es mitigar ataques a nivel de aplicación, es decir, ataques Layer 7. Por ejemplo, si la página principal recibe miles de solicitudes GET por segundo, la página de inicio de sesión de WordPress sufre intentos masivos de POST, o la página de búsqueda o carrito recibe tráfico falso, el modo Under Attack ofrece una respuesta rápida inicial.

Es importante aclarar que Under Attack filtra las peticiones web; sin embargo, si la IP del servidor es atacada directamente, si hay servicios fuera del proxy de Cloudflare o si el ataque se produce a nivel de red (Layer 3/4), se requieren medidas adicionales. Por eso es crucial que los registros DNS estén configurados como proxied en Cloudflare, que la IP de origen esté oculta y que en el hosting se implementen las protecciones adecuadas. Para elegir una infraestructura segura, puedes consultar los contenidos Servicios de hosting web seguro y instalación de certificado SSL.

Síntomas de un ataque DDoS: ¿Qué revisar antes de activar el modo Under Attack?

No toda lentitud se debe a un DDoS. A veces un plugin defectuoso, bloqueo en la base de datos, una tarea cron con alto consumo de CPU o una mala configuración del caché pueden producir efectos similares. Por ello, es útil realizar un diagnóstico rápido antes de activar Under Attack. No obstante, si el servidor responde con dificultad, los usuarios ven errores 502, 503 o 504, y los registros muestran un pico inusual de solicitudes, no se debe demorar la activación del modo de emergencia.

Indicadores típicos de un DDoS

• Aumento repentino de tráfico de 5, 10 o incluso 50 veces el volumen habitual.
• Cientos de solicitudes por segundo dirigidas a una sola página o endpoint.
• Tráfico proveniente de diferentes países con valores similares en el user-agent.
• Objetivos frecuentes en URLs costosas como admin, login, search o cart en WordPress, WooCommerce, OpenCart o software personalizado.
• Exceso en uso de CPU, RAM, workers PHP-FPM o límites de conexiones MySQL en el servidor.
• Incremento brusco de errores 4xx y 5xx en el panel de Cloudflare Analytics.
• Acceso intermitente de usuarios reales mientras el tráfico de bots envía solicitudes constantes.

Por ejemplo, si un sitio de comercio electrónico que normalmente recibe 2.000 solicitudes por minuto pasa a 80.000 en 10 minutos y el 70 % de esas solicitudes apuntan a la página de carrito o búsqueda, es una clara señal de un ataque Layer 7. En ese caso, el modo Under Attack debe activarse en los primeros 5 minutos, seguido de reglas específicas de WAF y limitación de tasa para las URLs afectadas.

¿Cuándo se debe usar el modo Under Attack de Cloudflare?

El modo Under Attack no es un ajuste de seguridad que deba mantenerse activo permanentemente, ya que muestra una pantalla de espera breve a los usuarios reales. Esto puede afectar la experiencia especialmente en páginas orientadas a la conversión, procesos de pago o entornos que usan API. Lo ideal es activarlo temporalmente durante el ataque y luego ajustar el nivel de seguridad una vez que el tráfico se normalice.

Situaciones recomendadas para su uso

• Cuando el sitio recibe una avalancha anormal de solicitudes HTTP/HTTPS.
• Si los recursos del servidor se agotan rápidamente y aumentan los errores 502/503.
• Si todavía no se han configurado reglas personalizadas en Cloudflare WAF y se necesita un escudo rápido.
• Cuando el tráfico de bots supera claramente al tráfico legítimo.
• Si el ataque apunta a páginas web, formularios, pantallas de acceso o endpoints de búsqueda.

Situaciones que requieren precaución

• Si se usa mucho tráfico de aplicaciones móviles, proveedores de pago, webhooks o API.
• Durante períodos críticos de rastreo por bots de motores de búsqueda.
• Si tus usuarios corporativos acceden desde navegadores antiguos o redes restringidas.
• Si existen subdominios que no están detrás del proxy de Cloudflare.

En sitios con tráfico API, aplicar Under Attack a todo el dominio puede romper integraciones. Por eso, se recomienda crear reglas WAF específicas, listas blancas o niveles de seguridad diferenciados para los subdominios de API. Para más detalles sobre seguridad API, consulta Guía de seguridad de API y limitación de tasas.

Cómo activar el modo Under Attack en Cloudflare: guía paso a paso

Los siguientes pasos forman una lista práctica para actuar con rapidez durante un ataque. La interfaz de Cloudflare puede cambiar ligeramente, pero el proceso básico es seleccionar el dominio, elevar el nivel de seguridad y verificar que el tráfico se valide a través de Cloudflare.

1. Inicia sesión en tu cuenta de Cloudflare

Primero accede a tu cuenta de Cloudflare y selecciona el dominio afectado. Si gestionas varios dominios, asegúrate de operar sobre la zona correcta. Activar Under Attack en el dominio equivocado solo retrasa la respuesta y el ataque continúa.

2. Verifica que los registros DNS estén en modo proxied

Para que Under Attack funcione, el tráfico web debe pasar por Cloudflare. En la sección DNS, confirma que los registros A, AAAA y CNAME tengan la nube naranja activada (proxied). Los registros con nube gris (solo DNS) no pasan por la capa de seguridad de Cloudflare. Debes revisar especialmente el dominio raíz, www y los subdominios usados.

Si la IP de origen es visible en internet, los atacantes pueden saltarse Cloudflare y atacar directamente el servidor. Por eso, es recomendable configurar el firewall del servidor para aceptar tráfico HTTP/HTTPS solo desde los rangos de IP de Cloudflare. Puedes pedir soporte a tu proveedor de hosting o consultar la guía Cómo configurar los ajustes de DNS de Cloudflare.

3. Activa el modo Under Attack desde Seguridad

En el panel de Cloudflare, abre la zona correspondiente y ve a la sección Security o Overview. Busca la opción Under Attack Mode y actívala. En algunas interfaces aparece como “I am Under Attack” bajo Security Level.

Los cambios suelen aplicarse rápidamente. Durante los primeros minutos, monitorea Cloudflare Analytics, Security Events y el consumo de recursos del servidor. Si la CPU y las conexiones bajan, el modo está funcionando. Si persisten errores, se deben añadir reglas adicionales.

4. Prueba la experiencia de usuarios reales

Tras activar el modo, prueba acceder al sitio desde distintas redes: móvil, oficina y, si es posible, desde otra ubicación geográfica. Navega por la página principal, productos, login y flujo de pago. La aparición de la pantalla de verificación y el acceso posterior es el comportamiento esperado. Si los usuarios quedan atrapados en un bucle infinito, revisa configuraciones de cookies, compatibilidad del navegador o conflictos con reglas de seguridad de Cloudflare.

5. Identifica las URLs objetivo del ataque

El modo Under Attack ofrece una protección general, pero para mayor efectividad conviene aplicar reglas específicas. Usa los registros de Cloudflare Security Events, Web Analytics, logs de hosting y aplicación para detectar las rutas con más solicitudes. Por ejemplo, /wp-login.php, /xmlrpc.php, /search, /cart, /api/login o /checkout pueden estar bajo ataque.

Una vez identificadas, crea reglas personalizadas en WAF para filtrar por país, user-agent, método de petición, ruta URI o puntuación de bot. Por ejemplo, para una URL de login, puedes aplicar un challenge gestionado a IPs que superen cierto umbral de solicitudes por minuto. Para sitios WordPress, el enlace Medidas de Seguridad de WordPress es un recurso útil.

Diferencias entre el modo Under Attack y otras opciones de seguridad de Cloudflare

Las herramientas de seguridad de Cloudflare tienen distintos enfoques. Under Attack es un filtro general rápido para emergencias; WAF y Rate Limiting ofrecen bloqueos más dirigidos, sostenibles y con menor impacto en la experiencia de usuario.

Una defensa efectiva suele seguir este esquema: primero activar Under Attack para mitigar la presión, luego analizar el patrón del ataque, agregar reglas WAF y limitación de tasa, y finalmente fortalecer la infraestructura con reglas de caché y firewall en origen.

Ajustes adicionales recomendados en Cloudflare durante un ataque

Aunque el modo Under Attack se activa con un solo clic, la efectividad contra DDoS depende de configuraciones complementarias. A continuación, las prácticas más útiles en escenarios reales.

Crea protección dirigida con reglas WAF

El WAF de Cloudflare permite tomar acciones según condiciones específicas. Por ejemplo, se puede aplicar un challenge solo a solicitudes POST hacia /wp-login.php desde ciertos países, aislando el ataque sin afectar todo el sitio.

• Limita acceso a páginas de administración y login solo para países o rangos IP autorizados.
• Bloquea endpoints no usados como XML-RPC.
• Aplica challenge gestionado a user-agents sospechosos.
• Limita con rate limit clientes que realizan muchas solicitudes a ciertas rutas.

Configura correctamente el nivel de caché

Si durante un DDoS el servidor debe responder a cada petición, se agotarán rápido los recursos. Por eso, los archivos estáticos, imágenes, CSS, JavaScript y páginas cacheables deben servirse desde el edge de Cloudflare. En sitios dinámicos como WordPress, se pueden usar plugins de caché, reglas de caché en Cloudflare y encabezados cache-control adecuados.

Por ejemplo, en un sitio de noticias o blog, las páginas para visitantes anónimos pueden cachearse entre 5 y 30 minutos. Esta sencilla configuración reduce el TTFB incluso fuera de ataques y alivia la carga del hosting. Para mejorar el rendimiento, revisa el artículo Guía de aceleración de sitios web.

Define límites realistas en Rate Limiting

La limitación de tasa es muy eficaz en endpoints costosos, pero si se establece sin criterios puede bloquear usuarios legítimos. Un usuario normal puede hacer entre 5 y 15 búsquedas por minuto en una página de productos; 100 búsquedas por minuto sería anormal. En login, más de 10 intentos fallidos en 5 minutos suele ser sospechoso.

Un ejemplo de configuración sería aplicar challenge gestionado a IPs con más de 10 solicitudes en 1 minuto en /wp-login.php, y bloqueo temporal a las que sobrepasen 50 en 5 minutos. En API, se recomienda aplicar límites más precisos basados en sesión, IP, token y método.

Oculta la IP de origen y limita con firewall

Un error común al usar Cloudflare es dejar visible la IP real del servidor. Registros DNS antiguos, subdominios que apuntan directo a IP, servicios web mezclados con registros de correo o configuraciones filtradas pueden permitir que atacantes accedan al servidor saltándose Cloudflare.

En el servidor, abre solo los puertos 80 y 443 para rangos IP de Cloudflare. Puertos como SSH, panel de control, base de datos y administración deben estar cerrados o protegidos con restricciones IP, contraseñas fuertes, autenticación en dos pasos y, de ser posible, VPN. Para seguridad en hosting, consulta Ajustes de seguridad de cPanel y configuración del firewall VPS.

Puntos clave para WordPress, WooCommerce y sitios corporativos

No todos los sitios tienen el mismo perfil de tráfico. Un blog, una tienda WooCommerce o un panel SaaS pueden reaccionar distinto al modo Under Attack. Por eso, hay que identificar rutas críticas según el tipo de sitio.

Sitios WordPress

Las rutas más atacadas suelen ser /wp-login.php y /xmlrpc.php. Si no usas XML-RPC, bloquearlo suele ser seguro. Para el panel admin, considera restricciones geográficas o por IP. Además, los plugins de seguridad no deben entrar en conflicto con las reglas de Cloudflare, pues demasiados mecanismos de desafío pueden generar bucles de validación.

Tiendas WooCommerce

Las páginas de carrito, pago y cuenta requieren cuidado. Son dinámicas y no deben cachearse agresivamente. Cuando el modo Under Attack está activo, asegúrate de que los callbacks o webhooks de los proveedores de pago funcionen correctamente. Si es necesario, añade las IPs de estos proveedores a la lista blanca o crea reglas específicas para sus endpoints.

Sitios corporativos y con API

Portales corporativos, integraciones CRM y APIs de apps móviles pueden no soportar la pantalla de desafío de JavaScript. Para estos casos, es mejor no aplicar Under Attack en todo el dominio, sino gestionar el subdominio API con seguridad basada en tokens, limitación de tasa y listas blancas. Por ejemplo, www.ejemplo.com puede estar en modo Under Attack mientras api.ejemplo.com usa otra protección.

Métricas a seguir tras activar el modo Under Attack

Para saber si una medida de seguridad funciona, hay que monitorizar números. No basta con que el sitio cargue; deben analizarse errores, carga del servidor y comportamiento real de usuarios.

• Eventos de seguridad en Cloudflare: cuántas solicitudes se desafían o bloquean por regla.
• Códigos HTTP: seguimiento de cambios en errores 403, 429, 502, 503 y 504.
• Consumo de CPU y RAM del servidor: debe disminuir tras activar el modo.
• Conexiones PHP-FPM y MySQL: indican alivio en la capa de aplicación.
• Ancho de banda y número de solicitudes: comparar volumen total y solicitudes filtradas.
• Conversiones reales: probar envíos de formularios, pedidos, logins y pagos.

Por ejemplo, si tras activar Under Attack el total de solicitudes se mantiene pero las que llegan al origen bajan un 60 %, significa que Cloudflare está absorbiendo la carga. Si el uso de CPU o MySQL sigue alto, puede haber una consulta específica que el ataque explota; conviene revisar los logs de la aplicación.

¿Cómo desactivar el modo Under Attack cuando termina el ataque?

Una vez normalizado el tráfico, no es recomendable dejar Under Attack activo permanentemente. Mostrar desafíos a todos los visitantes afecta conversiones, rastreo y experiencia. Apagarlo debe hacerse de forma controlada.

Pasos para volver a la normalidad con seguridad

• Espera al menos 30-60 minutos con tráfico en niveles normales.
• Confirma en Cloudflare Security Events que los desafíos y bloqueos disminuyeron.
• Asegúrate de que las reglas WAF y limitación de tasa específicas estén activas antes de desactivar Under Attack.
• Reduce el nivel de seguridad a High o Medium para un balance adecuado.
• Prueba el sitio desde diferentes dispositivos y monitorea errores 5xx.
• Supervisa los logs durante 24 horas para detectar nuevos ataques.

Como buena práctica, elabora un informe post-evento con hora de inicio del ataque, URLs objetivo, volumen máximo de solicitudes, acciones tomadas, reglas efectivas y mejoras permanentes. Este documento ayuda a responder más rápido en futuros incidentes.

Errores comunes que debes evitar

En momentos de estrés es fácil cometer errores que bloquean usuarios legítimos o dejan brechas. Los más frecuentes son:

• Creer que Under Attack protege sin tener los registros DNS en modo proxied.
• Dejar visible la IP de origen y no limitar el firewall para aceptar solo tráfico Cloudflare.
• Aplicar challenges a todo el dominio sin probar APIs, webhooks o callbacks de pago.
• Escribir reglas WAF muy amplias que bloquean clientes reales.
• Cachear agresivamente páginas de carrito, pago o panel de usuario.
• Dejar el modo Under Attack activo semanas después de terminado el ataque.
• Tomar decisiones solo con base en el panel de Cloudflare sin revisar logs del servidor.

En tiendas online, bloquear callbacks de pago puede generar pérdidas significativas. Por eso, al crear reglas es mejor probar primero con logs o challenges gestionados antes de bloquear directamente. Solo tras confirmar la efectividad, se puede endurecer la acción.

¿Cómo planificar una defensa más robusta en la infraestructura de Hostragons?

Cloudflare ofrece una primera línea potente, pero la defensa efectiva contra DDoS no termina en el CDN. La infraestructura de hosting, la optimización del software, la configuración SSL, la gestión DNS y la estrategia de backups deben considerarse conjuntamente. En Hostragons, la idea es clara: Cloudflare filtra el tráfico, el hosting solo atiende tráfico limpio y la aplicación está optimizada para no saturar la base de datos.

Antes de lanzar un proyecto, es fundamental gestionar correctamente los registros DNS, instalar certificados SSL sin problemas y elegir recursos de servidor acordes al perfil de tráfico. Para guiarte, puedes revisar los enlaces Consulta de dominio y registro de nombre de dominio, Paquetes de alojamiento web, soluciones de hosting corporativo y Certificado SSL gratuito.

En proyectos con mucho tráfico o alto riesgo de ataques, es mejor optar por VPS o servidores gestionados en lugar de hosting compartido estándar. Así puedes configurar firewall, servidor web, PHP-FPM, Redis, caché de objetos y base de datos con mayor flexibilidad. Sea cual sea la infraestructura, el modo Under Attack debe considerarse solo una herramienta de emergencia; la seguridad permanente debe apoyarse en WAF, análisis de logs y actualizaciones constantes.

Lista rápida: primeros 15 minutos ante un ataque DDoS

El tiempo es crítico durante un ataque. Esta lista resume las acciones que el equipo técnico o el propietario del sitio pueden realizar en los primeros 15 minutos.

• Ingresa al panel de Cloudflare y selecciona el dominio correcto.
• Verifica que los registros DNS estén en modo proxied (nube naranja).
• Activa el modo Under Attack.
• Prueba accesos a la página principal, login, carrito, pago y endpoints API.
• Identifica URLs objetivo desde el panel Security Events.
• Agrega reglas WAF o limitadores de tasa para las rutas más atacadas.
• Controla uso de CPU, RAM, PHP-FPM y MySQL en el servidor.
• Confirma que no haya acceso directo a la IP de origen.
• Revisa si es necesario añadir a listas blancas proveedores de pago, webhooks y APIs críticas.
• Registra cada acción con hora para seguimiento.

Si esta lista se practica regularmente, se reduce el pánico y mejora la calidad de la respuesta ante un ataque real. En sitios grandes, conviene documentarla como un plan formal de respuesta a incidentes.

Preguntas frecuentes

¿El modo Under Attack de Cloudflare protege completamente el sitio?

No. Este modo es eficaz para reducir tráfico bot y flood a nivel HTTP/HTTPS, pero no garantiza protección total. Debe usarse junto con registros DNS proxied, ocultamiento de IP de origen, reglas WAF, limitación de tasa, caché y firewall en servidor.

¿El modo Under Attack afecta negativamente al SEO?

Su uso temporal generalmente no perjudica el SEO de forma significativa. Sin embargo, mantenerlo activo por mucho tiempo puede afectar la eficiencia del rastreo y la experiencia del usuario. Por eso se recomienda desactivarlo tras el ataque y continuar con reglas de seguridad específicas.

¿Cuánto tiempo debe mantenerse activo el modo Under Attack?

Se puede mantener activo mientras dure la intensidad del ataque. En la práctica, se recomienda monitorear hasta que el tráfico se estabilice y luego esperar 30-60 minutos antes de desactivarlo de forma gradual, asegurando que reglas WAF y limitación de tasa estén listas.

¿El modo Under Attack afecta APIs o sistemas de pago?

Sí, puede hacerlo. Algunos clientes API, servicios de webhook o callbacks de pago no pueden completar la verificación basada en navegador. Por eso es esencial probar estos endpoints y aplicar listas blancas o reglas personalizadas para evitar interrupciones.

¿Se deben tomar medidas adicionales en el hosting al usar Cloudflare?

Sí. Aunque Cloudflare ofrece una capa fuerte de protección, la IP del servidor debe estar oculta, el firewall configurado para aceptar solo tráfico legítimo, el software actualizado y el caché correctamente configurado. Una infraestructura de hosting segura es clave para la resistencia ante DDoS.

Conclusión

El modo Under Attack de Cloudflare es una herramienta efectiva para dar un respiro rápido a un sitio bajo ataque DDoS. Activado con la configuración correcta de proxy DNS, reduce el tráfico malicioso, aligera la carga del servidor y mejora la probabilidad de que los usuarios legítimos accedan. Para mejores resultados, debe combinarse con reglas WAF, limitación de tasa, optimización de caché y seguridad en el firewall del origen.

Si quieres que tu sitio sea más resistente a ataques, revisa regularmente tu infraestructura, gestión DNS y configuración SSL. Explora las soluciones de hosting, dominios y certificados SSL de Hostragons para construir una base segura y sostenible para tu proyecto web.