Cloudflare es una de las herramientas más usadas para acelerar y proteger webs. Es gratis en su versión básica, funciona muy bien y casi todas las agencias lo montan. El problema no es Cloudflare: es que, cuando lo activas, pasa a gestionar el DNS de tu dominio. Y quien controla el DNS controla a dónde va tu tráfico, tu web y tu correo. Si esa cuenta no es tuya, tampoco lo es ese control.
Es, con diferencia, el bloque donde más veces salta la alerta en una auditoría:
REQUIERE ACCIÓN
- Nameservers apuntando a Cloudflare
- Cliente añadido como miembro invitado
- Cuenta propiedad del proveedor, no del cliente
- El dueño puede revocar el acceso del cliente
- Sin control real sobre registros MX / A
Qué hace Cloudflare exactamente
Cuando pones tu dominio en Cloudflare, cambias los servidores de nombres (nameservers) para que apunten a los de Cloudflare. A partir de ahí, es Cloudflare —y quien tenga la cuenta— quien decide a qué servidor apunta tu web, a dónde va tu correo (los registros MX) y qué subdominios existen.
Traducido: quien tenga las llaves de tu Cloudflare puede, en teoría, apagar tu web o redirigir tu tráfico sin tocar tu hosting ni tu dominio. Es una pieza silenciosa pero enorme.
Cómo comprobar si el Cloudflare es tuyo
- Mira si tu dominio usa Cloudflare. Busca «whois» + tu dominio y fíjate en los nameservers. Si terminan en
.ns.cloudflare.com, tu DNS está en Cloudflare. - Pregúntate a qué cuenta pertenece. Cloudflare es una cuenta con un email y una contraseña. La pregunta no es «¿uso Cloudflare?», sino «¿con qué correo está creada la cuenta y tengo yo acceso a ese correo?».
- Intenta entrar. Ve a
dash.cloudflare.com, pon el correo de tu empresa y prueba a recuperar la contraseña. Si te llega el email, la cuenta es tuya. Si no llega nada, está a nombre de otro correo (casi siempre, el de tu proveedor).
«Pero me han añadido como usuario»
Que te hayan invitado a un Cloudflare no es lo mismo que ser el dueño. El propietario de la cuenta puede eliminar dominios, expulsar usuarios y borrar la configuración. Los miembros invitados pueden ver o editar según el permiso, pero el dueño puede quitarles el acceso cuando quiera. Si eres invitado en la cuenta de tu agencia, el día que la relación se rompa ese acceso puede desaparecer con un clic.
Cómo recuperar el control de tu DNS
Tienes dos caminos limpios:
- Que te transfieran el dominio dentro de Cloudflare. Cloudflare permite mover un dominio de una cuenta a otra sin que la web deje de funcionar.
- Crear tu propia cuenta y migrar el DNS. Creas un Cloudflare con el correo de tu empresa, replicas todos los registros actuales y cambias los nameservers a los que te asigne tu cuenta. Si se copia todo antes, la web y el correo no se enteran.
El objetivo es el mismo: que la cuenta desde la que se decide a dónde va tu tráfico esté a nombre de tu empresa, con un correo al que solo tú accedes.
En resumen
Usar Cloudflare está muy bien. Usar el Cloudflare de otro significa que un tercero controla el DNS de tu dominio. Comprueba con qué correo está la cuenta y si puedes entrar tú. Si no puedes, tienes un eslabón crítico fuera de tu alcance.