Cloudflare y WordPress: HTTPS y caché sin romper el sitio
Cloudflare puede aportar DNS, CDN y funciones de protección para un WordPress. Su configuración debe conservar acceso, correo y contenido dinámico. No basta con cambiar nameservers y activar caché para cualquier URL.
Antes de comenzar, respalda el sitio y registra sus DNS actuales. Esta guía describe decisiones de configuración; los nombres de opciones y condiciones dependen de la oferta vigente.
Revisa DNS antes del cambio
Inventaría web, correo, verificaciones y otros servicios del dominio. Comprueba qué registros deben pasar por proxy y cuáles requieren resolución directa según su función.
Un error de MX o de registros de autenticación puede afectar correo aunque la portada siga abriendo. No elimines registros desconocidos sin identificar a qué servicio pertenecen.
HTTPS tiene dos tramos
Cuando Cloudflare actúa como proxy, existe una conexión del visitante al servicio y otra del servicio al origen. Proteger el primer tramo no acredita que el segundo esté cifrado y validado.
Full (strict) exige condiciones apropiadas del certificado del origen, como identidad y vigencia compatibles. Configúralo cuando el servidor cumpla los requisitos y verifica antes de imponer redirecciones.
No utilices Flexible como arreglo universal de un certificado roto. Puede dejar un tramo sin la protección esperada y causar bucles con redirecciones del origen.
Comprueba WordPress y el esquema
WordPress debe reconocer correctamente HTTPS para generar enlaces y manejar cookies. La configuración depende del proxy y del hosting; no confíes en cabeceras arbitrarias de cualquier cliente.
Prueba administración, carga de medios y enlaces internos. Un bucle de redirección requiere revisar quién fuerza HTTPS y qué esquema reconoce cada componente.
Define caché por tipo de contenido
Utiliza Cache Rules y las herramientas disponibles para tu plan actual. No dependas de un límite antiguo de Page Rules como descripción permanente del servicio.
- Las páginas públicas pueden ser candidatas a caché bajo condiciones adecuadas.
- Carritos, cuentas y contenido personalizado requieren exclusiones.
- Las cookies y respuestas del origen pueden cambiar el comportamiento.
- La administración no debe convertirse en una página pública almacenada para otros usuarios.
Una regla que incluye todo el dominio necesita una justificación mucho más cuidadosa que una regla para recursos estáticos.
Prueba con dos estados de sesión
Abre una sesión nueva sin autenticar y otra con un usuario de prueba. Comprueba que no comparten datos privados y que formularios y operaciones críticas conservan su funcionamiento.
Revisa cabeceras y herramientas de diagnóstico para entender si una respuesta provino de caché. No deduzcas el resultado solo por la velocidad percibida.
Coordina capas y actualizaciones
El servidor, el plugin y Cloudflare pueden aplicar caché. Identifica qué controla cada uno y cómo invalidarlo. Una combinación no documentada puede mostrar contenido viejo o dificultar una corrección.
Mantén WordPress y el origen actualizados. Un proxy no elimina vulnerabilidades de una aplicación ni protege un acceso administrativo mal configurado.
Revertir un cambio
Conserva DNS y configuraciones anteriores y entiende cómo retirar o modificar el proxy. Revisa certificados antes de enviar tráfico directamente al origen, porque un certificado válido para un tramo puede no ser adecuado para otro acceso.
Preguntas frecuentes
¿Cloudflare reemplaza el hosting?
No. El origen sigue alojando la aplicación y datos en el diseño habitual de WordPress.
¿Puedo cachear todo para mejorar velocidad?
No sin revisar contenido personalizado y operaciones dinámicas. Una regla indiscriminada puede exponer datos o romper sesiones.
¿El candado demuestra cifrado hasta mi servidor?
No por sí solo. Verifica el modo TLS y el certificado del origen, además de la conexión visible del visitante.
En pocas palabras
Cloudflare añade una capa entre visitantes y servidor, pero el origen sigue necesitando mantenimiento y un certificado apropiado. La caché debe respetar sesiones y contenido privado.
Conclusión
Comprueba rutas públicas y autenticadas después de cada cambio y conserva el acceso al origen. Amplía reglas únicamente cuando conozcas qué contenido puede compartirse entre visitantes.
Para continuar, revisa Cómo instalar WordPress paso a paso: guía rápida y WordPress en Docker (ARM y x86): guía completa con docker-compose, Dockerfile y PHP.ini.