LaLiga bloquea Cloudflare: por qué cae tu web cuando hay fútbol y qué hacer

El domingo 1 de noviembre pulidostudio.com, una de mis webs corporativas, estuvo horas inaccesible para una parte de los usuarios de España. No había ningún fallo en el servidor ni en el DNS. Los operadores estaban bloqueando direcciones IP de Cloudflare a petición de LaLiga, como hacen cada jornada de fútbol desde febrero de 2025, y mi dominio compartía una de esas IPs con alguna web que emitía partidos sin licencia.

Si gestionas webs en España, te ha pasado o te va a pasar. Entre enero y junio de 2026 el observatorio OONI contó al menos 554.507 dominios bloqueados en algún momento durante los partidos, el 90 % de ellos alojados tras Cloudflare. La sentencia que lo permite sigue vigente hasta el final de la temporada 2026/27, los recursos han fracasado y el Tribunal Constitucional ni siquiera ha decidido si admite los amparos.

En este artículo explico por qué ocurre (la respuesta corta: se bloquean direcciones IP enteras, no dominios, y Cloudflare sirve miles de dominios desde cada IP), quién responde por los daños (nadie, de momento) y qué alternativas tienes para que tu web o la de tus clientes no se apague cada vez que juega el Madrid.

Qué le pasó a mi web el domingo (y lo que probablemente le pase a la tuya)

Un bloqueo de LaLiga se parece mucho a una caída del hosting y no lo es. La web deja de cargar para quienes entran desde la fibra de los grandes operadores españoles, mientras que desde una VPN o desde cualquier conexión fuera de España funciona con normalidad. El navegador no muestra un error 522 o 502 de Cloudflare, que significaría que Cloudflare recibió la petición y no pudo hablar con tu servidor; simplemente se queda esperando, porque la conexión hacia esa IP se corta dentro de la red del operador.

Eso fue lo que viví el domingo con pulidostudio.com. El servidor respondía, el certificado estaba en orden y Cloudflare no tenía ninguna incidencia abierta. Lo único que pasaba era que había fútbol y que la dirección que Cloudflare había asignado a mi dominio estaba en la lista que LaLiga envía a los operadores. Horas de web inaccesible por una decisión en la que ni yo ni ninguno de los afectados hemos tenido voz.

Hay una forma rápida de confirmarlo. La web ¿Hay ahora fútbol?, mantenida por un grupo de ingenieros que mide los bloqueos desde conexiones domésticas de distintos operadores, tiene un comprobador en el que escribes tu dominio y te dice si apunta a IPs bloqueadas en ese momento y en qué operadores. Tu monitorización habitual no lo verá si sus sondas están fuera de España, que es lo normal en servicios como UptimeRobot o Pingdom.

Por qué LaLiga puede ordenar bloqueos de IP: la sentencia 310/2024

LaLiga no bloquea nada por sí misma: lo hacen los operadores, obligados por una resolución judicial. El 18 de diciembre de 2024 el Juzgado de lo Mercantil nº 6 de Barcelona dictó la sentencia 310/2024 en un procedimiento promovido por LaLiga y Telefónica Audiovisual Digital (la empresa de Movistar Plus+) contra Vodafone, MasOrange, Digi y Telefónica, según detalla la respuesta del Gobierno a una pregunta parlamentaria. Ninguna de las operadoras se opuso, y ni Cloudflare ni los proveedores de alojamiento fueron llamados al procedimiento.

La sentencia autoriza el bloqueo "dinámico": LaLiga puede añadir cada semana las IPs "sucesoras" que detecte sin que el juzgado revise ninguna. Los primeros bloqueos llegaron el 9 de febrero de 2025 y en marzo de ese año Javier Tebas reconocía que bloqueaban unas 3.000 IPs cada fin de semana. La medida dura hasta el final de la temporada 2026/27, previsiblemente el 20 de junio de 2027.

Cloudflare y RootedCON, la asociación que organiza el mayor congreso de ciberseguridad de España, pidieron la nulidad de la sentencia porque nadie les había escuchado. El mismo juzgado lo rechazó en el auto 295/2025, de 25 de marzo de 2025, apreciando "orfandad probatoria" sobre los daños a terceros. Y el perímetro ha crecido: una segunda sentencia, de 23 de marzo de 2026, autoriza a Movistar Plus+ a pedir bloqueos en un plazo máximo de 30 minutos durante la Champions League, el tenis o el golf, también hasta la temporada 2026/27. Los bloqueos ya no son solo cosa de sábados y domingos.

ECH, SNI e IPs compartidas: por qué caen webs que no tienen nada que ver con el fútbol

Para entender el daño hay que entender cómo bloquea un operador. En una conexión HTTPS normal, el nombre de la web que quieres visitar viaja sin cifrar al principio de la conexión, en un campo llamado SNI (Server Name Indication). Gracias a él un operador puede cortar un dominio concreto sin tocar al resto de webs que viven en la misma dirección. Encrypted Client Hello (ECH), una mejora de privacidad que Cloudflare y Chrome activaron de forma general en 2024, cifra también ese campo: el operador ve que te conectas a Cloudflare, pero no a qué web. La propia sentencia 310/2024 cita ECH como la razón por la que el bloqueo por dominio "ya no es eficaz" y pide, en su lugar, bloquear las direcciones IP.

Ahí está el origen de todo: una mejora de privacidad para los usuarios se convirtió en el argumento para pasar del bisturí a la motosierra. Cloudflare funciona como un proxy inverso, un intermediario que recibe el tráfico de miles de webs en las mismas direcciones IP. Bloquear una de esas IPs apaga a la vez todas las webs que la comparten, con y sin fútbol detrás. Los planes de pago no cambian nada: en los testimonios recogidos por Xataka, tiendas con plan de pago sufrieron exactamente lo mismo que las que usan el plan gratuito. Y un túnel de Cloudflare tampoco te libra, porque su nombre público apunta a las mismas IPs compartidas.

Hay algo más grave que la caída. En la red de Digi, OONI detectó entre febrero y junio de 2026 un certificado TLS falso inyectado en las conexiones a más de 7.000 IPs: un ataque de intermediario (man in the middle) hecho por el propio operador como forma de bloquear. Que un ISP intercepte conexiones cifradas para cumplir una orden sobre fútbol debería preocupar a cualquiera que trate datos de usuarios.

Cuántas webs caen cada jornada: los datos de OONI de 2026

La cifra más sólida que existe es la del Open Observatory of Network Interference, una organización sin ánimo de lucro que mide la censura en internet desde 2012. Su informe del 30 de junio de 2026, basado en mediciones desde España y en resoluciones DNS de 9,2 millones de dominios populares, identifica 554.507 dominios (el 5,8 % de la muestra) bloqueados en algún momento durante las emisiones de LaLiga entre enero y junio de 2026. Los autores lo consideran un suelo, porque solo pueden ver las IPs a las que apuntaban los dominios que estaban midiendo.

El dato que hay que retener es la desproporción: en una ventana típica de una hora de partido, bloquear entre 4 y 20 direcciones IP dejaba inaccesibles más de 400.000 dominios. En total se bloquearon 7.441 IPs de 36 proveedores distintos, entre ellos Amazon, Cloudflare, Alibaba Cloud, Akamai, Meta y Microsoft. La tabla compara, para cada proveedor, su cuota sobre el total de dominios afectados con su cuota sobre el total de IPs bloqueadas: Cloudflare supone el 30 % de las IPs y, sin embargo, el 90 % de los dominios caídos, porque sirve muchísimos dominios desde cada dirección. Amazon, que da direcciones propias a cada cliente, es justo el espejo.

Fuente: elaboración propia a partir de Filastò, Xynou y Gulati (2026). Datos de España, enero-junio de 2026.

Entre los dominios afectados que documenta OONI hay sedes de Amnistía Internacional, de UNICEF y ACNUR, el Senado de Australia o direcciones de Amazon S3. En episodios anteriores habían caído la web de la RAE, la pasarela de pagos Redsys, Google Fonts, Twitch o GitHub Pages. La temporada 2026/27 arrancó el 15 de agosto con un pico de unas 550 IPs bloqueadas la primera noche y con Digi como el operador que más bloqueó y durante más tiempo.

Lo que cuesta a las empresas y por qué nadie responde por el daño

Detrás de cada dominio bloqueado hay un negocio, un profesional o una institución que depende de estar en línea, y cada bloqueo se traduce en visitas, clientes y facturación que no vuelven. Xataka recogió testimonios concretos en abril de 2025: OnlyTenis, una tienda de artículos de tenis y pádel, pasó de ingresar 70.000 euros al mes a entre 40.000 y 50.000, y el Colegio de Abogados de Sevilla, que no vende nada, hablaba de daño reputacional porque sus colegiados no podían entrar los domingos.

El caso más dañino para una tienda online es el de los pagos. Cuando la pasarela devuelve al cliente a la tienda y esa vuelta pasa por una IP bloqueada, el cobro se realiza pero el pedido no queda registrado: el cliente cree que ha comprado y la tienda no sabe nada hasta que llega la reclamación semanas después.

¿Y quién responde? Es la pregunta que publiqué en LinkedIn tras el bloqueo del domingo y que sigue sin respuesta. El auto de marzo de 2025 dice que no se acreditaron daños; LaLiga repite en sus rectificaciones a la prensa que ningún titular de un dominio bloqueado ha probado perjuicio alguno y que Cloudflare "ni es víctima ni perjudicada", sino quien da cobijo a los sitios ilícitos. Los afectados no fuimos parte del procedimiento, así que no podemos recurrir, y el único canal que LaLiga ofrece es un buzón de correo (afectadoscloudflare@laliga.es) para que le pidas a Cloudflare que te cambie de IP.

La defensa de LaLiga es que más de la mitad de las IPs piratas que distribuyen su señal están protegidas por Cloudflare, que los bloqueos son "dinámicos y proporcionados" y que la responsabilidad del daño colateral es de quien mezcla webs legales e ilegales en la misma dirección (LALIGA, 2025). Sus propios números dejan la eficacia en entredicho: en el escrito que envió a la Comisión Europea en 2025 reconoce haber gastado 10 millones de euros en la campaña de bloqueos de la temporada 2024/25 y que solo el 1,33 % de sus avisos a intermediarios acabó en contenido retirado o bloqueado. Proteger los derechos de una empresa es legítimo. Hacerlo pisando los de cientos de miles de terceros, y con ese rendimiento, no lo es.

Qué se está haciendo para frenarlo: Constitucional, Congreso y Bruselas

En los tribunales españoles solo queda el amparo. RootedCON presentó recurso ante el Tribunal Constitucional en mayo de 2025 y Cloudflare hizo lo propio semanas después; ambos piden medidas cautelares. En septiembre de 2026 la Asociación de Internautas denunciaba que, más de un año después, el Constitucional seguía sin decidir siquiera si admitía a trámite el recurso. Mientras tanto, LaLiga y Movistar Plus+ presentaron en marzo de 2026 una querella contra el consejero delegado de Cloudflare, Matthew Prince, por presuntos delitos de piratería audiovisual.

Fuera de los juzgados, Cloudflare ha denunciado los bloqueos ante el Gobierno de Estados Unidos como una barrera al comercio digital, y Vercel, otra de las plataformas afectadas, calificó en su blog lo que está pasando como una forma de censura de internet sin rendición de cuentas, recordando que un bloqueo por SNI permitiría apagar dominios concretos sin tocar los demás. LaLiga, por su parte, se alió en abril de 2026 con Fastly, competidora directa de Cloudflare, para detectar emisiones ilegales con inteligencia artificial; está por ver si eso afina los bloqueos o solo los acelera.

En el Congreso, la Comisión de Economía aprobó el 29 de abril de 2026 una proposición no de ley de ERC, pactada con el PSOE, que pide al Gobierno revisar cómo se ejecutan estos bloqueos y reformar la Ley de Servicios Digitales y la de Propiedad Intelectual para incorporar la "proporcionalidad tecnológica". No cambia la ley, pero marca el camino. Bruselas es más ambigua: el estudio que el Parlamento Europeo encargó al profesor Giovanni Maria Riccio, publicado en julio de 2026, cita el caso español como prueba de un sobrebloqueo sistemático de contenidos que no infringen nada y, a la vez, recomienda un reglamento europeo con órdenes de bloqueo en 30 minutos al estilo del Piracy Shield italiano. Si ese reglamento llega sin salvaguardas reales contra el bloqueo de IPs compartidas, lo de España dejará de ser una anomalía para convertirse en la norma europea.

Alternativas para que tu web no se caiga cuando hay fútbol

No hay una solución limpia, porque el problema no está en tu servidor sino en la red del operador. Lo que sí puedes decidir es dónde te expones y cómo de rápido reaccionas. Antes de tocar nada, comprueba en ¿Hay ahora fútbol? si tu dominio apunta a IPs bloqueadas, añade a tu monitorización al menos una sonda que salga desde una conexión residencial española y guarda los registros con fecha y hora: son la única prueba que vas a tener si algún día se abre una vía de reclamación. Estas son las opciones que valoro para mis webs y las de mis clientes, de la más inmediata a la más estructural.

Nube gris: sacar el tráfico del proxy de Cloudflare

En el panel DNS de Cloudflare, poner el registro de tu dominio en gris (modo "DNS only") hace que resuelva a la IP real de tu servidor y el bloqueo deja de afectarte. Es inmediato y gratis, con unos cinco minutos de propagación. El precio es que pierdes el cortafuegos, la caché, la mitigación de ataques DDoS y la ocultación de tu servidor, no solo en España sino para todo el mundo, y que el tráfico de bots que Cloudflare filtraba llega entero a tu máquina. Si vas por aquí, compensa en el servidor con caché propia (LiteSpeed, Nginx o Varnish), un cortafuegos de aplicación local, límites de peticiones por IP y fail2ban.

Automatizar el conmutador durante los partidos

El punto medio más práctico es un pequeño script que consulta cada pocos minutos las listas de ¿Hay ahora fútbol? y, cuando ve tu IP bloqueada en dos o más operadores, cambia el registro a gris mediante la API de Cloudflare; cuando el bloqueo desaparece, lo devuelve a naranja. Varios desarrolladores lo han publicado y existe incluso un plugin de WordPress que lo hace solo. Conservas Cloudflare la mayor parte del tiempo y te expones únicamente durante la jornada.

IP dedicada en Cloudflare: solo para Enterprise

Cloudflare lo dice en su documentación: en los planes Free, Pro y Business no hay IPs dedicadas ni rotación de IP a petición; solo los clientes Enterprise pueden alquilar IPs estáticas o traer sus propios rangos de direcciones. Para una pyme no es una vía realista; para una tienda que factura lo suficiente, Enterprise con IP estática es la única forma de seguir detrás de Cloudflare con garantías.

Cambiar de CDN no te salva por sí solo; cambiar de arquitectura, sí

Mudarse a otra CDN con IPs compartidas es cambiar de sitio dentro de la misma diana: OONI vio bloqueadas IPs de 36 proveedores, y en 2025 cayeron rangos de Vercel, GitHub Pages o BunnyCDN. Lo que importa es si tu dominio tiene una IP propia o la comparte con miles. Un servidor virtual con IP dedicada y tu propia capa de caché y seguridad es hoy la opción más robusta frente a este riesgo concreto. Y aunque tu dominio sobreviva, tu web puede romperse por lo que carga de terceros (Google Fonts ya ha caído por estos bloqueos): aloja en tu propio servidor las fuentes y los scripts críticos y configura la notificación servidor a servidor de la pasarela de pago para que el pedido se registre aunque la vuelta del cliente a la tienda falle.

Qué cambia (y qué no) para el SEO y la analítica

Googlebot rastrea desde Estados Unidos, así que la indexación no se ve afectada directamente por un bloqueo que solo aplican operadores españoles. Lo que sí vas a ver es una caída de sesiones y conversiones de usuarios de España en las franjas de partido, que puede confundirse con un problema de posicionamiento si no la cruzas con el calendario de LaLiga. En campañas de pago conviene excluir o bajar pujas en esas ventanas: estás pagando clics hacia una web que no carga. Y documenta las caídas para el cliente antes de que las vea en Analytics y te llame.

Documentar, reclamar y hacer ruido

Apúntate a la lista de afectados por LaLiga, escribe al buzón que LaLiga habilitó y comunica tu caso a RootedCON o a la Asociación de Internautas, que son quienes sostienen los recursos. No esperes una indemnización a corto plazo: LaLiga sostiene que nadie ha acreditado perjuicio y el procedimiento no te reconoce como parte. Pero sin casos documentados, el Constitucional, el Congreso y el Parlamento Europeo seguirán decidiendo con las cifras de LaLiga y no con las nuestras.

Qué pasará en 2027, cuando caduque la sentencia

La autorización de la sentencia 310/2024 termina con la temporada 2026/27, previsiblemente el 20 de junio de 2027 con el último partido de Segunda División, y la de Movistar Plus+ de marzo de 2026 tiene el mismo horizonte. LaLiga intentará renovarla, esta vez con la alianza con Fastly bajo el brazo y con un contexto europeo que empuja hacia bloqueos todavía más rápidos. La diferencia respecto a diciembre de 2024 es que ahora existen datos independientes: el informe de OONI, el estudio del Parlamento Europeo, la proposición aprobada en el Congreso y tres temporadas de webs caídas documentadas.

Lo razonable, y lo que cualquiera que gestione webs en España debería exigir, es que una nueva autorización excluya expresamente los rangos de IP compartida de los proveedores de infraestructura, obligue a bloquear por dominio donde sea técnicamente posible, publique la lista de IPs bloqueadas en cada ventana y abra un canal de desbloqueo con plazos. Hasta entonces, cada jornada de LaLiga seguirá siendo una lotería para medio millón de dominios, el mío incluido.