CF Football Bypass nace de un problema muy concreto —y cada vez más frecuente— en la Internet española: los bloqueos judiciales de IP y rangos completos ordenados durante los partidos de fútbol para combatir las retransmisiones pirata. En ese contexto, sitios legítimos que nada tienen que ver con el deporte se ven arrastrados por el mismo tiro de red: caen visitas, baja la facturación y se resiente la reputación técnica de proyectos que cumplen la ley. El plugin, creado por David Carrero (@carrero) y publicado con licencia GPLv2, propone una solución automática, segura y reversible para instalaciones WordPress que utilizan Cloudflare como proveedor DNS.
Su propuesta es tan simple como eficaz: vigilar cuándo “hay fútbol ahora” y, durante esa ventana de riesgo, quitar temporalmente el proxy de Cloudflare en los registros DNS que el administrador seleccione (A y CNAME). Así, el tráfico deja de atravesar IPs de Cloudflare susceptibles de estar en listas de bloqueo y pasa a DNS Only (origen directo). Acabado el partido —o transcurrido el tiempo configurado—, el propio plugin vuelve a activar el proxy y todo regresa a la normalidad. Sin cambios de contenido, sin alterar URLs, sin tocar nada más.
La idea, escrita en código abierto y publicada en GitHub, llega con vocación de servicio público: proteger sitios legítimos frente a un efecto colateral que no deberían sufrir.
En España, LaLiga solicita y obtiene resoluciones para bloquear IPs y rangos asociados a plataformas que distribuyen contenidos sin autorización. Esos bloqueos temporales se ejecutan en caliente durante el encuentro. Pero al tratarse de rangos compartidos —por ejemplo, IPs de un CDN como Cloudflare— el corte puede arrastrar a webs que nada tienen que ver con el streaming. El resultado se ve en analítica: curvas de tráfico con caídas bruscas coincidiendo con la hora del partido.
Para comercios electrónicos, medios locales, blogs de nicho o servicios corporativos, el impacto se traduce en ventas perdidas, leads que no llegan y usuarios frustrados. CF Football Bypass no discute la legitimidad de la orden judicial ni pretende eludirla en los objetivos perseguidos; minimiza un daño colateral protegiendo el acceso a sitios lícitos que quedan atrapados por compartir infraestructura.
El plugin consulta automáticamente el estado de los eventos futbolísticos en España a través de hayahora.futbol. En función del resultado:
Ese es el flujo por defecto. Además, el administrador puede forzar manualmente la activación o desactivación del bypass —por ejemplo, ante un fallo externo, un amistoso no programado, una prórroga o por simple prevención.
Un detalle importante de seguridad: si la consulta a hayahora.futbol falla, el plugin asume que NO hay fútbol y no toca nada. Es decir, falla a seguro.
CF Football Bypass ofrece dos vías de autenticación contra Cloudflare:
Para el Token API, los permisos necesarios son:
En la práctica, con un token restringido reduces la superficie de riesgo si esas credenciales llegaran a filtrarse. El plugin guarda los datos en la configuración de WordPress y los utiliza únicamente para listar registros y cambiar el flag de proxy.
El plugin se apoya en wp_cron, el sistema de tareas programadas de WordPress. Permite programar una comprobación cada X minutos (entre 5 y 60, recomendado 15). En sitios con poco tráfico, cuando wp_cron puede no dispararse con regularidad, el autor ha añadido un endpoint protegido mediante token para lanzar la tarea desde el cron del servidor:
*/15 * * * * curl -s "https://tudominio.com/wp-cron.php?cfb_cron=1&token=TOKEN_AQUI" > /dev/null 2>&1
Lenguaje del código: PHP (php)Ese endpoint solo ejecuta la comprobación del plugin. El token se regenera al guardar ajustes con el campo vacío. Además, en la pestaña de Operación hay un diagnóstico que indica la próxima ejecución esperada y el resultado del último check.
La clave está en el control fino:
@ y www) y dejar el resto —correo, FTP, subdominios internos— siempre proxied.En su panel de administración, CF Football Bypass muestra:
Para auditoría, incorpora logs detallados: cron interno o externo, acciones manuales, usuario, fecha y resultado. La retención es configurable y también es posible desactivar el registro. El fichero cfb-actions.log se guarda en la carpeta del plugin. Además, WordPress registra los eventos programados, por lo que puede verificarse la programación en Herramientas → Salud del sitio → Info → Eventos programados (buscar cfb_check_football_status).
El proceso es directo:
wp-content/plugins/cf-football-bypass/.Desde ese momento, la automatización queda activa: el cron vigilará los partidos y el plugin alternará entre Proxied y DNS Only según toque.
1) Sitios de alto tráfico
La combinación de control por registro y tiempos ajustables permite minimizar el impacto en CDN/caché: se puede dejar estático o medios en proxied y conmutar solo @ y www. Para proyectos con picos fuertes en horario de partido, la reducción de errores 5xx/522 y las quejas de usuarios puede ser notable.
2) Ecosistemas con múltiples subdominios
El plugin no obliga a una política única. Cada subdominio puede estrategiarse: por ejemplo, app.empresa.com siempre proxied, blog.empresa.com conmutado y api.empresa.com inalterado. Esa flexibilidad evita romper integraciones o cdns estáticos.
3) Emergencias y override manual
Aunque lo normal es dejarlo en automático, hay botones para forzar el bypass ante un incidente no contemplado, para testear o para volver atrás si algo no sale como se espera. Importante: al desactivar el plugin, se ejecuta una función de seguridad que reactiva el proxy en todos los registros seleccionados, de modo que no quedan estados colgando.
CF Football Bypass solo cambia el flag proxied/DNS Only en los registros marcados. No borra registros DNS, no edita contenidos, no toca reglas de firewall, no manipula páginas o cachés. La interacción con Cloudflare se restringe a listar registros y editar el estado del proxy mediante la API oficial. Por diseño, no puede “apagar” servicios como email o FTP si no han sido seleccionados.
El plugin no evita bloqueos sobre IPs de origen (las tuyas); lo que hace es evitar exponerse a bloqueos sobre IPs de Cloudflare cuando un juez ordena cortar rangos del CDN. Si tus IPs de origen acaban listadas, el problema es otro —y la mitigación también.
Última versión estable: 1.0.1, que añade Token API de Cloudflare, confirma el control manual con doble verificación, incorpora una sidebar con enlaces útiles y mejoras de logs/errores. La 1.0.0 introdujo la monitorización automática y la gestión de registros con API Key Global.
El autor, David Carrero (@carrero en X), mantiene un canal de contacto en la web de Carrero y anima a abrir issues y mejoras en el repositorio. Es software libre (GPLv2 o posterior): puede usarse, modificarse y redistribuirse bajo los términos de la licencia.
En suma, CF Football Bypass no “hackea” nada: orquesta una conmutación temporal para que la web salga de la línea de fuego de los bloqueos por rangos que impactan en Cloudflare cuando rueda el balón.
¿Cómo configurar CF Football Bypass con Cloudflare Token API paso a paso (permisos mínimos y Zone ID)?
En Cloudflare → Mi perfil → Tokens API → Crear token y elige Personalizado. Añade Zone:Read, DNS:Read y DNS:Edit. Copia el Zone ID de tu dominio (se ve en la vista de la zona). En WordPress → Ajustes → CF Football Bypass, selecciona Token API, pega el token y el Zone ID, guarda, pulsa “Probar conexión y actualizar lista DNS” y marca los registros que quieras gestionar.
¿Afecta CF Football Bypass al SEO o al rendimiento de mi WordPress con Cloudflare?
No debería. El plugin no cambia contenido ni URLs; solo alterna Proxied/DNS Only. El efecto sobre caché/CDN es temporal y controlado por registro (p. ej., @ y www). Google y los navegadores siguen resolviendo el mismo dominio; lo que varía es el camino que toma el tráfico durante el partido.
¿Cómo usar el cron externo para asegurar que el bypass se active durante partidos con poco tráfico web?
En Ajustes → CF Football Bypass copia el token del apartado “Cron externo” y programa en el servidor una entrada como:*/15 * * * * curl -s "https://tudominio.com/wp-cron.php?cfb_cron=1&token=TOKEN_AQUI" > /dev/null 2>&1
Así, la comprobación se ejecuta cada 15 minutos incluso sin visitas. Puedes diagnosticar el estado en la pestaña Operación y ver logs en el menú del plugin.
¿Qué registros DNS conviene conmutar a DNS Only durante los partidos para evitar bloqueos de IP en Cloudflare?
Depende del proyecto, pero en general: dominio raíz (@) y www. Deja mail/ftp/subdominios internos siempre proxied si los necesitas tras Cloudflare (o si no deben exponerse). Si usas subdominios de estáticos o APIs, decide caso a caso. El objetivo es proteger el front público sin romper otros servicios.
Un plugin pequeño en apariencia, pero muy grande en impacto cuando el reloj del árbitro empieza a correr.
Código disponible en GitHub CF Football Bypass.
