¿Es seguro añadir un servicio de monitorización a la allowlist del firewall?

Sí, si la regla es acotada. Permite solo las IP que publica el proveedor, salta solo las protecciones que lo bloquean y evita una allowlist basada solo en el user-agent, que es fácil de falsificar. Revisa la regla cuando el proveedor actualice su lista de IP.

¿El modo "I'm Under Attack" de Cloudflare rompe la monitorización de uptime?

Casi seguro. Ese modo muestra un challenge a cada visitante y los monitores no resuelven challenges, así que las comprobaciones fallan mientras está activo. Excluye el monitor con una regla o cuenta con resultados bloqueados hasta que se desactive.

¿Por qué la web carga en mi navegador y el monitor recibe un 403?

Tu navegador ejecuta JavaScript, guarda cookies y se conecta desde una red de casa u oficina, así que la protección contra bots confía en él. Un monitor se conecta desde un centro de datos sin ninguna de esas señales. Un 403 para el monitor y un 200 para ti es la señal típica de un bloqueo del firewall.

¿Un firewall puede bloquear también a Googlebot?

Sí, normalmente por bloqueos por país, límites de peticiones o reglas personalizadas demasiado estrictas. El informe Estadísticas de rastreo y la prueba en directo de la Inspección de URLs en Search Console son las formas fiables de comprobarlo, porque muestran lo que Google recibió realmente.

¿No es más fácil desactivar el plugin de seguridad?

No. Quitar la protección para contentar al monitor cambia un problema de avisos por uno de seguridad. Una regla de allowlist acotada mantiene la protección para el tráfico real y deja pasar al monitor.

← Volver al blog Disponibilidad, SSL y dominios

Monitor de uptime bloqueado por el firewall: cómo detectarlo y solucionarlo

Cuando un monitor de uptime queda bloqueado por el firewall, la web suele funcionar para las personas, pero la capa de seguridad que tiene delante ha decidido que el monitor parece un bot y ha rechazado la petición. Esa capa puede ser un WAF, la protección contra bots de Cloudflare o un plugin de seguridad de WordPress. El monitor recibe un 403, una página de challenge o a veces un 503 en lugar de la página real. La solución es una regla de allowlist acotada, no desactivar la protección.

Por qué las herramientas de seguridad bloquean los monitores

Un monitor se comporta igual que los bots que un firewall debe frenar. Pide la misma URL a intervalos fijos, desde IP de centros de datos, sin ejecutar JavaScript ni guardar cookies. Los orígenes habituales del bloqueo son:

funciones de Cloudflare como Bot Fight Mode, el modo "I'm Under Attack" o reglas personalizadas que aplican challenge a países o redes enteras
un WAF del hosting, por ejemplo conjuntos de reglas ModSecurity, que limita peticiones o filtra por user-agent
plugins de seguridad de WordPress como Wordfence o Solid Security con limitación de peticiones o bloqueo por país activados
reglas de denegación en .htaccess o en la configuración de nginx contra user-agents desconocidos

Cómo reconocer un bloqueo del firewall

El patrón se repite: el monitor informa de un fallo mientras la web carga con normalidad en tu navegador. Después mira la respuesta:

403 Forbidden con una página breve de bloqueo del firewall o del plugin
un 403 o 503 cuyo contenido dice "Just a moment..." o pide verificar que eres humano
una cabecera cf-mitigated: challenge en una respuesta de Cloudflare
429 Too Many Requests si la causa es la limitación de peticiones

Lanzar curl -I desde un servidor en un centro de datos, en lugar de desde tu portátil, suele reproducir el bloqueo. El registro del firewall te dice qué regla saltó: Security Events en Cloudflare, Live Traffic en Wordfence o el log del WAF en el panel del hosting. Esa es la regla que hay que ajustar.

Por qué "bloqueado" no es lo mismo que "offline"

Offline significa que nadie llega a la web y el cliente pierde visitas. Bloqueado significa que el monitor no ve la web, mientras que los visitantes quizá sí. Confundir ambos crea problemas en los dos sentidos. Las falsas alertas nocturnas te acostumbran a ignorar los avisos. Y lo peor: mientras el monitor está bloqueado, no puede avisarte cuando la web se cae de verdad.

La misma regla demasiado amplia también puede frenar a los rastreadores. Las funciones contra bots de Cloudflare suelen dejar pasar a los bots verificados de los buscadores, pero un bloqueo por país o una regla personalizada estricta pueden no hacerlo. Si lo sospechas, revisa en el informe Estadísticas de rastreo de Search Console si suben las respuestas 403 o 5xx y haz una prueba en directo con la Inspección de URLs. Nuestro artículo sobre si las caídas afectan al SEO explica qué suponen los errores repetidos para el rastreo.

Cómo añadir un monitor a la allowlist con seguridad

Parte de la documentación del proveedor de monitorización. La mayoría publica las IP o el user-agent de sus comprobaciones.

Mejor reglas por IP que por user-agent. Cualquiera puede falsificar un user-agent.
Mantén la regla acotada. En Cloudflare, una regla personalizada sobre las IP del monitor con la acción Skip puede saltar solo los componentes que lo bloquean. Super Bot Fight Mode se puede saltar así, mientras que Bot Fight Mode en el plan gratuito no se evita con reglas personalizadas.
En Wordfence, añade las IP a las direcciones en allowlist de las opciones del firewall, sabiendo que estas se saltan todas las reglas.
Anota el cambio en la ficha del cliente con fecha y motivo, para que nadie lo borre en una limpieza futura.

Si no puedes usar una allowlist, monitorizar una URL ligera excluida de la protección contra bots es una opción, asumiendo que te dirá menos sobre las páginas importantes. En WordPress, la monitorización SEO de WordPress repasa otras formas en que los plugins cambian una web sin avisar.

Qué muestra Deltio cuando hay un bloqueo

Deltio comprueba cada web por HTTP cada 10 minutos y le asigna uno de tres estados: online, offline o firewall blocked. Como firewall blocked aparece separado de offline, sabes que toca revisar la configuración de seguridad en vez de llamar al hosting. Para las IP o el user-agent que hay que permitir, consulta la documentación de Deltio o pregunta al soporte en lugar de adivinar. Deltio no te dice si Googlebot está bloqueado: para eso sigue estando Search Console.

Los planes empiezan en £24 al mes, con 14 días de prueba gratuita.

Preguntas frecuentes

¿Es seguro añadir un servicio de monitorización a la allowlist del firewall?: Sí, si la regla es acotada. Permite solo las IP que publica el proveedor, salta solo las protecciones que lo bloquean y evita una allowlist basada solo en el user-agent, que es fácil de falsificar. Revisa la regla cuando el proveedor actualice su lista de IP.
¿El modo "I'm Under Attack" de Cloudflare rompe la monitorización de uptime?: Casi seguro. Ese modo muestra un challenge a cada visitante y los monitores no resuelven challenges, así que las comprobaciones fallan mientras está activo. Excluye el monitor con una regla o cuenta con resultados bloqueados hasta que se desactive.
¿Por qué la web carga en mi navegador y el monitor recibe un 403?: Tu navegador ejecuta JavaScript, guarda cookies y se conecta desde una red de casa u oficina, así que la protección contra bots confía en él. Un monitor se conecta desde un centro de datos sin ninguna de esas señales. Un 403 para el monitor y un 200 para ti es la señal típica de un bloqueo del firewall.
¿Un firewall puede bloquear también a Googlebot?: Sí, normalmente por bloqueos por país, límites de peticiones o reglas personalizadas demasiado estrictas. El informe Estadísticas de rastreo y la prueba en directo de la Inspección de URLs en Search Console son las formas fiables de comprobarlo, porque muestran lo que Google recibió realmente.
¿No es más fácil desactivar el plugin de seguridad?: No. Quitar la protección para contentar al monitor cambia un problema de avisos por uno de seguridad. Una regla de allowlist acotada mantiene la protección para el tráfico real y deja pasar al monitor.