Cloudflare Bot Management

Que es Cloudflare Bot Management

Cloudflare Bot Management es el producto de pago para detección de bots de la suite de Cloudflare, disponible en los planes Pro, Business y Enterprise. Aprovecha la posición de Cloudflare como proxy inverso y CDN delante del sitio del operador para inspeccionar cada solicitud HTTP entrante en el edge. Modelos de aprendizaje automático entrenados sobre el grafo global de peticiones de Cloudflare (mas de 50 millones de sitios según datos públicos) calculan un bot score de 1 (casi con seguridad un bot) a 99 (casi con seguridad un humano). El operador define reglas de firewall que bloquean, retan o limitan en función del score. Bot Management se utiliza ampliamente en e commerce, banca, sector publico y ticketing para defender frente a credential stuffing, scraping, acaparamiento de inventario y DDoS.

Que datos se recogen

Bot Management coloca la cookie __cf_bm en el dominio del operador (vida útil deslizante 30 minutos por defecto) con un token cifrado que Cloudflare usa para reconocer la sesión y afinar su score. A nivel de solicitud, Cloudflare inspecciona: IP origen, huella TLS (JA3/JA4), cabeceras HTTP, patron temporal, URL solicitada y señales de la Cloudflare JavaScript Detection si esta activada. Los metadatos agregados retroalimentan los modelos. El cuerpo de la solicitud no se inspecciona salvo que el operador active funciones de payload (Page Shield, detección de bot sobre payload).

Implicaciones RGPD y ePrivacy

Cloudflare posiciona __cf_bm como cookie de seguridad estrictamente necesaria, dentro de la exención del artículo 5(3) de la Directiva ePrivacy para cookies necesarias para prestar un servicio expresamente solicitado. La CNIL acepta esta posición para cookies de seguridad similares, pero la DSK alemana y otras autoridades piden consentimiento granular cuando se mezclan con analítica conductual amplia. Bajo el RGPD, la base jurídica del tratamiento del bot score y la cookie es el interés legítimo del artículo 6(1)(f), justificado por seguridad y prevención del fraude, con balance de intereses por parte del operador. IPs, metadatos y bot scores son datos personales que deben figurar en el registro de tratamientos.

Transferencias y exposición al CLOUD Act

El tráfico de visitantes UE se procesa normalmente en centros de datos edge de la UE (Frankfurt, Amsterdam, París, Londres, Madrid, Milán, etc.). La gestión de configuración, el pipeline de entrenamiento ML, los paneles de cliente y los logs de auditoría están parcialmente en EE.UU. Cloudflare se autocertifica bajo el EU US Data Privacy Framework y usa CCT como respaldo. Cloudflare es estadounidense y, por tanto, esta expuesta al CLOUD Act US, lo que las autoridades europeas senalan como un riesgo a evaluar al margen del estado de certificación. La Data Localisation Suite (Enterprise) fija inspección, claves y entrega de logs en regiones UE, reduciendo el riesgo residual.

Opciones de configuración que afectan al cumplimiento

La JavaScript Detection añade un challenge ejecutable que a veces se carga antes del consentimiento, aceptable bajo la exención de seguridad pero a reflejar en la política de privacidad. Bot Management interactúa con Turnstile (CAPTCHA de Cloudflare) y Page Shield, cada uno con su propia postura de privacidad. El operador puede registrar metadatos completos para forense o solo contadores agregados: el registro completo pesa mas y debe limitarse a lo necesario. En Enterprise, activar la Data Localisation Suite para mantener inspección y material criptográfico en la UE.

Pasos prácticos

Documentar Bot Management en el registro de tratamientos como actividad de seguridad bajo interés legítimo. Listar __cf_bm en la política de cookies como cookie de seguridad estrictamente necesaria, duración 30 minutos, finalidad detección de bots. Firmar el DPA y las CCT de Cloudflare. Evaluar la exposición al CLOUD Act US en la Evaluación de Impacto de la Transferencia, documentar el riesgo residual y las mitigaciones (Data Localisation Suite, identificadores hash, retención limitada de logs). Activar la Data Localisation Suite en Enterprise cuando sea posible. Decidir si se requiere consentimiento para las cookies de Bot Management según el apetito de riesgo y la postura de la autoridad nacional.