Error 1020 / 1015 de Cloudflare: acceso denegado y límite de solicitudes

Qué significa este error y cómo reconocerlo

• Aparece una página de error con la marca de Cloudflare en lugar del sitio web o recurso solicitado.
• La página muestra explícitamente Error 1020: Access denied o Error 1015: You are being rate limited.
• La respuesta suele incluir un Cloudflare Ray ID, una hora aproximada y el hostname afectado.
• El Error 1020 puede afectar a una dirección IP, ruta, patrón de solicitud o condición de una regla de seguridad específicos, mientras otros visitantes siguen conectándose.
• El Error 1015 puede desaparecer cuando disminuye la actividad de solicitudes, reaparecer durante picos o afectar a usuarios que comparten una misma IP pública mediante NAT, un proxy o una puerta de enlace corporativa.
• La solicitud puede haberse detenido en el edge de Cloudflare antes de que la gestionara la aplicación de origen. Compare el error con los logs del origen en lugar de asumir que todos los fallos similares tienen la misma causa.

Causas principales, ordenadas por probabilidad

Causas más probables

1. Una regla de firewall, WAF o seguridad de Cloudflare coincidió con la solicitud (1020). La regla puede evaluar la IP de origen, el país, la ruta URI, el método HTTP, los headers, el user agent u otro atributo de la solicitud.
2. Se superó un umbral configurado de limitación de solicitudes (1015). Las cargas repetidas de páginas, el sondeo de una API, los crawlers, las descargas paralelas, los intentos de inicio de sesión o muchos usuarios detrás de una misma dirección compartida pueden activar la política.
3. Una política de seguridad es más amplia de lo previsto. Una regla diseñada para una ruta administrativa o tráfico abusivo también puede coincidir con un visitante legítimo, un servicio de monitorización, una red de oficina o un cliente de API.
4. Un patrón de IP de origen compartido o inusual provocó la coincidencia. Las VPN, los proxies, el NAT de operadores y las puertas de enlace corporativas pueden hacer que usuarios no relacionados parezcan proceder de una misma dirección.
5. Un cambio reciente en la configuración de Cloudflare introdujo el bloqueo. Esto es especialmente probable cuando el error comenzó inmediatamente después de cambiar el firewall, el WAF, la protección contra bots o la limitación de solicitudes.

Estos errores no son, por sí solos, una prueba de que el servidor de origen esté caído. Una solicitud bloqueada puede no llegar nunca al origen, mientras que un problema independiente del origen puede producir una respuesta diferente.

Cómo solucionarlo

Si eres un visitante

1. Registra la página de error completa. Anota si indica 1020 o 1015, el Ray ID, la marca de tiempo, la zona horaria, el hostname y la URL o acción que falló. No compartas contraseñas, tokens ni otros datos confidenciales de la solicitud.
2. Deja de reintentar rápidamente. Si el error es 1015, espera antes de volver a intentarlo. Las actualizaciones repetidas, las pestañas paralelas y los reintentos automatizados pueden prolongar o activar repetidamente la limitación de solicitudes.
3. Pausa las fuentes de solicitudes evitables. Detén los gestores de descargas, extensiones de navegador agresivas, scripts, sondeos de API, crawlers u otras herramientas que soliciten repetidamente el mismo sitio. Si procede, prueba una solicitud normal desde un navegador sin VPN ni proxy, pero no eludas un control de acceso que no estés autorizado a eludir.
4. Comprueba si el problema es limitado o afecta a todo el sitio. Puede estar bloqueada una sola ruta, acción de cuenta o red mientras otras páginas funcionan. Que una solicitud funcione desde otra red no demuestra que el sitio esté operativo para todos.
5. Contacta con el operador del sitio web. Proporciona el número de error, el Ray ID, la marca de tiempo, la URL afectada, una descripción de lo que estabas haciendo y tu dirección IP pública solo si el operador la solicita y es apropiado compartirla.

Si administras la zona de Cloudflare

1. Confirma la capa que generó la respuesta. Comprueba la marca de Cloudflare, el número de error, el Ray ID y la marca de tiempo. Compara el evento con los logs de acceso del origen; si no existe una solicitud correspondiente en el origen, probablemente el bloqueo se produjo en el edge de Cloudflare.
2. Para el Error 1020, inspecciona los eventos de seguridad y las reglas coincidentes. Usa el Ray ID, la hora, la IP de origen y la ruta de la solicitud para identificar la regla del firewall, el WAF o la regla personalizada, la política de acceso u otro control que denegó la solicitud. Revisa la expresión de la regla en lugar de desactivar todos los controles de seguridad.
3. Para el Error 1015, inspecciona los análisis y la configuración de la limitación de solicitudes. Identifica el hostname, la ruta, el método, la identidad del cliente y el umbral coincidentes. Comprueba si muchos usuarios legítimos comparten una dirección mediante NAT, un proxy o una puerta de enlace corporativa.
4. Compara las solicitudes bloqueadas y permitidas. Comprueba la ruta, la query string, el método, los headers, la red de origen y la frecuencia de las solicitudes. Esto ayuda a distinguir un falso positivo de tráfico realmente excesivo u hostil.
5. Haz el cambio autorizado más pequeño posible. Limita la expresión de la regla, corrige una condición no prevista, crea una excepción con un alcance reducido o ajusta la política de limitación para el endpoint afectado. Mantén controles más estrictos en las rutas de autenticación y administración, salvo que el responsable de seguridad autorice lo contrario.
6. Prueba de forma segura y monitoriza. Usa una solicitud de prueba autorizada que represente al tráfico afectado. Confirma que el acceso legítimo funciona y que la protección prevista sigue activándose para el tráfico que debe controlar. Revisa los eventos de Cloudflare y los logs del origen después del cambio.
7. Escala el caso con evidencias si la coincidencia no está clara. Conserva el Ray ID, la marca de tiempo y la zona horaria, el identificador de la regla o nombre de la política, el hostname, la ruta, el contexto de la red de origen y los detalles relevantes del evento. Evita cambiar las reglas repetidamente sin registrar cada resultado.

Prevención y cómo verificar la solución

• Mantén las expresiones del firewall y WAF tan específicas como sea práctico, especialmente para páginas públicas, API y redes compartidas.
• Configura los límites de solicitudes usando la combinación adecuada de ruta, método, identidad del cliente y patrón de tráfico, en lugar de depender de un umbral global amplio.
• Ten en cuenta las direcciones de salida de NAT, VPN, proxy y redes corporativas como identidades compartidas al evaluar el tráfico legítimo.
• Revisa los eventos de seguridad después de implementar o cambiar reglas, incluido el tráfico de usuarios normales, sistemas de monitorización y clientes de API.
• Proporciona a los equipos de soporte un proceso estándar para recopilar el Ray ID, la marca de tiempo, el hostname y la ruta afectada, en lugar de reintentar repetidamente.
• Documenta la diferencia entre los bloqueos en el edge de Cloudflare y los errores del origen para que los responsables revisen primero los logs correctos.
• Registra las excepciones aprobadas con un alcance reducido y revísalas periódicamente; evita las listas de permitidos permanentes y amplias que debiliten la protección.