Cloudflare SSL y el SSL instalado en tu hosting no son lo mismo: Cloudflare cifra el tramo entre el visitante y la red de Cloudflare, mientras que el SSL del hosting cifra el tramo entre Cloudflare (o cualquier visitante directo) y tu servidor. Usarlos juntos correctamente es lo que da protección de extremo a extremo.
Si tienes o estás por contratar un sitio web en México y te preguntas si con Cloudflare gratis ya "tienes SSL" o si necesitas también un certificado en tu hosting, aquí tienes la respuesta completa.
Cómo funciona el SSL de Cloudflare
Cuando activas Cloudflare en tu dominio, el tráfico de tus visitantes pasa primero por los servidores de Cloudflare antes de llegar a tu hosting. Cloudflare actúa como intermediario (reverse proxy) y tiene su propia capa SSL.
Cloudflare ofrece cuatro modos de cifrado SSL que determinan qué tramo se cifra y cómo:
- Off: sin cifrado en ningún tramo. El navegador muestra "No seguro". Nunca lo uses.
- Flexible: cifrado entre el visitante y Cloudflare, pero conexión HTTP sin cifrar entre Cloudflare y tu servidor. El candado aparece en el navegador, pero tu servidor recibe tráfico sin cifrar. Falsa sensación de seguridad.
- Full: cifrado en ambos tramos, pero Cloudflare acepta cualquier certificado en tu servidor, incluso uno auto-firmado sin validar. Mejor que Flexible, pero vulnerable a ataques man-in-the-middle entre Cloudflare y tu servidor.
- Full (Strict): cifrado en ambos tramos y Cloudflare verifica que el certificado en tu servidor sea válido (emitido por una CA reconocida, no expirado). Es la única configuración segura de extremo a extremo.
El certificado SSL que Cloudflare emite para el tramo visitante-Cloudflare es un certificado compartido (tu dominio coexiste con otros en el mismo cert) o uno Advanced Certificate de pago. En ambos casos, Cloudflare es quien lo gestiona, no tú.
Cómo funciona el SSL instalado en tu hosting
Un certificado SSL en tu hosting está instalado directamente en el servidor (Apache o Nginx) y cifra todas las conexiones que llegan a ese servidor, vengan de donde vengan: Cloudflare, bots, visitantes directos, tú mismo desde el panel de administración.
Puede ser:
- Let's Encrypt (DV gratuito): la opción más común en hostings compartidos y VPS modernos. Se instala y renueva automáticamente. Válido y reconocido por todos los navegadores.
- SSL de pago (DV/OV/EV): emitido por Sectigo, DigiCert, GlobalSign u otra CA comercial. Necesario cuando requieres validación OV/EV o un Wildcard.
Comparativa: Cloudflare SSL vs SSL en hosting
| Aspecto | Cloudflare SSL | SSL en hosting |
|---|---|---|
| Qué tramo protege | Visitante ↔ Cloudflare | Cloudflare ↔ servidor (y accesos directos) |
| Cobertura extremo a extremo | Solo si el hosting también tiene SSL válido | Sí, cuando se combina con Cloudflare Full Strict |
| Quien lo gestiona | Cloudflare | Tú / tu proveedor de hosting |
| Protege accesos directos al servidor | No (bypass de Cloudflare) | Sí |
| Cobertura WAF / DDoS | Sí (incluida en planes Cloudflare) | No |
| Costo base | Gratis (plan Free) / desde ~USD 20/mes (Pro) | Gratis (Let's Encrypt) / desde ~MXN 300/año (DV pago) |
| Tipo de validación disponible | DV (shared o Advanced) | DV, OV, EV, Wildcard |
El riesgo real: modo Flexible de Cloudflare
El error más común en sitios mexicanos es activar Cloudflare en modo Flexible y asumir que el sitio está "protegido con SSL". En este modo:
- El navegador del visitante ve el candado y
https://porque la conexión a Cloudflare está cifrada. - Pero la conexión entre Cloudflare y tu servidor es HTTP en claro.
- Cualquier dato que el visitante envíe (contraseñas, información de pago, datos personales) viaja sin cifrar en ese segundo tramo.
- Un atacante con acceso a la red entre Cloudflare y tu datacenter puede interceptar esa información.
La solución es instalar un certificado SSL válido en tu hosting (Let's Encrypt es suficiente) y configurar Cloudflare en modo Full (Strict). Así ambos tramos quedan cifrados y verificados.
En elenlace.com auditamos la configuración SSL y Cloudflare de tu sitio para cerrar exactamente este tipo de brecha.
¿Cuándo usar Cloudflare, cuándo solo el SSL del hosting, y cuándo ambos?
Solo SSL en el hosting (sin Cloudflare)
Válido si tu sitio es pequeño, sin riesgo de DDoS, y el hosting ya incluye el certificado y la renovación automática. Es la configuración mínima aceptable para un sitio en México.
Cloudflare + SSL en el hosting (Full Strict)
La combinación recomendada para cualquier negocio con tráfico real. Obtienes:
- Cifrado de extremo a extremo verificado.
- Red de distribución de contenido (CDN) que acelera la carga.
- Protección WAF contra ataques comunes (SQLi, XSS).
- Mitigación de DDoS automática.
- Ocultar la IP real de tu servidor (los atacantes no pueden saltarse Cloudflare fácilmente).
Solo el SSL de Cloudflare (sin cert en el hosting)
Nunca recomendable. Si alguien descubre la IP de tu servidor y se conecta directo, no tiene cifrado. Además, si el hosting exige HTTPS para ciertos recursos o redirecciones, se romperán bucles de redirección.
Explora más sobre certificados y configuraciones seguras en nuestra sección de seguridad SSL.
Costos y opciones en México
Para la mayoría de sitios en México, la configuración más eficiente en costo es:
- Cloudflare Free: MXN 0/mes. Incluye SSL de borde, CDN básico, WAF limitado y protección DDoS nivel básico.
- Let's Encrypt en el hosting: MXN 0/año. Certificado DV automático que se renueva cada 90 días sin intervención manual (si tu hosting lo soporta).
Si necesitas OV o EV en el tramo de tu servidor (por requisito regulatorio o de contrato), el costo del certificado del hosting aplica por separado. Cloudflare no afecta ese requisito.
Conclusiones clave
- Cloudflare SSL y el SSL de tu hosting protegen tramos distintos: no son intercambiables ni uno sustituye al otro.
- El modo Full (Strict) de Cloudflare es el único que garantiza cifrado de extremo a extremo — requiere un certificado válido en tu servidor.
- El modo Flexible de Cloudflare crea una falsa sensación de seguridad: los datos viajan en claro entre Cloudflare y tu hosting.
- La combinación recomendada es Let's Encrypt en el hosting + Cloudflare Free en modo Full Strict: protección completa a costo cero.
- Cloudflare añade valor extra que el SSL del hosting no puede dar: CDN, WAF y DDoS mitigation.
- Si necesitas OV/EV en el tramo del servidor, instala ese certificado en el hosting y configura Cloudflare en modo Full Strict para que lo valide.
Si quieres que revisemos tu configuración actual de Cloudflare y SSL sin costo, contacta al equipo de elenlace.com — detectamos brechas y te damos el plan de acción.
Preguntas frecuentes
¿Con Cloudflare gratis ya tengo HTTPS en mi sitio de México?
Cloudflare activa el candado HTTPS en el navegador de tus visitantes, pero eso no significa que toda la conexión esté cifrada de extremo a extremo. Si no tienes un certificado válido en tu hosting y Cloudflare está en modo Flexible, el tramo entre Cloudflare y tu servidor es inseguro. Instala Let's Encrypt en el hosting y cambia a modo Full Strict.
¿Necesito un certificado SSL de pago si ya uso Cloudflare?
No necesariamente. Let's Encrypt (gratuito) instalado en tu hosting es suficiente para que Cloudflare en modo Full Strict funcione correctamente. Un certificado de pago OV o EV solo es necesario si tu regulación, contrato o estrategia de marca lo exige explícitamente.
¿Cloudflare oculta la IP de mi servidor?
Sí, siempre que todo el tráfico de tu dominio pase por Cloudflare (registros DNS en modo proxy, la nube naranja). Si tienes un subdominio que apunta directamente al servidor sin proxy, esa IP queda expuesta y los atacantes pueden usarla para saltarse Cloudflare.
¿Qué pasa con mi SSL si cancelo Cloudflare?
Si tienes un certificado válido instalado en tu hosting, tu sitio seguirá funcionando con HTTPS normalmente — solo perderás los beneficios de CDN, WAF y DDoS de Cloudflare. Si dependías únicamente del SSL de Cloudflare (sin cert en el hosting), tu sitio caerá a HTTP al desactivar el proxy.
Para saber más
Otros proveedores y guías que vale la pena comparar:
