Bloqueos de IP: Cloudflare acusa a LaLiga y al Gobierno

Cloudflare acusa a LaLiga y al Gobierno de permitir bloqueos de IP que dañan webs legítimas; contamos el choque y los remedios que se piden.

Cloudflare ha puesto el dedo en la llaga: denuncia bloqueos masivos de direcciones IP en España, impulsados —según su versión— por LaLiga y tolerados por una inacción del Gobierno de España que no habría fijado salvaguardas ni una supervisión pública efectiva. El resultado, describe la compañía, es sobrebloqueo: cortar el acceso a una IP compartida por miles de webs para frenar la piratería de fútbol, con daños colaterales sobre medios, comercios, foros o servicios en la nube que nada tienen que ver con las retransmisiones ilícitas. LaLiga lo discute: reivindica que actúa con amparo judicial, dentro de la ley, y que la responsabilidad última es de quienes difunden contenidos sin derechos. Dos relatos opuestos para un problema muy concreto que afecta a la infraestructura de Internet en España.

El corazón del asunto es nítido. Cloudflare asegura que en jornadas de alto consumo —partidos, fines de semana, encuentros decisivos— operadores españoles bloquean rangos de IP en los que residen, bajo su protección, sitios totalmente legítimos. La empresa de ciberseguridad sostiene que no existe una supervisión gubernamental previa que verifique si la medida es proporcional, temporal y técnicamente afinada. Afirma que España se ha convertido en un “caso notorio” a escala internacional por la manera en que se aplican estas órdenes. LaLiga, por su parte, niega el carácter indiscriminado del bloqueo, esgrime resoluciones judiciales de dinamismo técnico, insiste en que el objetivo es cortar señales que infligen un perjuicio económico al deporte y acusa a Cloudflare de blindar a los infractores tras su red.

Qué hay realmente en disputa

No se discute la existencia de piratería audiovisual. Tampoco que la distribución ilícita de partidos genera pérdidas y erosiona el negocio del fútbol profesional. El choque está en el método y sus límites. Cloudflare defiende que bloquear direcciones IP compartidas —cuando en esa IP conviven miles de proyectos— viola el principio de proporcionalidad aceptado en la UE: se castiga a inocentes para atrapar a culpables. Afirma que la herramienta adecuada sería el bloqueo quirúrgico por DNS, dominio o URL, acompañado de medidas que se adapten en tiempo real a los movimientos de los infractores, sin tumbar servicios ajenos. LaLiga, en cambio, sostiene que la rotación agresiva de dominios, CDN y rutas por parte de quienes piratean las señales la obliga a trabajar con órdenes de bloqueo dinámico que permitan actuar con rapidez a nivel de red; y que esos autos de los juzgados delimitan el alcance, fijan ventanas temporales y exigen reportes a posteriori.

El Gobierno aparece en el centro por acción u omisión. Cloudflare le reprocha no arbitrar salvaguardas explícitas: protocolos transparentes de notificación, criterios de prueba de daño y auditorías independientes sobre el impacto del bloqueo. Esa ausencia, según su queja, deja la proporcionalidad en manos de litigantes privados y de la capacidad técnica de los operadores, con un poder de facto para interrumpir tráfico legítimo durante horas. Desde la Administración se reivindica, en términos generales, que España ya cuenta con mecanismos legales contra la piratería y que la ejecución corresponde a jueces y telecos bajo el paraguas normativo vigente.

LaLiga, piratería y los bloqueos de red

LaLiga lleva años desplegando una estrategia antipiratería que combina monitorización, demandas y bloqueos dinámicos en colaboración con operadores. Persigue restreams y listas M3U, portales espejo, IPTV ilegales, direcciones que saltan de dominio en dominio, proxys que enmascaran el origen y redes de distribución de contenidos que permiten replicar la señal en minutos. En ese combate, el tiempo es el recurso crítico: si el partido avanza, el daño ya es irreversible para un derecho deportivo que se vende minuto a minuto.

Cuando un juzgado autoriza el bloqueo, los operadores aplican filtros en su red. Según Cloudflare, en España la ejecución se ha ampliado con frecuencia a IPs compartidas de grandes proveedores de infraestructura. Ese enfoque es eficaz cuando se trata de una IP dedicada exclusivamente a una web pirata; pero se vuelve problemático si detrás hay alojamiento multiinquilino: miles de sitios que usan la misma dirección por eficiencia, equilibrio de carga o cacheo global. El bloqueo de una sola IP “contaminada” se convierte entonces en una barrera masiva para proyectos legítimos: tiendas que dejan de vender, diarios locales que pierden audiencia, SaaS que fallan a sus clientes.

Cómo se bloquea una dirección IP compartida

Las telecos pueden bloquear por IP, DNS, SNI (el indicador del nombre del servidor durante el inicio de una conexión TLS) o URL si la orden judicial lo precisa y la técnica lo permite. El bloqueo por IP es el más burdo —y rápido—: todo lo que apunte a esa dirección queda inaccesible. El bloqueo por DNS corta la resolución de un dominio, pero no afecta a otros alojados en la misma IP si se resuelve por nombres distintos. El bloqueo por SNI intenta identificar el host durante el handshake TLS; funciona mientras el SNI no vaya cifrado. El bloqueo por URL, más fino, requiere inspección y es costoso en latencia y mantenimiento, además de levantar debates de privacidad.

Cuando los piratas rotan con diligencia dominios y servidores, el bloqueo de IP se percibe como el único martillo lo bastante contundente. Esa contundencia, admite incluso parte del sector, arrastra a inocentes con facilidad si no se delimita temporalmente, no se valida el impacto y no se revierten de inmediato los cortes una vez que deja de ser necesaria la medida.

Por qué el remedio arrastra a inocentes

La arquitectura moderna de la web favorece la compartición: CDN, balanceadores, reverse proxies y nubes concentran tráfico heterogéneo en los mismos rangos de direcciones. Un comercio que sirve fotos desde una red de entrega puede “coincidir” en la misma IP con un foro, una pequeña ONG y, durante un rato, un espejo que retransmite un partido sin permiso. Si el operador bloquea la IP, todos caen. Cloudflare lo define como “daño colateral evitable” y argumenta que existe tecnología suficiente para aislar al infractor sin apagar el resto. LaLiga replica que quien mueve la portería sin parar es el pirata, y que no actuar con rapidez significa impunidad.

La posición de Cloudflare y el choque con LaLiga

Cloudflare ha verbalizado el conflicto con nombres y apellidos: LaLiga como ejemplo de sobrebloqueo y Gobierno de España por pasividad regulatoria. Sostiene que sus sistemas detectan picos de desconexiones coincidiendo con jornadas futbolísticas de máximo interés, y que esas desconexiones afectan a proyectos ajenos a cualquier retransmisión. Pide límites claros: o bien prohibir el bloqueo por IP compartida salvo verificación técnica previa, o bien imponer auditorías ex post con publicación de informes y un mecanismo rápido de compensación para negocios dañados. También reclama que cualquier orden especifique duración, alcance exacto y métricas de eficacia.

LaLiga no se reconoce en esa fotografía. Hace tiempo que mantiene un discurso duro contra la piratería y ha tejido alianzas tecnológicas con proveedores de fingerprinting de vídeo, marcado de señales y takedowns coordinados. Defiende que todas sus actuaciones se enmarcan en autos judiciales que atienden a criterios de proporcionalidad y que llevan controles a posteriori, con reportes a los juzgados. Y, sobre todo, niega que el objetivo sea bloquear masivamente: busca cortar fuentes concretas que emiten contenido robado, en un terreno donde los infractores cambian de IP, de dominio y de plataforma con la misma facilidad con la que alguien renueva una contraseña.

Ambas posturas chocan en un punto sensible: quién decide y quién rinde cuentas cuando la herramienta falla. Cloudflare insiste en que falta un árbitro público con capacidad de auditar los efectos y de imponer correcciones; LaLiga se ampara en la tutela judicial efectiva y en la obligación de proteger un activo económico que financia buena parte del sistema deportivo.

Qué debería hacer el Gobierno según los expertos

En el centro de la controversia aparece el papel del Gobierno: fijar reglas, aclarar el perímetro y exigir rendición de cuentas. Lo que plantean juristas y técnicos que han seguido el debate se puede resumir en tres salvaguardas básicas.

Primera, proporcionalidad técnica verificable. Antes de cortar una IP compartida, el solicitante debería acreditar que no existen alternativas menos lesivas: bloqueo por DNS o por nombre, listado de FQDN afectos, ventanas horarias acotadas, listas blancas de servicios críticos y un plan de rollback inmediato si se detecta daño colateral. Esa verificación puede ser previa o, si la urgencia lo impide, obligatoria a posteriori con consecuencias si no se cumple.

Segunda, transparencia. Informes periódicos —públicos— con métricas: cuántas órdenes se ejecutaron, qué IPs o nombres de host estuvieron afectadas, duración de cada bloqueo, quejas recibidas, incidencias técnicas, correcciones aplicadas. Transparencia no significa revelar tácticas o fuentes; sí implica que la sociedad pueda medir el impacto de una política que literalmente apaga trozos de Internet durante horas.

Tercera, notificación y reparación. Si un tercero inocente queda sin servicio por un bloqueo, debe existir un canal ágil para notificar la caída, una ventana de reversión y —cuando haya perjuicio económico probado— compensaciones proporcionales. Hoy, gran parte de esas reclamaciones se diluyen entre abogados, soportes técnicos y mesas de ayuda que, en eventos de fin de semana, responden tarde y mal.

Salvaguardas, transparencia y auditoría técnica

La auditoría independiente es la pieza menos glamourosa y, sin embargo, la más eficaz. Un equipo externo, con mandato claro y acceso temporal a los registros, podría muestrear eventos de bloqueo, validar si los dominios objetivo estaban efectivamente implicados en la piratería durante el periodo ordenado y cuantificar el daño colateral. No se trata de señalar con el dedo sino de mejorar el procedimiento: si una IP de un CDN aloja 10.000 dominios y solo uno era problemático, el informe hará visible la desproporción y forzará a refinar la técnica para la siguiente jornada.

Datos, impactos y casos que ilustran el problema

No hace falta un caso de manual para entender lo que ocurre cuando se bloquea una IP compartida. Se repite un patrón:

Un diario comarcal que sirve su web y sus galerías fotográficas desde un reverse proxy se queda en blanco en la hora del partido. El equipo técnico, de guardia corta la tarde del sábado, intuye que hay un corte en la ruta hacia su CDN. No es un ataque DDoS; no es un fallo de su hoster. El problema desaparece al terminar el encuentro. La audiencia se ha evaporado justo en el pico del día.

Una tienda de repuestos con catálogo en SaaS y pagos integrados no puede confirmar pedidos porque parte de sus scripts está alojada en un dominio que comparte IP con cientos de proyectos. El soporte le pide trazas, promete “escalar al operador” y, 90 minutos después, todo vuelve. Demasiado tarde para vender a quien ya ha encontrado alternativa.

Un foro de soporte de un software libre, con usuarios repartidos por toda la península, ve cómo señales de distintos ISP no alcanzan el sitio durante una ventana muy concreta, mientras en redes sociales circula el enlace a un stream pirata. El foro no tiene relación con la emisión, salvo compartir IP dentro del mismo rango.

Estos escenarios —y otros— alimentan la denuncia de sobrebloqueo. No prueban culpabilidad de nadie por sí solos, pero se acumulan cuando la técnica elegida no discrimina con finura. LaLiga sostiene que cada medida responde a una orden específica, con listas objetivos que cambian en tiempo real y con ventanas limitadas a la duración del evento. Cloudflare replica que, incluso si esa es la intención, la ejecución arrastra a demasiados terceros.

Lo que dice la ley y el terreno de juego regulatorio

España cuenta con instrumentos contra la piratería —administrativos y judiciales— que permiten bloqueos de acceso a contenidos ilícitos. La tutela de los derechos de propiedad intelectual coexiste con la obligación de proteger la libertad de información y la actividad económica de terceros. En esa balanza, el principio de proporcionalidad es clave: medidas necesarias, adecuadas y ponderadas. El debate que abre Cloudflare no cuestiona la legitimidad de luchar contra la piratería; cuestiona cómo se ejecutan las órdenes en la capa de red cuando la opción más rápida corta demasiado.

El marco europeo añade otra capa: la tendencia a exigir “due diligence” a plataformas y proveedores de servicios, junto a salvaguardas de no interferencia excesiva. En esa línea, varias jurisdicciones europeas han ido priorizando bloqueos por dominio o DNS frente a los bloqueos de IP amplios, y cuando estos últimos se emplean, se circunscriben a ventanas limitadas y con monitorización en tiempo real. España, señalan críticos, debería explicitar ese estándar en su política pública —sin dejar de proteger los derechos de emisión— para evitar daños innecesarios.

Tecnología disponible y buenas prácticas que ya existen

Nada de lo anterior exige inventar la pólvora. Existen herramientas y rutinas que reducen el daño colateral sin desarmar a quien pelea contra la piratería.

Listas de objetivos vivas: no “IPs sospechosas”, sino dominios o rutas concretas con marcadores que prueban que sirven contenido pirateado en el momento del bloqueo.

Ventanas temporales estrictas: un bloqueo que nace y muere dentro de la franja del evento, con verificación automática y desconexión inmediata apenas desaparece la emisión ilícita.

Listas blancas: exclusión expresa de servicios críticos alojados en el mismo rango (medios verificados, hospitales, administración digital, pasarelas de pago), para evitar apagones indiscriminados.

SNI/QUIC y TLS modernos: si el cifrado del nombre de servidor dificulta el bloqueo por SNI, debe contemplarse un enfoque combinado que mantenga la privacidad del usuario y la eficacia de la medida, pero no empuje a la solución de fuerza por IP compartida.

Canales de emergencia: un punto único de contacto —visible y operativo en fines de semana— para que los terceros legítimos afectados pidan desborde inmediato, aportando pruebas y recibiendo respuesta en minutos, no al lunes siguiente.

Auditoría posterior: informes que cuantifiquen tanto el impacto como la eficacia: ¿cuántas fuentes ilícitas cayeron?, ¿cuánto tráfico legítimo se vio afectado?, ¿qué ajustes se aplicarán la próxima vez?

Estas prácticas no blindan contra todos los fallos, pero mutan el bloqueo de una herramienta tosca a un instrumento quirúrgico. De paso, elevan la credibilidad de las medidas ante la ciudadanía y reducen el margen para que un proveedor de infraestructura, como Cloudflare, descalifique la política española de forma global.

Un conflicto de incentivos y reputaciones

Hay también un elemento reputacional nada menor. LaLiga ha convertido la lucha contra la piratería en un estandarte político y empresarial. Necesita mostrar resultados. Y en ese marco, no moverse ante picos de difusión ilegal no es una opción. En el lado opuesto, Cloudflare compite por confianza entre millones de sitios que le delegan su distribución y seguridad. Si una jurisdicción se percibe como hostil al alojamiento compartido, la compañía alza la voz: la reputación de “escudo” depende de que sus clientes sientan que estar detrás de Cloudflare no te convierte en daño colateral. Los operadores de telecomunicaciones, por su parte, se mueven entre presiones judiciales, costes operativos y la aspiración de no aparecer en titulares como responsables de “apagar Internet”.

Este triángulo de incentivos explica la tensión. Y explica también por qué cada declaración se calibra al milímetro: LaLiga no cederá en asociar bloqueos con defensa del deporte y empleo; Cloudflare no cederá en asociar sobrebloqueo con mala praxis y falta de garantías; los operadores pedirán claridad en las órdenes y tiempos que les permitan operar con seguridad jurídica.

Qué pasará a corto plazo si nada cambia

Si el procedimiento continúa como hasta ahora, es previsible que se repitan incidencias en ventanas de alto tráfico. Cada jornada con picos de audiencia traerá órdenes dinámicas y, con ellas, el riesgo de que algún rango compartido caiga por el camino. El efecto es previsible: negocios que pierden ventas, medios que ven caer el tiempo de permanencia, usuarios que buscan atajos como VPN o proxies para acceder a servicios legítimos. La desconfianza en la estabilidad de ciertos proveedores crecerá, y con ella el coste de migrar o diversificar infraestructuras para evitar que todos los huevos estén en la misma cesta IP.

A medio plazo, la presión pública podría empujar a protocolizar salvaguardas. Incluso sin una gran reforma legal, bastaría con que los autos incorporaran plantillas técnicas más precisas, con exigencias de transparencia y canales de reparación. También se abriría paso la colaboración técnica: mecanismos de señalización en tiempo real entre quien detecta la emisión ilícita y las CDN/proxies que pueden aislarla sin tirar del cable a los vecinos.

Lo esencial que conviene retener hoy

Hay tres certezas. Una: existe un problema real de piratería que afecta al modelo económico del deporte. Dos: el bloqueo por IP compartida es eficaz para apagar rápido, pero imperfecto y lesivo cuando no se ajusta con lupa. Tres: falta una capa de garantías —técnicas, de transparencia y de reparación— que ordene el procedimiento y reduzca al mínimo el daño colateral.

En ese marco, la acusación de Cloudflare al Gobierno de España por pasividad no es un pleito retórico: es un toque de atención para que la Administración fije reglas claras en un terreno donde la celeridad no puede ser excusa para apagar lo que no debe apagarse. LaLiga, con su legitimidad para proteger derechos, tiene margen para liderar un patrón de bloqueo más fino, verificable y auditado. Los operadores, a su vez, necesitan órdenes bien especificadas y un paraguas jurídico que premie la precisión técnica frente al martillo de la IP.

Nada de esto resuelve mañana el enlace ilícito que aparece a los diez minutos del partido. Pero sí puede evitar que, cada vez que suena el himno en un estadio, una parte de la red española quede a oscuras sin deberla ni temerla. Esa es la frontera que separa proteger derechos de bloquear Internet. Y ahí es donde se juega, de verdad, el próximo partido.