Qué se bloquea exactamente en España
El 18 de diciembre de 2024, el Juzgado de lo Mercantil n.º 6 de Barcelona estimó la demanda de LaLiga y Telefónica Audiovisual Digital contra los operadores españoles (sentencia SJM B 309/2024): mientras se retransmiten los partidos, los operadores bloquean las direcciones IP desde las que salen las emisiones piratas. Según OONI, estos bloqueos se observan desde febrero de 2025. Se bloquea por IP, no por dominio ni por SNI. Una sola dirección edge de Cloudflare atiende a decenas de miles de dominios ajenos, así que, junto con los piratas, caen todos los vecinos. El juzgado rechazó los intentos de Cloudflare y RootedCON de anular la sentencia; LaLiga lo anunció el 26 de marzo de 2025 y subrayó que contra esa resolución no cabe recurso.
Qué escala tiene este daño colateral
La escala la midió OONI. De 9,2 millones de dominios analizados, más de 554 000 estuvieron inaccesibles desde España al menos una vez entre el 1 de enero y el 1 de junio de 2026. A Cloudflare le corresponden 501 305 (el 90,4% de todo el daño), y ese daño sale de apenas 2218 direcciones. Para tumbar más de 400 000 dominios durante una hora basta con desactivar entre cuatro y veinte IP. Los propios autores dicen que estas cifras son un límite inferior.
Por qué esto no rompe el sitio web, sino el pago
Para un negocio, la consecuencia no es «el cliente no pudo entrar al sitio». La agencia española WAM, junto con Interactiv4, analizó un caso en el que el bloqueo alcanzó las llamadas de retorno de la pasarela de pago Redsys a tiendas en Adobe Commerce: el pago se completaba, pero la notificación no llegaba, de modo que los pedidos no se marcaban como pagados, las facturas no se emitían y los pedidos fallidos no se cancelaban. Tras trasladar el receptor de notificaciones a un subdominio fuera de Cloudflare, la proporción de confirmaciones fallidas bajó del 48,88% al 1,62%. En la lista de lo bloqueado que publica OONI, junto a los sitios web están s3.amazonaws.com y registry.terraform.io, y en la primavera de 2026 docker pull dejó de funcionar de forma masiva en España. Lo que se rompe es justamente el machine-to-machine: la capa en la que no hay nadie que se queje.
Cómo comprobar tu propia exposición
La comprobación lleva una hora. Mira a qué direcciones resuelven tu dominio y los dominios desde los que te llaman las integraciones de terceros: si tanto los clientes como el receptor de webhooks están detrás del mismo proveedor de edge, caen juntos. Después, cruza los fallos de ingest —la recepción de datos entrantes— de los últimos meses con el calendario del torneo. Nuestro propio servicio en producción estuvo inaccesible desde España varias noches seguidas en agosto de 2026 justamente por un bloqueo de este tipo, mientras todas sus métricas seguían en verde.
Qué hacer al respecto
- Saca el receptor de notificaciones entre máquinas —webhooks, callbacks de pago, ingest— a un subdominio aparte con una ruta aparte, no detrás de la misma dirección edge que el sitio web.
- Lleva un registro de eventos propio de tu lado y una conciliación periódica junto a los webhooks: lo que no llegó durante el bloqueo lo recuperará precisamente la conciliación.
- Si tienes clientes o contratistas en España, revisa el calendario del torneo como parte del calendario de lanzamientos: sale más barato que analizar el incidente a posteriori.
Esta frontera es un caso particular de una regla más amplia: una automatización montada sobre una plataforma ajena hereda sus puntos de fallo junto con ella. La lista completa de compromisos que tu proveedor no asumió está analizada en la nota vecina; el enlace está más abajo.