Permitir Relvato tras Cloudflare o un firewall
Si tu sitio está tras Cloudflare, Sucuri, Wordfence o un WAF del hosting, su protección antibots puede bloquear los monitores de Relvato con un 403 — antes de que la solicitud llegue a tu sitio. Así dejas pasar a Relvato de forma segura, con una sola regla. La interfaz de Relvato está en inglés, así que sus textos aparecen aquí tal cual.
Por qué los monitores reciben un 403
Relvato ejecuta tus monitores en un navegador real. Un firewall o capa antibots (Cloudflare es el habitual) ve ese tráfico automatizado y lo bloquea con un HTTP 403 en el borde — antes de que llegue a tu sitio. Es un bloqueo duro, no una página de verificación del navegador que Relvato pueda esperar.
Tus visitantes nunca lo ven: solo afecta a las solicitudes de verificación de Relvato. Tu sitio está bien — solo hay que decirle al borde que Relvato está permitido.
Cómo demuestra Relvato que es Relvato
Cada solicitud que Relvato hace a tu sitio lleva una cabecera estable, X-Relvato-Token. Su valor es único para tu sitio y se deriva de tu secreto de firma — nunca cambia y no es adivinable, así que es seguro usarlo en una regla del firewall.
Encontrarás el valor exacto en Relvato, en tu sitio → «Settings» → «Behind Cloudflare or a firewall?». Cópialo desde ahí.
Añadir la regla de Cloudflare
En el panel de Cloudflare, abre tu dominio → Security → WAF → Custom rules → Create rule. Pon la acción en Skip y marca todas las Managed Rules, Bot Fight Mode y Rate limiting.
Como expresión, haz coincidir la cabecera con el valor de tu sitio: http.request.headers["x-relvato-token"][0] eq "<your value>". Relvato muestra la expresión completa para copiar en la pestaña «Settings» de tu sitio. Publica la regla — la siguiente ejecución debería pasar.
Otros firewalls
La misma idea sirve en cualquier sitio. En Sucuri, Wordfence o un WAF del hosting/CDN, añade una regla de lista de permitidos para las solicitudes cuya cabecera X-Relvato-Token sea igual al valor de tu sitio. Si tu firewall solo permite por IP, también puedes hacerlo, pero ten en cuenta la contrapartida: los monitores de Relvato salen por un conjunto de direcciones que va rotando, así que una lista por IP hay que revisarla cada cierto tiempo, mientras que la regla de cabecera sigue funcionando. Las direcciones en uso ahora mismo aparecen en tu sitio → «Settings» → «Behind Cloudflare or a firewall?» y en https://app.relvato.com/api/egress-ips. Cuando puedas elegir, la cabecera es además la coincidencia más estricta: una dirección puede compartirse, un secreto por sitio no.
Imunify360 y otros firewalls del servidor
Imunify360, mod_security y cPanel/CSF se ejecutan en el propio servidor, no en el borde: una regla de Cloudflare nunca llega hasta ellos y en tu panel de hosting no suele haber un interruptor de lista de permitidos. Es el caso en el que los monitores siguen fallando aunque tu regla de CDN esté activa, con un 403 o con una página «Please wait while your request is being verified» servida como un 200 normal.
Pide a tu hosting una de estas dos cosas: una regla que deje pasar las solicitudes con la cabecera X-Relvato-Token y el valor de tu sitio, o una entrada en la lista de permitidos para las direcciones desde las que llegan los monitores de Relvato. En Imunify360 lo segundo es un comando por dirección: imunify360-agent ip-list local add --purpose white <address> --scope group
La pestaña «Settings» de tu sitio muestra las direcciones actuales y los comandos exactos, listos para pegar en un ticket de soporte. La lista legible por máquina está en https://app.relvato.com/api/egress-ips: dirige a tu hosting ahí en vez de a un valor copiado en un correo. Como las direcciones rotan, pide a tu hosting la regla de cabecera cuando la admita y vuelve a consultar esta lista si el bloqueo reaparece.
Dónde permitir Relvato, según el firewall
| Firewall | Dónde añadirla | Qué hacer coincidir |
|---|---|---|
| Cloudflare | Security → WAF → Custom rules → Skip | X-Relvato-Token igual a tu valor |
| Sucuri | Firewall → Access Control → Allowlist | X-Relvato-Token igual a tu valor |
| Wordfence | Firewall → reglas permitidas | Solicitudes con X-Relvato-Token |
| WAF del hosting/CDN | Reglas de bots o seguridad | Permitir la cabecera X-Relvato-Token |
| Imunify360 / firewall del servidor | Pídelo a tu hosting — Imunify360 → regla de permiso o allowlist de IP (una regla de CDN no lo evita) | Cabecera X-Relvato-Token, o las direcciones de salida de Relvato |
Preguntas
¿Es seguro hacer coincidir por la cabecera?
Sí. El valor es un secreto por sitio derivado de tu secreto de firma — único y no adivinable —, así que nadie más puede enviarlo. Es mucho más seguro que una regla amplia por user-agent o IP.
¿Esto debilita mi firewall?
No. La regla solo omite la protección antibots para las solicitudes que llevan tu token secreto exacto; cualquier otra solicitud sigue totalmente protegida.
Uso Bot Fight Mode / Super Bot Fight Mode.
Suelen ser la causa del 403. Asegúrate de que tu regla Skip marque Bot Fight Mode (y en planes superiores añade una excepción para Super Bot Fight Mode) para que las solicitudes de Relvato pasen.
Sigue fallando tras añadir la regla.
Dale un minuto para propagarse y vuelve a ejecutar el monitor. Si sigue fallando, confirma que el valor de la cabecera coincide exactamente y que la acción es Skip (Allow por sí solo no omite Bot Fight Mode).
¿Puedo permitir Relvato por IP en vez de por cabecera?
Sí. Los monitores de Relvato salen de un conjunto pequeño y fijo de direcciones: la pestaña «Settings» de tu sitio las lista y https://app.relvato.com/api/egress-ips las devuelve en JSON. Es la opción para un firewall del servidor como Imunify360, que está en el origen, donde una regla de CDN nunca llega. Cuando puedas elegir, la cabecera sigue siendo más estricta: es única de tu sitio.