Cachear el checkout con una CDN puede romper WordPress

Tras activar una CDN para mejorar las métricas de velocidad, el carrito deja de actualizarse, un cliente ve el checkout de otra sesión o los usuarios registrados pierden acceso a su cuenta. El problema no suele aparecer en la prueba inicial: emerge con tráfico real, cookies activas y ventas en curso.

Una CDN para WordPress distribuye copias cacheadas de archivos y, según la configuración, páginas completas desde servidores cercanos al visitante. Puede reducir latencia, descargar el hosting y mitigar ataques, pero no acelera por sí sola un WordPress mal optimizado. Antes de instalarla, mide TTFB y LCP, define qué no debe cachearse y compara costes reales.

Qué resuelve una CDN para WordPress

Una CDN es una red de distribución de contenidos que entrega archivos desde puntos de presencia, llamados PoP, en lugar de obligar a todos los visitantes a pedirlos al mismo servidor de origen. Si el origen está en Madrid y entra una visita desde México, la red puede servir una imagen desde un nodo más cercano, como un almacén local frente a pedir cada artículo a una nave central.

La CDN acelera aquello que ya puede entregarse sin personalizarlo. Las imágenes, las hojas CSS, los archivos JavaScript, las fuentes y los vídeos ligeros encajan bien; el carrito de WooCommerce o el perfil de un socio, no.

La red edge no sustituye al origen

El servidor de origen es el hosting donde viven WordPress, PHP y la base de datos. La red edge es la capa exterior que guarda copias y filtra peticiones antes de que lleguen a ese origen. Si el servidor tarda un segundo en consultar productos, una CDN no hará que esa consulta interna tarde menos.

HTTP/2, HTTP/3, QUIC y la compresión Brotli ayudan a entregar archivos por Internet con menos esperas. Piénsalo como cambiar una carretera de un carril por una con varios carriles, pero sin reparar el atasco que existe dentro del almacén.

Qué debe entregar la CDN

Una CDN para archivos estáticos debe servir imágenes WebP o AVIF, fuentes, CSS y JavaScript con nombres versionados. Si actualizas un CSS, el cambio de versión evita que el navegador use una copia antigua.

El HTML público también puede guardarse en caché perimetral. Esto funciona para una entrada de blog o una ficha de servicio igual para todos, pero no para una página que cambia según el rol, el país, el IVA o el contenido de una cookie.

WordPress, creado por Matt Mullenweg y Mike Little y mantenido por la comunidad de WordPress.org, admite estas capas sin problema cuando cada una tiene un trabajo definido. La caché del navegador conserva recursos en el equipo del visitante; la caché de página evita regenerar HTML; la CDN acerca la copia al visitante.

Conocer este reparto evita culpar a la CDN de una base de datos saturada. El siguiente punto decide si el coste y el cambio técnico compensan para tu audiencia.

Cuándo compensa en España y cuándo no

Una CDN suele compensar si tienes más de un 20-30 % de visitas fuera de España, campañas con picos de tráfico, muchas imágenes o necesidad de WAF y protección DDoS. Para una web con servidor en Madrid y más del 80 % de audiencia española, la ganancia de latencia puede ser moderada, pero la seguridad y la absorción de picos siguen teniendo valor.

No es una compra automática. Una clínica local de Zaragoza con 300 visitas al mes y pocas imágenes puede notar menos mejora que una tienda con una campaña de rebajas durante dos horas.

El TTFB manda antes que la distancia

El TTFB, o tiempo hasta recibir el primer byte, mide cuánto tarda el servidor en empezar a responder. Si una página dinámica supera de forma sostenida los 800 ms, conviene revisar PHP, CPU, consultas de base de datos, tema y plugins antes de pagar una CDN premium.

El error más frecuente que se detecta aquí es contratar una red global para ocultar un hosting saturado. El resultado suele ser una portada rápida para visitantes anónimos y un área privada lenta para clientes, editores o compradores.

Árbol de decisión para elegir prioridad

• Audiencia internacional superior al 20-30 %: prioriza PoP globales y mide desde los países que más compran.
• Audiencia en España y origen en Madrid o Barcelona: valora primero WAF, protección DDoS, imágenes y picos de tráfico.
• TTFB dinámico superior a 800 ms: mejora hosting, plugins y base de datos antes de cachear HTML.
• Campañas, prensa o rebajas: una CDN puede evitar que el origen reciba todas las peticiones simultáneas.
• WooCommerce o membresías: la prioridad es excluir sesiones y probar compras, no lograr una puntuación perfecta.

Una CDN en España no debe venderse como una cura universal. La comparación útil empieza al separar qué problema resuelve cada capa técnica.

Hosting, caché y CDN no hacen lo mismo

El hosting genera la página, la caché de página guarda HTML ya preparado, la caché de objeto evita repetir ciertas consultas y la CDN acerca copias al visitante. Mezclar estos trabajos provoca reglas duplicadas, purgas que no llegan y errores difíciles de localizar.

Una web puede tener una CDN rápida y seguir mostrando un LCP malo. El Largest Contentful Paint mide cuándo aparece el elemento visual principal, como la imagen de cabecera, y depende también del diseño, las imágenes y el HTML inicial.

La caché de página ahorra trabajo

La caché de página guarda una versión de una URL pública para no pedir a WordPress que la construya en cada visita. Es como preparar cien copias de un folleto antes de una feria, en vez de imprimirlo cada vez que alguien se acerca.

La caché de objeto guarda resultados repetidos de consultas o cálculos, normalmente con Redis o Memcached. Ayuda en sitios con muchas consultas, pero no sustituye una consulta mal diseñada ni un plugin que carga datos innecesarios.

Dos cachés pueden discutir entre sí

WP Rocket, W3 Total Cache, la caché del hosting y Cloudflare APO pueden convivir, pero no deberían competir por el mismo HTML sin una política clara. Define cuál crea la caché de página, cuál purga y qué URLs excluye cada capa.

La mayoría de guías aconseja activar todas las opciones de rendimiento disponibles. Lo que no mencionan es que minificación de CSS, JavaScript, lazy loading y optimización de imágenes pueden estar ya activos en el hosting o en la CDN, y duplicarlos puede romper el diseño.

Asset CleanUp puede descargar scripts que una página no necesita, pero no debe usarse para desactivar a ciegas archivos de checkout o formularios. Antes de tocar recursos, comprueba su función con una compra y un envío de formulario reales.

Este mapa de capas aclara qué pagar y qué configurar. Con esa base, la elección entre proveedores deja de ser una cuestión de publicidad.

Cloudflare y bunny cubren muchas pymes

Cloudflare y Bunny.net cubren buena parte de las necesidades de una pyme española, pero responden a prioridades distintas. Cloudflare encaja cuando DNS, SSL/TLS, WAF y mitigación DDoS deben gestionarse juntos; Bunny.net suele encajar si buscas pago por uso para imágenes y archivos con reglas sencillas.

Los costes dependen del tráfico, las funciones de seguridad y el tipo de caché. En España, una CDN integrada en hosting puede costar entre 0 y 30 € al mes, mientras que una capa de seguridad y reglas avanzadas puede superar ese rango según proveedor y plan.

El plan gratuito no resuelve todo

El plan gratuito de Cloudflare puede ser suficiente para DNS, SSL y estáticos en muchas webs. Antes de elegirlo, revisa qué reglas de caché, analítica, soporte y firewall necesitas en realidad en la documentación oficial de Cloudflare.

KeyCDN, CDN77 y servicios de Google Cloud o Microsoft Azure tienen sentido cuando la arquitectura ya depende de ellos o exige control empresarial. StackPath aparece en comparativas antiguas, pero no debe ser una referencia para nuevos proyectos sin comprobar su situación actual.

Una prueba local evita sorpresas

En una tienda con público en Barcelona, el coste mensual de una red puede ser menor que el de una incidencia durante una campaña. Aun así, la prueba debe medir carga real, purgas y checkout, no solo una prueba de velocidad desde Estados Unidos.

Elegir proveedor es solo la mitad del trabajo. La parte que protege ventas está en las exclusiones de caché.

WooCommerce debe excluir sesiones y pagos

WooCommerce puede usar una CDN para la tienda pública, pero carrito, checkout, mi cuenta, cookies de sesión y pasarelas de pago deben quedar fuera de la caché perimetral. Una respuesta guardada para un visitante no puede reutilizarse para otro cuando incluye productos, descuentos, permisos o datos de pedido.

Este riesgo también afecta a membresías, cursos, intranets y áreas privadas. Una cookie es una pequeña etiqueta que el navegador envía al servidor para identificar una sesión o recordar una acción previa.

URLs y cookies que deben evitarse

Excluye como mínimo /cart/, /checkout/, /my-account/, acceso, recuperación de contraseña, paneles privados y cualquier URL de membresía. También requiere bypass cualquier ruta con precios por rol, geolocalización fiscal, cupones automáticos o contenido de suscripción.

Las cookies habituales de WooCommerce incluyen woocommerce_items_in_cart, woocommerce_cart_hash, wp_woocommerce_session_* y wordpress_logged_in_*. Revisa también las cookies de tus extensiones, porque Redsys, Stripe, PayPal o un plugin de membresías pueden crear condiciones adicionales.

Endpoints que no pueden reutilizarse

No caches wc-ajax=*, callbacks de pago, API REST autenticada ni admin-ajax.php cuando gestione una acción de usuario. El nombre exacto de cada endpoint debe comprobarse en las herramientas de red del navegador y en los registros de la pasarela.

Un caso habitual: una tienda activa una regla global de “cache everything” y el carrito parece funcionar en una ventana normal. Al probar con dos productos, un cupón y otro navegador, el total no cambia o el pedido se repite; la regla había guardado HTML que dependía de sesión.

Lo que la práctica demuestra en estos casos es que una compra completa vale más que cien pruebas de portada. Haz pruebas en incógnito, con usuario registrado, pago aprobado, pago fallido, envío distinto y cupón antes de declarar la configuración segura.

La caché privada mal tratada puede causar una pérdida directa de confianza. DNS, SSL y un plan de reversión reducen el impacto si aparece un fallo.

Configura, mide y revierte sin perder ventas

Activa una CDN de forma gradual: documenta DNS y SSL actuales, habilita primero estáticos, valida HTTPS y solo después valora HTML público. Mantén una copia de las reglas y una ruta de reversión para volver al origen en minutos si fallan formularios, pagos o accesos.

Cambiar DNS, proxy, certificado y caché el mismo día impide saber qué provocó un bucle de redirección. Es como cambiar cerradura, llaves y alarma a la vez: si no abre la puerta, nadie sabe dónde está el problema.

Checklist antes de publicar cambios

1. Exporta la zona DNS y guarda capturas de reglas, redirecciones y ajustes del plugin.
2. Comprueba registros A, AAAA, CNAME, MX, SPF, DKIM y DMARC para no cortar el correo.
3. Verifica una única redirección de HTTP a HTTPS y un certificado SSL/TLS válido en origen.
4. Activa Brotli, HTTP/2 o HTTP/3 después de confirmar compatibilidad con la web.
5. Empieza por imágenes, CSS, JavaScript y fuentes antes de activar caché de HTML.
6. Define cómo purgar la caché al cambiar precios, CSS, imágenes, plugins o contenido.

El mixed content ocurre cuando una web HTTPS intenta cargar recursos por HTTP. Los bucles de redirección aparecen a menudo cuando la CDN y el origen no coinciden sobre si la conexión debe usar HTTPS, especialmente con modos SSL mal elegidos.

Mide usuarios reales, no solo laboratorio

Compara durante entre 7 y 14 días de tráfico parecido el TTFB, LCP, ratio HIT/MISS, errores 4xx y 5xx, formularios enviados, accesos y compras. PageSpeed Insights sirve como prueba de laboratorio, pero Google Search Console y los datos de usuarios reales muestran qué sucede en navegadores y redes de verdad.

Un HIT alto no prueba que el negocio funcione. Puede indicar que la CDN entrega mucho contenido guardado, mientras un usuario conectado no puede editar su perfil o una pasarela rechaza el retorno.

Mide desde Madrid, Barcelona, Europa y una región internacional relevante. Compara primera visita, visita repetida, usuario anónimo, usuario autenticado y página recién purgada; así sabrás si la mejora existe fuera de una sola prueba.

El RGPD, la LOPDGDD y la Directiva ePrivacy obligan a revisar cómo el proveedor trata IP, registros y geolocalización. Si la web trabaja con sector público o servicios críticos, también conviene revisar las exigencias del Esquema Nacional de Seguridad.

Si los datos mejoran sin romper recorridos críticos, la CDN ya está cumpliendo su función. Si no, los síntomas suelen señalar una exclusión ausente, una purga incompleta o un conflicto de caché.

En el caso de Cloudflare, la puesta en marcha empieza al importar y revisar la zona DNS antes de cambiar los servidores de nombres en el registrador. El registro A o CNAME que sirve la web puede quedar proxied —con la nube naranja activada—, mientras que los registros de correo, como MX, SPF, DKIM y DMARC, no deben pasar por el proxy. En SSL/TLS, el modo Full (strict) es la opción adecuada cuando el servidor de origen dispone de un certificado válido; Flexible puede provocar bucles de redirección porque cifra solo el tramo entre visitante y CDN.

Para WordPress, conviene empezar cacheando archivos estáticos y crear reglas explícitas de bypass para /wp-admin/, /wp-login.php, carrito, checkout y cuenta antes de considerar la caché de HTML público.

Cuando una CDN queda delante del servidor, WordPress y sus registros pueden ver la IP de Cloudflare o del proveedor en vez de la IP real del visitante. Esto afecta a límites de intentos de acceso, reglas antifraude, analítica, bloqueos por país y plugins de seguridad que identifican a todos los usuarios como una misma dirección. El hosting debe restaurar de forma segura la cabecera de IP proporcionada por la CDN y confiar solo en sus rangos oficiales, nunca en una cabecera enviada libremente por el navegador.

Si aparecen errores tras activar la red, desactiva temporalmente minificación, optimización de JavaScript y caché de HTML por separado; así se distingue un conflicto del plugin de caché de un problema de DNS, SSL o reglas perimetrales.

Preguntas comunes

¿Necesito una CDN para WordPress si mi público es local?

Una CDN puede merecer la pena en España si tienes picos, muchas imágenes, ataques o visitantes fuera de tu región. Con más del 80 % de tráfico local y un hosting rápido, la mejora principal puede ser seguridad y disponibilidad, no latencia.

¿Cloudflare APO funciona con WooCommerce?

Cloudflare APO puede funcionar con WooCommerce si excluyes carrito, checkout, mi cuenta, cookies y endpoints de pago. Prueba al menos una compra aprobada y otra cancelada antes de cachear HTML de forma amplia.

¿Una CDN mejora el SEO técnico de WordPress?

Una CDN mejora el SEO técnico solo si reduce TTFB, LCP o errores de disponibilidad sin romper URLs ni contenido. No mejora por sí sola textos, enlazado interno, indexación ni una base de datos lenta.

¿Qué hago si veo contenido antiguo tras activar una CDN?

Purga la URL afectada y revisa el TTL, que es el tiempo durante el que la copia puede mantenerse guardada. Si el fallo ocurre tras cambiar precios o CSS, comprueba también la caché del plugin, del hosting y del navegador.

Decide por riesgo operativo, no por moda

Una CDN es una mejora útil cuando encaja con el tráfico, el origen y el tipo de contenido. No debe ser un atajo para evitar el mantenimiento WordPress ni una regla global aplicada sin pruebas.

• Hosting con CDN integrado para medios y blogs de alto tráfico
• Si no guardan, las variaciones en WooCommerce cuestan ventas

Josu Barrios

Somos especialistas en mantenimiento WordPress para empresas, profesionales y tiendas online. Contamos con experiencia en seguridad web, optimización de rendimiento, actualizaciones, copias de seguridad y resolución de incidencias técnicas, ayudando a que cada sitio funcione de forma rápida, estable y protegida. Nuestro enfoque combina soporte técnico profesional, buenas prácticas de seguridad y seguimiento continuo para ofrecer un servicio fiable, transparente y orientado a resultados reales.