Googlebot bloqueado por WAF en WordPress, arreglo

Cuando aparece un caso de Googlebot bloqueado por WAF en WordPress, el problema no suele estar en WordPress como CMS, sino en la capa de seguridad, red o servidor que filtra el tráfico antes o durante la entrega de la página. En la práctica, un firewall web, una CDN, un proxy inverso o una regla de seguridad puede devolver 403, 429 o incluso respuestas 5xx al crawler de Google, impedir retos automáticos o activar falsos positivos. La vía correcta no es desactivar la protección, sino identificar qué control está frenando el acceso y ajustarlo con criterio.

Si el bloqueo se mantiene, Google puede dejar de rastrear ciertas URLs o ver afectada la indexación de parte del sitio. Por eso conviene diagnosticar el origen real del fallo y aplicar una corrección limitada, verificable y segura, especialmente si WordPress se cae por bots cómo bloquear sin perder SEO.

Qué significa tener Googlebot bloqueado por WAF en WordPress

Un WAF WordPress inspecciona peticiones HTTP para frenar tráfico malicioso, bots agresivos o patrones sospechosos. El problema aparece cuando ese filtro interpreta el acceso del bot legítimo de Google como una amenaza o le exige una validación que no puede completar. No es raro en entornos con protección anti-bots, limitación de peticiones, bloqueo por país, listas de IP, reglas personalizadas o servicios CDN con reglas automáticas.

Eso no implica una penalización automática. Significa, más bien, que Google puede encontrar obstáculos para recuperar el contenido y, como consecuencia, rastrear menos, posponer revisitas o no indexar correctamente determinadas páginas.

Cómo detectar si el WAF está bloqueando a Googlebot

La prueba más útil combina Search Console, logs y revisión del firewall. Empieza por inspeccionar una URL afectada en Search Console para ver si Google informa de bloqueo, error de rastreo o respuesta no válida. Después, revisa los registros del servidor, la CDN o el propio firewall para comprobar si hay respuestas 403, 429 o desafíos de seguridad servidos al crawler.

• Busca coincidencias por fecha, ruta solicitada y código de estado.
• Revisa si el bloqueo ocurre solo en ciertas rutas, por ejemplo feeds, parámetros, sitemaps o páginas con consultas repetidas.
• Comprueba si el problema aparece en picos de rastreo, lo que puede apuntar a rate limiting.

Importante: no basta con confiar en el user-agent. Para verificar Googlebot, Google recomienda confirmar el origen mediante resolución DNS inversa y directa, validando que el host pertenezca a dominios de Google y que resuelva de vuelta a la misma IP. Esa comprobación evita abrir excepciones a bots falsificados.

Causas habituales del bloqueo y cómo revisarlas

Entre las causas más comunes están las reglas de seguridad demasiado amplias, listas negras heredadas, plugins de seguridad mal afinados, geoblocking no necesario, protección anti-bots que exige JavaScript o cookies, y reglas personalizadas en CDN o proxy inverso. En algunos casos, el firewall no bloquea todo el sitio, sino endpoints concretos que Google necesita para entender la web, como el sitemap o ciertas páginas de archivo.

Si usas un proveedor como Cloudflare, Sucuri, ModSecurity o Wordfence, tómalo como un ejemplo de capa posible, no como causa obligatoria. La revisión siempre debe hacerse sobre los eventos reales del entorno afectado.

Cómo arreglar el bloqueo sin desactivar la protección

La solución recomendable es ajustar con precisión la defensa que está generando el falso positivo. Si confirmas que el acceso corresponde al bot legítimo de Google, puedes aplicar una excepción limitada y revisable, en lugar de desactivar todo el WAF.

1. Identifica la regla exacta o el módulo que dispara el bloqueo.
2. Excluye solo las rutas afectadas o el patrón concreto si el proveedor lo permite.
3. Ajusta el rate limiting para rastreo legítimo, evitando umbrales excesivamente bajos.
4. Revisa bloqueos por país, ASN o reputación si no son imprescindibles.
5. Si necesitas allowlist, hazla con alcance mínimo y tras verificar la autenticidad de Googlebot.

También conviene proteger por rutas sensibles en lugar de relajar globalmente todo el dominio. Así mantienes la superficie pública accesible para el rastreo y conservas controles fuertes en áreas realmente críticas.

Qué comprobar después del cambio

Tras modificar el firewall, repite la comprobación en Search Console y valida que las URLs respondan con el código esperado. Después, monitoriza durante unos días los logs del servidor y de la CDN para confirmar que el rastreo de Google en WordPress ya no recibe bloqueos inesperados.

• Verifica que desaparecen los 403 o 429 asociados al crawler.
• Confirma que sitemap y páginas estratégicas son accesibles.
• Comprueba que no has abierto demasiado la excepción.

Errores frecuentes al intentar solucionarlo

• Permitir acceso solo por user-agent sin verificar que sea realmente Googlebot.
• Desactivar el WAF completo como medida rápida.
• Interpretar un 403 visto por una herramienta externa como prueba concluyente de Googlebot bloqueado.
• Aplicar allowlists demasiado amplias, permanentes o sin trazabilidad.
• Olvidar revisar la capa intermedia: CDN, proxy, hosting gestionado o plugin de seguridad.

En resumen, si tienes Googlebot bloqueado por WAF en WordPress, el camino correcto es verificar al bot, localizar la regla que falla y ajustar la protección sin debilitarla. Si el bloqueo persiste o afecta a varias capas del stack, una auditoría técnica del firewall y del rastreo puede ahorrar tiempo y evitar que la indexación siga resintiéndose.