PUNTOS CLAVE
- El archivo email-decode.min.js forma parte de la herramienta ScrapeShield de Cloudflare.
- Su función principal es cifrar las direcciones de correo para evitar que los bots las recolecten (scraping).
- Se carga desde un directorio virtual /cdn-cgi/ para mejorar la compatibilidad y el rendimiento.
Si has revisado las peticiones de red de tu sitio y te has encontrado con un archivo llamado email-decode.min.js cargándose desde tu propio dominio, es probable que tu primera reacción haya sido de desconcierto. No es un script que hayas instalado tú, ni forma parte del núcleo de tu tema. Se trata de una inyección dinámica de Cloudflare diseñada para combatir una de las plagas más antiguas de la web: los recolectores automáticos de spam.
#ScrapeShield: El escudo invisible contra bots
Cloudflare no solo actúa como un proxy o una caché; también modifica el HTML de tu sitio en tiempo real antes de que llegue al usuario. Cuando la opción Email Address Obfuscation está activa, el servidor de Cloudflare escanea tu contenido buscando patrones de correos electrónicos. Si encuentra uno, lo reemplaza por un bloque de código hexadecimal que un bot no puede identificar fácilmente.
Aquí es donde entra en juego el script email-decode.min.js. Este pequeño archivo de JavaScript se encarga de realizar la operación inversa en el navegador del visitante: toma ese código cifrado y lo vuelve a convertir en texto plano para que el usuario humano pueda verlo y copiarlo con normalidad. Es una solución elegante que ocurre en milisegundos.
#Anatomía de la petición /cdn-cgi/
Una de las curiosidades de este script es su origen. Aunque es código propiedad de Cloudflare, la URL de petición apunta directamente a tu dominio (ej: tuweb.com/cdn-cgi/scripts/...). Esto no significa que el archivo esté físicamente en tu servidor Apache o Nginx.
El directorio /cdn-cgi/ es un endpoint virtual. Cuando el navegador solicita ese archivo, Cloudflare intercepta la petición en sus nodos de borde (Edge) y sirve el script directamente desde su red. Al hacerlo parecer una petición de «mismo origen» (same-origin), se evitan problemas de seguridad con las políticas de CORS y se reduce el tiempo de resolución DNS.
#Caso real: El formulario de contacto inundado
Hace unos meses trabajé en una web que recibía más de 200 correos de spam diarios. El cliente tenía su dirección de soporte publicada en el footer, simplemente como texto. Los bots habían indexado ese correo y lo estaban bombardeando sin descanso desde servidores en el extranjero.
El Síntoma Clínico: Tras inspeccionar los logs del servidor de correo, vimos que el 90% de las entradas eran intentos fallidos de phishing y ofertas comerciales fraudulentas enviadas a una dirección que solo estaba presente en el frontend.
El Intento Fallido: Intentamos usar un plugin de WordPress para ofuscar el correo mediante PHP. Funcionó a medias, pero algunos scripts pesados ralentizaron el tiempo de carga del primer byte (TTFB). Al final, activamos la opción nativa de Cloudflare. El script email-decode.min.js tomó el control y, en menos de una semana, el volumen de spam bajó un 85% sin tocar una sola línea de código del servidor.
Te dejo una captura de pantalla del panel de Cloudflare de cuando lo desactivé para hacer una prueba, se encuentra allí, ahora que sabes que hace decide si quieres activarlo o desactivarlo.
#Comparativa de métodos de protección
| Método | Eficacia | Impacto en Carga |
|---|---|---|
| Cloudflare (Email Decode) | Muy Alta | Casi nulo (script optimizado) |
| Ofuscación por PHP | Media | Variable (afecta al servidor) |
| Texto como Imagen | Baja (OCR) | Malo para accesibilidad y SEO |
#¿Afecta a la privacidad o al banner de cookies?
Una duda recurrente es si este script nos obliga a mostrar un banner de cookies. La respuesta técnica es negativa. El script email-decode.min.js no recolecta datos del usuario, no instala identificadores permanentes ni realiza rastreo entre sitios. Su única misión es una transformación de datos local en el navegador para proteger la integridad de la información.
Desde la perspectiva de la GDPR, es una medida de seguridad técnica legítima. No es lógico considerarlo una herramienta de marketing, ya que el único que gana privacidad aquí es el dueño de la web (tú), al proteger su dirección de correo de miradas indiscretas.
Aunque el script ha sido extremadamente estable durante años, Cloudflare siempre está actualizando sus métodos de inyección. Si ves una versión diferente en tu consola, es simplemente el ciclo de vida normal de un servicio en la nube.
| Propiedad | Valor de la Petición |
|---|---|
| Tipo de contenido | application/javascript |
| Control de caché | public, max-age=… |
| Servidor | cloudflare |