Deconstruyendo esta web

El DNS es autoritativo en Cloudflare y la zona está firmada con DNSSEC.

TLS 1.3 es la versión mínima que acepta la zona. Encrypted Client Hello está activo. Los clientes que lo admiten reciben además el acuerdo de claves poscuántico que Cloudflare ofrece por defecto.

Always Use HTTPS redirige el HTTP plano en el borde. La aplicación envía HSTS con un año de max-age, includeSubDomains y preload.

Workers Cache está delante del Worker y es escalonada por defecto: un acierto no ejecuta el Worker.

Una página renderizada solo se guarda en el borde si lo pide. Las respuestas que no declaran su propia caché salen con no-store.

Publicar una entrada purga, por etiqueta de caché, sus páginas y las que la listan. Menús y ajustes no se purgan: caducan antes de una hora.

Lo compilado bajo /_astro/ lleva hash de contenido y se sirve con un año de max-age, immutable.

Las imágenes redimensionadas se guardan en la Cache API.

Un solo Worker renderiza las páginas bajo demanda con Astro (SSR). Los ficheros compilados se sirven como Workers Static Assets sin ejecutarlo. No hay servidor detrás del Worker.

El equipo que hace Astro trabaja en Cloudflare desde enero de 2026. Astro sigue con licencia MIT y gobierno abierto.

Un middleware pone 7 cabeceras de seguridad en cada página que renderiza el Worker. La CSP admite un único script de fuera: el contador de visitas de Cloudflare.

El Worker sabe la ciudad del visitante y qué centro de datos de Cloudflare respondió (request.cf). La apertura de seguridad en el borde los muestra.

Los plugins del CMS pueden ejecutarse en su propio Dynamic Worker, sin red propia y con límites fijos de CPU, subpeticiones y tiempo. Todo lo que hacen pasa por un puente que comprueba las capacidades que declara cada uno.

D1 (SQLite) guarda el contenido, sus revisiones y los ajustes. Cada petición abre una sesión de D1.

Workers KV guarda las sesiones de los editores.

Las fotografías que la página redimensiona pasan por el binding de Images, que las ajusta a su hueco y las convierte a WebP. El resto se sirve tal como está en el repositorio.

R2 está conectado como almacén de medios del CMS. Hoy cada imagen del sitio viaja con el código.

Preview y producción tienen cada una su D1, su Workers KV y su R2.

Una hoja de estilos declara cada color, radio y sombra, el ancho de columna y la escala de espaciado. CI rechaza esos valores escritos en otro sitio, salvo en bloques marcados que imitan la interfaz de otro producto.

Fuera del sitio, el navegador solo llama a Cloudflare: descarga el script de Web Analytics y le envía sus mediciones, sin cookies y sin identificar a nadie. Fuentes, imágenes y el resto de scripts son del propio sitio. Zaraz, el gestor de etiquetas de Cloudflare, se carga en cada página desde este mismo dominio y recibe la respuesta que das en el aviso de cookies. Si aceptas la analítica, envía la visita a Google Analytics 4 desde los servidores de Cloudflare: ni siquiera entonces llama el navegador a Google. Si la rechazas, Google Analytics 4 no llega a ejecutarse.

Las fuentes están en el repositorio, así que construir la web no depende de Google Fonts. Cloudflare Fonts no aplica: solo reescribe los enlaces a Google Fonts, y aquí no hay ninguno.

Cada vertical abre con una fotografía de Wikimedia Commons, restaurada y redibujada en parte, y una capa dibujada en vivo en el navegador. La capa se coloca según el texto medido, y su reloj se para a los ocho segundos: nada se repite.

Las fotografías se restauraron en local con SeedVR2. FLUX.2 [dev] (Black Forest Labs) en Workers AI retiró objetos, amplió encuadres y redibujó a partir de las fotografías. Cada prompt está en el repositorio.

Las fotografías son CC BY-SA y el sitio las acredita con los cambios indicados.

El aviso de cookies lo dibuja el propio sitio. Es una tarjeta en la esquina inferior izquierda, y la página sigue funcionando detrás mientras decides. Aceptar y Rechazar son dos botones iguales, uno al lado del otro. El aviso no tiene cierre y espera a tu respuesta; «Preferencias de cookies», en el pie, lo vuelve a abrir. La ventana propia de Zaraz está apagada porque bloquea la página entera, y la guía de la AEPD no pide tanto. Pide rechazar al mismo nivel que aceptar, un aviso que se mantenga hasta que respondas y retirar el consentimiento con la misma facilidad. Solo tu clic pasa la respuesta a Zaraz, a través de su API de consentimiento. Google Analytics 4 sobra para contar visitas, porque ya lo hace Web Analytics. Está porque esta web también es un laboratorio.

EmDash, el CMS de código abierto (MIT) que Cloudflare anunció en abril de 2026, corre dentro del mismo Worker.

Cloudflare publica su propio blog con EmDash.

Cinco tipos de contenido: páginas, servicios, miembros, referencias y partners, con entradas de blog preparadas y vacías. Páginas y servicios tienen borradores; esos dos y miembros guardan revisiones. Los cuerpos son Portable Text.

Dos idiomas: páginas, servicios y miembros se publican en pares enlazados por translationOf.

Menús, áreas de widgets, ajustes del sitio y taxonomías vienen del CMS. Cada etiqueta de la interfaz vive en un widget, no en una plantilla.

La búsqueda es la de EmDash, sobre SQLite FTS5 con ranking bm25.

El admin admite editores solo con passkey (WebAuthn): no hay contraseña que guardar ni que filtrar.

EmDash es también un servidor de autorización OAuth (perfil OAuth 2.1: código + PKCE, registro dinámico de clientes). Por eso un agente de IA puede trabajar en el contenido a través de su servidor MCP, con un token que concede un editor.

La línea de comandos emdash inicia sesión con el flujo de dispositivo de OAuth (RFC 8628).

Un plugin guardado en el repositorio purga la caché al publicar. Declara content:read, porque sin él EmDash se salta sus hooks.

El repositorio de trabajo es público, con todos sus commits.

Cada cambio que puede llegar a una página pasa 27 pasos que pueden fallar. Un test deriva ese número del workflow.

Las puertas ejecutan el sitio en local sobre workerd, el runtime de código abierto de Workers, con wrangler dev. Si wrangler se cae por un fallo suyo, la pila se reinicia una vez y el resumen lo dice.

Cuando las puertas pasan en main, la preview se despliega sola con wrangler-action. Espera a las migraciones de D1, vuelve a sembrar tras ensayar el SQL en una base desechable y lanza una batería de humo.

Producción solo se despliega cuando el fundador lo arranca a mano, y una guarda se niega a sobrescribir una base de datos que tiene contenido.

Cada frase que renderiza el sitio vive en un fichero versionado, seed/seed.json. Las páginas de servicio se escriben en Markdown y el CMS las convierte a ese fichero. Un test mantiene los dos palabra por palabra, y una puerta de CI rechaza el texto escrito en una plantilla.

En cada cambio que puede llegar a una página, CI compila el sitio y llena una base de datos vacía desde ese fichero, doce veces en paralelo.

Los slugs de servicio están traducidos, así que la URL del otro idioma nunca se adivina. hreflang y el selector de idioma leen el mismo valor resuelto.

El sitemap se genera desde las colecciones del CMS.

Las comprobaciones de accesibilidad, motores, diseño, maquetación, textos, idiomas y nombres plantan el defecto que buscan, y tienen que cazarlo antes de dar verde.

Lighthouse en CI, contra una copia local, con la mediana de 3 pasadas en 9 páginas: rendimiento ≥95; accesibilidad, buenas prácticas y SEO, 100. Las nueve lo cumplieron el 2026-10-16.

Accesibilidad: axe (WCAG 2.2 A+AA) y un recorrido con teclado en todas las rutas del sitio, más reflujo a 320 px. Donde hay texto sobre una fotografía, el contraste se mide en los píxeles renderizados.

Cada apertura se comprueba a mitad de animación y en reposo, con el motor de Safari (perfiles de iPhone y de escritorio) y el de Chrome (Pixel 7), también con movimiento reducido.

El texto renderizado de 30 rutas está congelado. Cambiar una palabra falla hasta que el texto nuevo se captura a propósito, así que el cambio se ve en el diff del pull request.

Agentes de IA escriben la mayor parte del código bajo reglas escritas, y el fundador fusiona cada pull request.

Cada push se analiza en busca de secretos, y una guarda rechaza cualquier nombre de cliente que no esté publicado en Referencias.