Site bloqueado em Espanha quando há futebol? Bloqueios de IP da LaLiga, Cloudflare e WooCommerce

No sábado, 31 de outubro de 2026, às 16:13 em Madrid, que são 15:13 em Lisboa, o monitor hayahora.futbol contava 494 endereços IP bloqueados nas redes espanholas, 489 deles da Cloudflare. Se a sua loja WooCommerce vende para Espanha e está atrás da Cloudflare, parte dos seus clientes espanhóis pode não a conseguir abrir nesse momento. O servidor está a funcionar, a monitorização de disponibilidade em Lisboa está verde e os registos não mostram nada. A causa está na rede da operadora do cliente.

Este guia é para lojas e empresas portuguesas que vendem para Espanha, têm uma versão em espanhol do site ou servem clientes empresariais do outro lado da fronteira. Explico como funcionam os bloqueios, o que mostram as medições independentes, como verificar se o seu domínio está num endereço bloqueado, o que acontece às encomendas e aos pagamentos nessas horas e que opções os fornecedores documentam. Cada número vem de uma fonte primária que li a 31 de outubro de 2026: o relatório da OONI e a sua lista de domínios, os comunicados da LaLiga, a lei espanhola no BOE, o diário de sessões do Congreso, a documentação da Cloudflare e os dados do hayahora.futbol.

#Porque é que o site não abre em Espanha durante os jogos da LaLiga

Porque as operadoras espanholas bloqueiam endereços IP concretos enquanto o jogo é transmitido. A LaLiga indica os endereços de onde saem as transmissões ilegais, e as operadoras cortam-nos. Só que um endereço de uma CDN não pertence a um único site.

A Cloudflare escreve na documentação sobre endereços IP que os seus intervalos são partilhados por todos os nomes de anfitrião que passam pelo proxy. Com a nuvem laranja ativa, o visitante nunca vê o IP do seu servidor, vê um endereço da Cloudflare. Esse endereço pode servir no mesmo instante uma loja de vinhos do Porto, um site institucional espanhol e uma transmissão pirata. A operadora não os distingue ao nível do IP, bloqueia o endereço e todos os sites que lá estão desaparecem para os seus clientes.

O problema tem, por isso, uma assinatura reconhecível:

• só afeta visitantes em Espanha, e só em algumas operadoras,
• só acontece durante os jogos: o relatório da OONI concluiu que os bloqueios começam, em regra, pouco antes do apito inicial e são levantados pouco depois do apito final,
• o seu servidor não regista nada, porque o pedido nunca sai da rede da operadora.

Portugal continental está uma hora atrás de Espanha. Um jogo marcado para as 21:00 no calendário espanhol corresponde às 20:00 nas suas estatísticas. Quem compara quebras de vendas com o calendário sem fazer esta conversão olha para a hora errada.

#Que operadoras espanholas aplicam o bloqueio e o que vê o cliente

A OONI observa o padrão ligado aos jogos nestas redes:

• Telefonica de Espana (AS3352), que o relatório inclui entre as que aplicam os bloqueios de forma mais consistente,
• Orange Espagne (AS12479) e Mas Orange (AS12334),
• Mas Movil (AS15704),
• Vodafone Espana (AS12430) e Vodafone ONO (AS6739),
• Euskaltel (AS12338),
• Digi Mobil (AS57269), que atua de outra forma: em vez de cortar a ligação, apresenta um certificado TLS autoassinado com CN=core1.netops.test. A OONI considera essa assinatura conclusiva por si só.

Para o cliente espanhol, isto dá dois cenários diferentes. Na maioria das operadoras, a página fica a carregar até o navegador desistir. Na Digi, aparece um aviso de certificado, que o cliente pode tomar por um ataque ou por um erro na configuração SSL da sua loja. Nem todas as operadoras bloqueiam em todos os jogos, e os gráficos do relatório mostram bloqueios totais, parciais e períodos sem bloqueio.

Uma nota sobre Portugal: o relatório da OONI e o monitor hayahora.futbol medem redes espanholas, e a ordem judicial dirige-se a operadoras espanholas. Não encontrei fonte que documente estes bloqueios em redes portuguesas.

#O que mediu a OONI e quantos domínios .pt estavam na lista

A OONI (Open Observatory of Network Interference) mede a censura na internet com voluntários que correm a aplicação OONI Probe nas suas próprias ligações. A 30 de junho de 2026 publicou uma análise de Arturo Filastò, Maria Xynou e Mehul Gulati sobre Espanha, de 1 de janeiro a 1 de junho de 2026.

O método tem duas partes. As medições a partir de redes espanholas mostram que endereços IP falham o estabelecimento de uma ligação TCP em Espanha mas respondem a partir de um ponto de controlo em Frankfurt. Um endereço conta como bloqueado numa janela de uma hora quando tem pelo menos duas medições e mais de 90 % de falhas. Depois, uma análise DNS de 9,2 milhões de domínios associa cada endereço bloqueado aos domínios que apontam para ele.

Com o relatório, a OONI publicou a lista completa de domínios bloqueados. Descarreguei-a a 31 de outubro. O ficheiro tem 525 129 linhas, e 730 delas são domínios terminados em .pt. O número do ficheiro é inferior aos 554 507 do texto do relatório e não encontrei no relatório explicação para a diferença, por isso indico os dois. Centenas de domínios portugueses ficaram, portanto, inacessíveis em Espanha, e nenhum domínio .pt aparece entre os alvos de pirataria que o relatório nomeia.

A OONI sublinha que os números subestimam o impacto: os dados de voluntários não cobrem todas as redes a todas as horas, a lista de domínios é fixa e a classificação é prudente. Avisa também que o método deteta mais facilmente bloqueios em fornecedores que concentram muitos domínios em poucos endereços. Os 90,4 % da Cloudflare não querem dizer que os outros fornecedores sejam seguros; a Amazon teve 4286 endereços bloqueados, mais do que qualquer outro.

#Qual é a base legal dos bloqueios em Espanha

Uma sentença do Juzgado de lo Mercantil n.º 6 de Barcelona, de 18 de dezembro de 2024. Segundo o comunicado da LaLiga de 26 de março de 2025, o mesmo tribunal rejeitou os pedidos de nulidade apresentados pela Cloudflare, pela RootedCON e por outros, e essa decisão não admite recurso. A LaLiga cita o tribunal: não ficou provado, pelos argumentos dos requerentes, que tenha ocorrido qualquer dano (tradução própria).

A base legal é a Ley de Propiedad Intelectual espanhola, cujo artigo 139 aparece na imagem de destaque deste artigo. A alínea h) do n.º 1 permite ao tribunal ordenar a suspensão dos serviços prestados por intermediários a terceiros que os usem para infringir direitos de propriedade intelectual, e o artigo 141.º, n.º 6, permite o mesmo como medida cautelar. Espanha transpõe assim o artigo 8.º, n.º 3, da Diretiva 2001/29/CE, que obriga os Estados-Membros a garantir que os titulares de direitos podem pedir uma injunção contra intermediários cujos serviços sejam usados por terceiros para violar direitos de autor. Nem a diretiva nem a lei espanhola dizem se o bloqueio deve incidir sobre um domínio, um registo DNS ou um endereço IP. Essa escolha coube ao tribunal espanhol.

Não consegui abrir o texto da sentença na base de dados da justiça espanhola. O monitor hayahora.futbol identifica-a como a sentença n.º 310/2024 e descreve um mecanismo dinâmico: a LaLiga e a Telefonica Audiovisual Digital podem comunicar às operadoras novos endereços IP durante os jogos. É a leitura desse site, não a minha.

As partes descrevem os mesmos factos de forma oposta. A LaLiga, num comunicado de 15 de fevereiro de 2025, afirma que não se trata de um bloqueio amplo nem indiscriminado e culpa a Cloudflare por esconder serviços ilegais atrás de endereços também usados por empresas legítimas. A Cloudflare escreve no relatório de transparência de dezembro de 2025:

Um dos exemplos mais notórios de bloqueio excessivo tem sido a atuação da liga espanhola de futebol LaLiga. Através dos fornecedores de internet em Espanha, bloqueou de forma generalizada, durante os jogos, endereços IP partilhados por muitos milhares de sites, sem qualquer supervisão governamental.

(Cloudflare, relatório de transparência do primeiro semestre de 2025, tradução própria)

Para a sua loja, a consequência prática é mais estreita do que esta disputa: a ordem está em vigor, as operadoras executam-na, e nem a Cloudflare nem o seu alojamento a podem desligar por si.

#Os bloqueios da LaLiga continuam no outono de 2026

Sim, segundo as medições independentes disponíveis. Os dados da OONI terminam a 1 de junho de 2026. Para a época atual uso o hayahora.futbol, mantido por um grupo de engenheiros que mede os bloqueios a partir de ligações domésticas em várias operadoras e publica o histórico num ficheiro JSON. A versão que descarreguei a 31 de outubro de 2026 (atualizada às 15:06 UTC) tinha 17 646 registos de endereço IP por operadora, 17 513 deles identificados como Cloudflare. Há estados de bloqueio em outubro nos dias 5, 6, 7, 8, 10, 11, 12, 14, 17, 18, 24, 25 e 31, e a 31 de outubro nas cinco operadoras que o site mede: Digi, Movistar, Vodafone, Orange e MasMovil. O próprio site avisa que os dados refletem as suas observações e não são uma lista oficial de ordens de bloqueio.

No plano político houve um passo este ano. O Diário de Sessões do Congreso n.º 549 regista que, a 29 de abril de 2026, a Comissão de Economia, Comércio e Transformação Digital aprovou por 19 votos contra 17 uma proposição não de lei do Grupo Republicano sobre a proporcionalidade dos bloqueios de IP ordenados por tribunais (processo 161/002757).

Captura de ecrã: Diário de Sessões do Congreso n.º 549, páginas 47 e 48, 29 de abril de 2026.

Uma proposição não de lei pede ao Governo que atue. Não altera nenhuma lei nem a sentença, por isso planeie como se os bloqueios fossem continuar.

#Como distinguir o bloqueio da LaLiga de uma falha do servidor ou de uma regra da Cloudflare

Pelo sintoma e pela hora:

Uma página da Cloudflare com Ray ID significa que disparou uma das suas regras, e esse caso está no guia sobre como encontrar a regra da Cloudflare que bloqueou um cliente. Os erros 522 e 524 estão do lado do servidor, tema do artigo sobre se o erro 504 é do alojamento ou do site. Um bloqueio da operadora não deixa Ray ID, porque o pedido nunca chega à Cloudflare.

#Como verificar passo a passo se o seu domínio está afetado

Precisa de alguns minutos fora de um jogo e de alguns minutos durante um jogo.

1. Veja para que endereços aponta o domínio.

dig +short A asualoja.pt
dig +short AAAA asualoja.pt

Endereços da Cloudflare, por exemplo em 188.114.96.0/22 ou 104.16.0.0/12, significam que partilha IP com outros clientes. Se puder, repita a consulta a partir de uma ligação espanhola, porque a resposta pode variar com a localização.

2. Compare com as listas observadas. O hayahora.futbol publica listas em texto para qualquer operadora e separadamente para Movistar, Digi, Vodafone, Orange e MasMovil, além de um verificador de domínios na página inicial. A Associação Espanhola de Startups recomenda fazer essa verificação durante um jogo, porque fora dele as listas podem estar vazias. Um resultado limpo numa jornada não diz nada sobre a seguinte.

3. Teste durante um jogo com um limite de tempo curto. A partir de uma ligação numa operadora espanhola afetada, ou através de alguém que a tenha:

curl -sv --connect-timeout 10 -o /dev/null https://asualoja.pt/ 2>&1 | grep -E "Trying|Connected|timed out|subject:"

Um bloqueio de IP costuma mostrar “Trying 188.114.x.x” seguido de tempo esgotado. Na Digi, leia a linha subject: do certificado. Repita com dados móveis noutra operadora. Se uma falha e a outra funciona, tem quase toda a resposta.

4. Registe com o OONI Probe. A aplicação funciona em Android, iOS, Windows e macOS, e as perguntas frequentes da OONI confirmam que pode testar os sites que escolher. Os resultados vão para o OONI Explorer, onde se filtra por país, rede (ASN) e domínio. A OONI avisa que uma medição marcada como anomalia não prova necessariamente censura e pode ser um falso positivo. Meça o mesmo domínio dentro e fora da janela do jogo e leia a linha temporal.

5. Use o RIPE Atlas quando não tem ninguém em Espanha. O RIPE Atlas é uma rede de mais de 14 000 sondas em ligações reais. Com créditos, que se ganham por exemplo a alojar uma sonda, pode lançar medições de ping, traceroute, DNS e SSL/TLS e escolher sondas por país ou ASN. Uma medição TLS ao seu IP da Cloudflare a partir de sondas no AS3352 (Telefonica) e no AS12479 (Orange), agendada antes, durante e depois de um jogo, dá-lhe um registo com data e hora que não depende da descrição de um cliente. As medições HTTP só são concedidas caso a caso, por isso fique pelo TLS e pelo traceroute.

#Porque é que a monitorização de disponibilidade continua verde

Porque quase todos os serviços de monitorização verificam a partir de centros de dados, e um centro de dados em Lisboa, Madrid ou Frankfurt não é cliente da Movistar nem da Digi. A partir daí, o seu endereço da Cloudflare responde normalmente durante todo o jogo. A OONI usou Frankfurt como ponto de controlo precisamente porque os endereços bloqueados funcionam a partir de lá.

Faltam-lhe dois sinais que a monitorização habitual não dá:

• medições a partir de ligações domésticas espanholas, com sondas RIPE Atlas escolhidas por ASN ou um pequeno equipamento numa ligação espanhola,
• as suas estatísticas ao lado do calendário: sessões vindas de Espanha por hora, encomendas por hora e formulários enviados por hora, comparados com os horários dos jogos, já convertidos para a hora de Lisboa.

Um visitante que não consegue carregar a página também não dispara o script de estatísticas. Não vai ver erros, vai ver um buraco. Comparar o mesmo intervalo de sábado com e sem jogo diz mais do que procurar picos de erros.

#O que acontece às encomendas WooCommerce vindas de Espanha durante um jogo

Perde vendas em dois pontos, e cada um corrige-se de forma diferente.

O cliente não chega à loja. Sem página de produto, sem carrinho, sem checkout. Não se cria encomenda, não fica carrinho abandonado, não há erro. Fica só o buraco nas vendas para Espanha.

O cliente paga mas não volta. Tome como exemplo a Redsys, uma plataforma espanhola de pagamentos com cartão. A documentação da Redsys separa dois mecanismos: Ds_Merchant_MerchantURL é o endereço para onde o servidor da Redsys envia o resultado da transação por HTTP POST, enquanto Ds_Merchant_UrlOK e Ds_Merchant_UrlKO são os endereços para onde o navegador do cliente é encaminhado no fim. Se o cliente pagar na página da Redsys enquanto a sua operadora bloqueia o IP da loja, o regresso do navegador falha. A notificação de servidor para servidor sai da rede da plataforma de pagamento, não da do cliente, e por isso pode, em princípio, chegar. Não encontrei fonte que documente perdas de notificações da Redsys ou da Stripe por causa destes bloqueios; confirme nos seus registos.

A Redsys recomenda ainda que nunca valide uma encomenda com os dados enviados por GET no regresso do navegador, mas apenas com a notificação POST. Se o plugin de pagamento confirma a encomenda a partir da notificação, o cliente que não voltou tem na mesma uma encomenda paga. Se depende do regresso do navegador, a encomenda fica em “Pagamento pendente”.

O que verificar no WooCommerce:

1. Encomendas em “Pagamento pendente” nas horas dos jogos. Filtre por data e hora e compare com semanas sem jornada.
2. A opção “Manter stock (minutos)”. A documentação do WooCommerce diz que, atingido o limite, a encomenda pendente é cancelada e o stock libertado, e que isto só se aplica a encomendas com pagamento pendente. Um limite curto e uma notificação atrasada podem cancelar uma encomenda que o cliente pagou. Veja como o seu plugin de pagamento lida com isso antes de mudar alguma coisa.
3. Registos de entrega da plataforma de pagamento. Na Redsys, no portal de administração; na Stripe, no separador de entregas de eventos. A Stripe repete a entrega até três dias em modo de produção, com intervalos crescentes. Se não houver entregas falhadas nas horas dos jogos, pode riscar este ponto.
4. E-mails de confirmação. Um cliente que pagou e não voltou espera uma confirmação. Garanta que é o evento de pagamento a enviá-la, não a página de agradecimento, senão o cliente contacta-o convencido de que o dinheiro se perdeu.

#Que opções documenta a Cloudflare e o que perguntar ao alojamento

Nenhuma fonte que li oferece uma solução garantida. Estas opções estão documentadas pelos fornecedores, do menor ao maior esforço.

Desligar o proxy temporariamente (nuvem cinzenta). Um registo só DNS responde com o IP do seu servidor. A documentação sobre o estado do proxy diz o preço: qualquer pessoa que consulte o registo vê o IP do servidor, e a Cloudflare deixa de otimizar, guardar em cache e proteger esse tráfego. A Cloudflare só recomenda o modo só DNS para registos que não servem tráfego web. Num alojamento partilhado, o IP do seu servidor também pode acabar numa lista por causa de outro site no mesmo servidor. Só o consideraria com um servidor bem protegido e por pouco tempo.

Um plano em que partilha menos endereços. Um certificado próprio nos planos Business ou Enterprise reduz a partilha. A documentação não diz que isso tira o domínio de um endereço bloqueado. O preço é da Cloudflare, não meu; compare-o com o que lhe custa uma jornada.

Captura de ecrã: documentação da Cloudflare sobre endereços IP, secção sobre endereços próprios, 31 de outubro de 2026.

IP estáticos ou BYOIP. São exclusivos do Enterprise. Para uma loja pequena, raramente fazem sentido; para um retalhista grande com muitas vendas em Espanha, vale a pena perguntar.

Mudar de CDN ou de alojamento. A OONI encontrou domínios afetados na Amazon, Squarespace, Sucuri, Akamai, Alibaba e outros. Nenhum grande fornecedor parece imune. A Vercel contou em abril de 2025 que dois dos seus endereços foram bloqueados em dias de jogo; na atualização de 18 de abril indicou que 66.33.60.129 e 76.76.21.142 já não estavam bloqueados.

A caixa de correio da LaLiga. A 15 de fevereiro de 2025, a LaLiga criou o endereço [email protected] para clientes da Cloudflare que queiram comunicar que o conteúdo ilegal no mesmo IP não é seu. Não encontrei dados públicos sobre o resultado.

Perguntas ao alojamento e à Cloudflare que levam a respostas concretas:

1. Para que endereços aponta hoje o meu domínio, de que intervalo, e podem mudar sem aviso?
2. O meu plano permite reduzir o número de domínios no meu endereço, e como?
3. Têm registo de bloqueios da LaLiga nos endereços da minha zona nas últimas jornadas, com data e operadora?
4. Se eu mudar de plano ou de configuração, que garantia tenho de que os novos endereços não serão bloqueados? Se alguém prometer uma garantia, peça-a por escrito.
5. O IP do meu servidor é dedicado ou partilhado?
6. Posso ver registos de ligações por país e por hora, para comparar sábados com e sem jogo?

#Vale a pena uma loja portuguesa deixar a Cloudflare por causa disto

Depende de quanto vende para Espanha nas horas dos jogos e do que a Cloudflare lhe dá no resto da semana. Numa loja WooCommerce, a cache, a proteção contra DDoS e as regras de segurança poupam recursos do servidor e incidentes todos os dias. Abdicar delas para evitar algumas horas de bloqueio num mercado pode deixá-lo mais exposto em todos os outros, incluindo o português. Se aproveitar para mexer nas definições de bots da Cloudflare, confirme também se a Cloudflare bloqueia o Googlebot.

Primeiro meço, depois decido. Ao longo de duas ou três jornadas recolho três números: quantas horas os seus endereços estiveram bloqueados segundo as medições, que parte das encomendas semanais vindas de Espanha cai nessas horas e quantas encomendas pagas ficaram pendentes. Com esses números, a decisão deixa de ser uma opinião. Se o impacto for pequeno, normalmente chega corrigir o lado da loja: confirmação a partir da notificação da plataforma de pagamento, um limite sensato para manter stock e e-mails enviados após o pagamento. Se for grande, a conversa passa a ser sobre plano, endereços ou fornecedor, e tem os dados para a ter.

Se quiser reclamar danos em Espanha, procure aconselhamento de um advogado que exerça no direito espanhol e guarde as medições originais com data, hora e operadora. A Associação Espanhola de Startups recolhe casos através de um formulário que pede o volume de negócios anual, a faturação média diária sem futebol e em dias com bloqueios e os custos adicionais por jornada. Serve de modelo para a sua própria documentação, mesmo que nunca o envie.

#Como trato isto com os meus clientes

Trabalho sozinho e sigo sempre a mesma ordem:

1. Confirmar a assinatura: só Espanha, só horas de jogo, sem Ray ID.
2. Ver os endereços do domínio e compará-los com as listas observadas na jornada seguinte.
3. Agendar medições TLS a partir de sondas nos ASN das principais operadoras espanholas, antes, durante e depois do jogo.
4. Rever encomendas pendentes, entregas da plataforma de pagamento e o limite de stock nessas horas, com a diferença horária de Lisboa já tida em conta.
5. Registar as horas de bloqueio, as vendas afetadas e as opções com o seu custo e risco, para que o dono da loja decida.

Se vende para Espanha, isto cabe na manutenção de sites WordPress com monitorização que também mede a partir de redes espanholas, e não apenas um ping a partir de um centro de dados. Se isto o levou a repensar a configuração da Cloudflare, reviso-a no serviço de Cloudflare e edge. E se quer que a loja carregue mais depressa onde está acessível, comece por acelerar o site WordPress.

Última atualização: 31 de outubro de 2026. Dados da OONI até 1 de junho de 2026, observações do hayahora.futbol até 31 de outubro de 2026.