Cloudflare Logpush Transformers: filtra y redacta logs antes de exportarlos

Cloudflare Logpush Transformers permite filtrar registros innecesarios, ocultar valores sensibles y reorganizar campos antes de enviar los datos a un SIEM, una plataforma de analítica o un almacenamiento externo. La transformación se define con una consulta SQL y ocurre dentro del flujo de exportación, por lo que puede reducir datos enviados y evitar que ciertos campos salgan sin tratamiento. No sustituye una política de registros: antes de activarla, una empresa debe decidir qué eventos conservar, probar que las investigaciones sigan siendo posibles, validar el esquema de destino y confirmar que no se eliminen evidencias necesarias para seguridad o cumplimiento.

Qué anunció Cloudflare sobre Logpush Transformers

Hecho. Cloudflare publicó el 12 de octubre de 2026 una explicación técnica de Transformers dentro de Logpush. La función, disponible de forma general, inserta una transformación SQL antes de que cada lote llegue a su destino. Puede descartar registros mediante WHERE y convertir la salida de SELECT en el registro final exportado.

El objetivo es evitar un servicio de procesamiento intermedio dedicado únicamente a limpiar o adaptar logs. Los equipos pueden excluir comprobaciones de salud y tráfico interno, omitir campos, enmascarar direcciones, renombrar propiedades, añadir metadatos estáticos o construir objetos anidados. El resultado se entrega en NDJSON.

Qué problema resuelve antes de exportar los logs

Un flujo convencional puede enviar cada registro completo a un SIEM, un repositorio de objetos o una herramienta de analítica y limpiarlo después. Ese diseño conserva flexibilidad, pero también puede trasladar ruido, campos innecesarios y valores sensibles a más sistemas. Además, el equipo paga por transmitir, ingerir y almacenar información que quizá descarte inmediatamente.

Análisis. Transformar antes de exportar concentra parte del control en el origen del flujo. Puede reducir volumen y normalizar esquemas cuando una organización combina varios proveedores. El beneficio depende de una selección correcta: filtrar demasiado pronto puede eliminar información que luego sería necesaria para investigar un incidente, resolver un fallo o cumplir una obligación de conservación.

Qué puede hacer una consulta Transformer

La documentación de Cloudflare admite una sola consulta SQL por Transformer. Entre las operaciones disponibles se encuentran:

• Seleccionar únicamente los campos que debe recibir el sistema de destino.
• Descartar registros con condiciones WHERE.
• Renombrar propiedades mediante AS.
• Enmascarar o transformar valores con funciones SQL.
• Añadir campos calculados o metadatos estáticos.
• Crear objetos anidados y listas dentro del NDJSON.
• Consultar campos JSON y expandir listas mediante UNNEST.

No admite un motor analítico completo: están fuera de alcance las uniones, subconsultas, agregaciones, funciones de ventana, ORDER BY y múltiples sentencias. La consulta se valida contra el esquema del conjunto de datos antes de guardarse.

Ejemplo conceptual de reducción y seudonimización

SELECT
  regexp_replace(ClientIP, '[0-9]+[.][0-9]+', 'XXX.XXX') AS client_ip_masked,
  ClientRequestHost AS host,
  ClientRequestPath AS path,
  EdgeResponseStatus AS status
FROM http_requests
WHERE ClientRequestPath NOT LIKE '/healthz%'

El ejemplo elimina comprobaciones de salud y oculta parte de una dirección IP. Debe adaptarse al esquema, las finalidades, la regulación y las necesidades de investigación de cada organización. Enmascarar dos segmentos de una IP no garantiza anonimización ni cumplimiento jurídico.

Requisitos, disponibilidad y costos

Transformers funciona con trabajos de Logpush que produzcan NDJSON y con conjuntos de datos compatibles, tanto de cuenta como de zona. Para administrarlo por API se necesita un token con permiso Logs Write. Se puede crear, previsualizar, versionar, adjuntar o retirar desde Transformer Studio o mediante la API.

Cloudflare indica disponibilidad en los planes Free, Pro, Business y Enterprise. Cada cuenta incluye 1 GB mensual de entrada de transformación; el volumen adicional aparece documentado a USD 0,04 por GB. Son condiciones publicadas por el proveedor y pueden cambiar, por lo que deben confirmarse en la documentación y facturación de la cuenta antes de estimar costos.

Un trabajo puede tener un Transformer o un filtro tradicional, pero no ambos. En el panel, Transformer Studio puede convertir el filtro existente a un predicado SQL. Al trabajar con la API, la migración debe hacerse expresamente: trasladar la condición a WHERE, limpiar el filtro y asociar el identificador del Transformer en la misma actualización.

Cómo implementarlo sin perder registros importantes

1. Inventaría los destinos. Registra qué SIEM, almacenamiento y plataformas reciben los logs, quién accede a ellos y para qué decisiones se utilizan.
2. Clasifica los campos. Separa identificadores, secretos, datos personales, información operativa y evidencia de seguridad. Define qué debe conservarse, transformarse o eliminarse.
3. Define un esquema mínimo útil. Conserva campos suficientes para correlacionar eventos, conocer tiempo, origen, recurso, resultado y contexto. No bases la selección solo en el ahorro.
4. Escribe y previsualiza la consulta. Usa una muestra representativa y comprueba tipos, valores nulos, rutas excepcionales y registros de error.
5. Compara antes y después. Mide cantidad de registros y campos, tamaño de salida y capacidad de reconstruir un incidente conocido. Revisa falsos descartes.
6. Haz un piloto. Empieza con un destino no crítico o una zona acotada. Documenta la versión del Transformer y un procedimiento de reversión.
7. Valida el sistema receptor. Confirma que paneles, alertas, reglas de correlación y retención interpreten correctamente el nuevo esquema.
8. Revisa periódicamente. Nuevas rutas, aplicaciones o requisitos pueden convertir una regla correcta en una fuente de pérdida de evidencia.

Qué datos no deberían viajar sin revisión

Recomendación independiente. La guía de registros de OWASP señala que contraseñas, tokens de acceso, claves, cadenas de conexión, identificadores de sesión y ciertos datos personales no deberían registrarse directamente; propone eliminarlos, enmascararlos, sanearlos, cifrarlos o seudonimizarlos según el caso.

Al mismo tiempo, no conviene desactivar eventos necesarios para detectar incidentes. Los éxitos y fallos de autenticación, cambios de permisos, errores de validación y actividades administrativas suelen aportar evidencia valiosa. La transformación debe equilibrar minimización, investigación y obligaciones aplicables.

La guía NIST SP 800-92 recomienda planificar la generación, transmisión, almacenamiento, análisis y eliminación de registros como un proceso empresarial. También reconoce que reducir información innecesaria puede limitar costos y almacenamiento, siempre que se protejan los datos que sí deben conservarse.

Oportunidades para empresas y equipos web

Menor volumen downstream. Excluir ruido predecible puede reducir la información enviada a plataformas que cobran por ingestión o almacenamiento.

Esquemas consistentes. Renombrar y anidar campos facilita comparar datos procedentes de distintas redes, aplicaciones o proveedores.

Menor exposición. Omitir secretos o seudonimizar identificadores antes de la entrega reduce la cantidad de sistemas que reciben el valor original, aunque no elimina todos los riesgos.

Operación más simple. Un equipo puede evitar mantener una función o servicio intermedio solo para transformar registros. Para ampliar la observabilidad de una infraestructura que usa agentes, también resulta pertinente revisar cómo Cloudflare publica Skills mediante MCP.

Precauciones y límites

• Una transformación incorrecta puede eliminar evidencia útil o romper alertas.
• El panel utiliza una muestra preparada para la vista previa; las excepciones de producción requieren pruebas adicionales.
• La redacción de un valor no implica anonimización irreversible.
• La función no reemplaza controles de acceso, cifrado, retención, integridad ni revisión jurídica.
• Los costos deben calcularse con el volumen de entrada del Transformer y los cargos del destino.
• Los registros transformados deben seguir protegidos frente a alteraciones y accesos no autorizados.

Las organizaciones que protegen aplicaciones públicas pueden relacionar este control con la detección de scripts maliciosos en tiendas online y con un plan de respuesta ante ataques automatizados y acciones manuales. Son capas distintas: la transformación mejora el flujo de datos, pero no bloquea por sí misma un ataque.

Contexto internacional

La función se ofrece en los planes compatibles de Cloudflare sin una restricción geográfica indicada en la documentación. Su uso real está condicionado por disponibilidad del conjunto de datos, plan, permisos, destino y regulación aplicable. Una empresa internacional debe revisar requisitos de privacidad, residencia, conservación y transferencias de datos en cada jurisdicción; este artículo no constituye asesoría legal.

Preguntas frecuentes

¿Transformers elimina los logs originales de Cloudflare?

Transforma los registros dentro del flujo de Logpush antes de entregarlos al destino configurado. La consulta decide qué filas y campos forman la salida. No debe asumirse que sustituye otras políticas de retención o fuentes de evidencia.

¿Se necesita un servidor propio para ejecutar el SQL?

No. Cloudflare ejecuta la consulta dentro de la canalización de Logpush. El equipo administra la lógica desde el panel o la API.

¿Funciona con exportaciones CSV?

No. La documentación actual exige trabajos con salida NDJSON.

¿Puedo conservar el filtro existente y añadir un Transformer?

No en el mismo trabajo. Debes convertir la condición al WHERE del Transformer y retirar el filtro anterior siguiendo el proceso del panel o la API.

¿Redactar una IP garantiza cumplimiento de privacidad?

No. La evaluación depende del método, los demás campos disponibles, la posibilidad de reidentificación, la finalidad y la legislación aplicable.

¿Cómo sé si estoy filtrando demasiado?

Compara incidentes y consultas conocidas antes y después del cambio. Si ya no puedes correlacionar tiempo, origen, recurso y resultado, el esquema necesita ajustes.

Fuentes y fecha de verificación

• Cloudflare Blog: Filter, reshape, and redact logs before export with Transformers, publicado el 12 de octubre de 2026.
• Cloudflare Docs: Transformers, documentación actualizada el 1 de octubre de 2026.
• OWASP Logging Cheat Sheet, consultada el 13 de octubre de 2026.
• NIST SP 800-92: Guide to Computer Security Log Management, publicación oficial.

Verificado el 13 de octubre de 2026 a las 03:12, America/Lima. La disponibilidad, los precios, los límites y los conjuntos de datos compatibles pueden cambiar.

, ‘.XXX.XXX’) AS client_ip_masked,
ClientRequestHost AS host,
ClientRequestPath AS path,
EdgeResponseStatus AS status
FROM http_requests
WHERE ClientRequestPath NOT LIKE ‘/healthz%’

El ejemplo elimina comprobaciones de salud y oculta parte de una dirección IP. Debe adaptarse al esquema, las finalidades, la regulación y las necesidades de investigación de cada organización. Enmascarar dos segmentos de una IP no garantiza anonimización ni cumplimiento jurídico.

Requisitos, disponibilidad y costos

Transformers funciona con trabajos de Logpush que produzcan NDJSON y con conjuntos de datos compatibles, tanto de cuenta como de zona. Para administrarlo por API se necesita un token con permiso Logs Write. Se puede crear, previsualizar, versionar, adjuntar o retirar desde Transformer Studio o mediante la API.

Cloudflare indica disponibilidad en los planes Free, Pro, Business y Enterprise. Cada cuenta incluye 1 GB mensual de entrada de transformación; el volumen adicional aparece documentado a USD 0,04 por GB. Son condiciones publicadas por el proveedor y pueden cambiar, por lo que deben confirmarse en la documentación y facturación de la cuenta antes de estimar costos.

Un trabajo puede tener un Transformer o un filtro tradicional, pero no ambos. En el panel, Transformer Studio puede convertir el filtro existente a un predicado SQL. Al trabajar con la API, la migración debe hacerse expresamente: trasladar la condición a WHERE, limpiar el filtro y asociar el identificador del Transformer en la misma actualización.

Cómo implementarlo sin perder registros importantes

1. Inventaría los destinos. Registra qué SIEM, almacenamiento y plataformas reciben los logs, quién accede a ellos y para qué decisiones se utilizan.
2. Clasifica los campos. Separa identificadores, secretos, datos personales, información operativa y evidencia de seguridad. Define qué debe conservarse, transformarse o eliminarse.
3. Define un esquema mínimo útil. Conserva campos suficientes para correlacionar eventos, conocer tiempo, origen, recurso, resultado y contexto. No bases la selección solo en el ahorro.
4. Escribe y previsualiza la consulta. Usa una muestra representativa y comprueba tipos, valores nulos, rutas excepcionales y registros de error.
5. Compara antes y después. Mide cantidad de registros y campos, tamaño de salida y capacidad de reconstruir un incidente conocido. Revisa falsos descartes.
6. Haz un piloto. Empieza con un destino no crítico o una zona acotada. Documenta la versión del Transformer y un procedimiento de reversión.
7. Valida el sistema receptor. Confirma que paneles, alertas, reglas de correlación y retención interpreten correctamente el nuevo esquema.
8. Revisa periódicamente. Nuevas rutas, aplicaciones o requisitos pueden convertir una regla correcta en una fuente de pérdida de evidencia.

Qué datos no deberían viajar sin revisión

Recomendación independiente. La guía de registros de OWASP señala que contraseñas, tokens de acceso, claves, cadenas de conexión, identificadores de sesión y ciertos datos personales no deberían registrarse directamente; propone eliminarlos, enmascararlos, sanearlos, cifrarlos o seudonimizarlos según el caso.

Al mismo tiempo, no conviene desactivar eventos necesarios para detectar incidentes. Los éxitos y fallos de autenticación, cambios de permisos, errores de validación y actividades administrativas suelen aportar evidencia valiosa. La transformación debe equilibrar minimización, investigación y obligaciones aplicables.

La guía NIST SP 800-92 recomienda planificar la generación, transmisión, almacenamiento, análisis y eliminación de registros como un proceso empresarial. También reconoce que reducir información innecesaria puede limitar costos y almacenamiento, siempre que se protejan los datos que sí deben conservarse.

Oportunidades para empresas y equipos web

Menor volumen downstream. Excluir ruido predecible puede reducir la información enviada a plataformas que cobran por ingestión o almacenamiento.

Esquemas consistentes. Renombrar y anidar campos facilita comparar datos procedentes de distintas redes, aplicaciones o proveedores.

Menor exposición. Omitir secretos o seudonimizar identificadores antes de la entrega reduce la cantidad de sistemas que reciben el valor original, aunque no elimina todos los riesgos.

Operación más simple. Un equipo puede evitar mantener una función o servicio intermedio solo para transformar registros. Para ampliar la observabilidad de una infraestructura que usa agentes, también resulta pertinente revisar cómo Cloudflare publica Skills mediante MCP.

Precauciones y límites

• Una transformación incorrecta puede eliminar evidencia útil o romper alertas.
• El panel utiliza una muestra preparada para la vista previa; las excepciones de producción requieren pruebas adicionales.
• La redacción de un valor no implica anonimización irreversible.
• La función no reemplaza controles de acceso, cifrado, retención, integridad ni revisión jurídica.
• Los costos deben calcularse con el volumen de entrada del Transformer y los cargos del destino.
• Los registros transformados deben seguir protegidos frente a alteraciones y accesos no autorizados.

Las organizaciones que protegen aplicaciones públicas pueden relacionar este control con la detección de scripts maliciosos en tiendas online y con un plan de respuesta ante ataques automatizados y acciones manuales. Son capas distintas: la transformación mejora el flujo de datos, pero no bloquea por sí misma un ataque.

Contexto internacional

La función se ofrece en los planes compatibles de Cloudflare sin una restricción geográfica indicada en la documentación. Su uso real está condicionado por disponibilidad del conjunto de datos, plan, permisos, destino y regulación aplicable. Una empresa internacional debe revisar requisitos de privacidad, residencia, conservación y transferencias de datos en cada jurisdicción; este artículo no constituye asesoría legal.

Preguntas frecuentes

¿Transformers elimina los logs originales de Cloudflare?

Transforma los registros dentro del flujo de Logpush antes de entregarlos al destino configurado. La consulta decide qué filas y campos forman la salida. No debe asumirse que sustituye otras políticas de retención o fuentes de evidencia.

¿Se necesita un servidor propio para ejecutar el SQL?

No. Cloudflare ejecuta la consulta dentro de la canalización de Logpush. El equipo administra la lógica desde el panel o la API.

¿Funciona con exportaciones CSV?

No. La documentación actual exige trabajos con salida NDJSON.

¿Puedo conservar el filtro existente y añadir un Transformer?

No en el mismo trabajo. Debes convertir la condición al WHERE del Transformer y retirar el filtro anterior siguiendo el proceso del panel o la API.

¿Redactar una IP garantiza cumplimiento de privacidad?

No. La evaluación depende del método, los demás campos disponibles, la posibilidad de reidentificación, la finalidad y la legislación aplicable.

¿Cómo sé si estoy filtrando demasiado?

Compara incidentes y consultas conocidas antes y después del cambio. Si ya no puedes correlacionar tiempo, origen, recurso y resultado, el esquema necesita ajustes.

Fuentes y fecha de verificación

• Cloudflare Blog: Filter, reshape, and redact logs before export with Transformers, publicado el 12 de octubre de 2026.
• Cloudflare Docs: Transformers, documentación actualizada el 1 de octubre de 2026.
• OWASP Logging Cheat Sheet, consultada el 13 de octubre de 2026.
• NIST SP 800-92: Guide to Computer Security Log Management, publicación oficial.

Verificado el 13 de octubre de 2026 a las 03:12, America/Lima. La disponibilidad, los precios, los límites y los conjuntos de datos compatibles pueden cambiar.