Cloudflare: бесплатный CDN и защита от DDoS

Cloudflare бесплатно предоставляет CDN (ускорение через глобальную сеть серверов), защиту от DDoS-атак и SSL-сертификат. Подключение занимает 15 минут.

Подключение Cloudflare

1. Зарегистрируйтесь на cloudflare.com
2. Нажмите Add a Site → введите домен
3. Выберите бесплатный тариф Free
4. Cloudflare просканирует DNS-записи автоматически
5. Проверьте список записей, нажмите Continue
6. Скопируйте выданные NS-серверы (вида aisha.ns.cloudflare.com)
7. В панели регистратора домена замените NS-серверы на Cloudflare
8. Подождите 5–24 часа до распространения

Важные настройки после подключения

SSL/TLS

• SSL/TLS → Overview → Режим Full (strict) — если на сервере есть действующий SSL
• Full — если SSL есть но самоподписанный
• Flexible — если SSL нет совсем (временно)

Режимы SSL: чем отличаются и чем рискуют

Flexible — временный режим на период, пока на сервере ещё нет сертификата. Оставлять его насовсем не стоит: соединение Cloudflare-сервер идёт открытым текстом, и посетитель видит замочек в браузере, хотя настоящего сквозного шифрования нет.

Кэширование

# Caching → Configuration:
Caching Level: Standard
Browser Cache TTL: 4 hours

# Caching → Cache Rules — исключить admin:
If: URI path contains /wp-admin
Then: Bypass cache

Speed

• Auto Minify: включите CSS, JavaScript, HTML
• Brotli: включите (лучше gzip)
• Rocket Loader: осторожно (может сломать JS)

Разбор типичных ошибок

Ошибка 521/522/525 после включения проксирования

Как только запись переключена на «оранжевое облако» (проксируется через Cloudflare), сервер начинает получать запросы не от посетителей напрямую, а от IP-адресов Cloudflare. Если файрвол сервера настроен слишком строго и не пускает эти IP, посетитель увидит одну из ошибок:

Error 521: Web Server Is Down
# сервер не отвечает на подключение вовсе — обычно блокировка файрволом или сервис упал

Error 522: Connection Timed Out
# сервер не ответил за отведённое время — сеть или перегрузка

Error 525: SSL Handshake Failed
# сервер не смог договориться о TLS с Cloudflare — обычно режим Full/Full strict
# при отсутствующем или неверном сертификате на самом сервере

Решение для 521/522 — разрешить в файрволе диапазоны IP Cloudflare для портов 80/443. Решение для 525 — проверить, что на сервере действительно установлен и не просрочен сертификат, соответствующий выбранному режиму SSL.

Ошибка: забыли включить проксирование (серое облако)

Если DNS-запись оставлена в режиме «только DNS» (серое облако), защита от DDoS и CDN не работают вовсе — Cloudflare просто отвечает на DNS-запросы, а весь трафик идёт напрямую на IP сервера, который к тому же теперь публично виден в истории DNS-записей.

Cloudflare Analytics

В разделе Analytics увидите: количество запросов, объём трафика, заблокированные угрозы и географию посетителей — всё бесплатно.

Когда Cloudflare не подходит

• Нужен настоящий IP посетителя без дополнительной настройки — проксирование скрывает реальный адрес клиента от сервера, если явно не читать заголовок CF-Connecting-IP в логах и приложении.
• Сервис работает на нестандартных портах вне списка поддерживаемых бесплатным тарифом — проксирование распространяется на ограниченный набор портов, для остальных нужен либо платный тариф, либо прямое подключение в обход Cloudflare.
• Приложению критична задержка в единицы миллисекунд до собственного сервера — лишний хоп через CDN добавляет задержку там, где кэш не помогает (например, торговые API с жёсткими требованиями к latency).

Проверка, что всё подключено правильно

1. Выполните dig NS ваш-домен — в ответе должны быть NS-серверы Cloudflare, а не старые NS-серверы регистратора.
2. Запросите заголовки сайта: curl -I https://ваш-домен/ — наличие заголовка cf-ray подтверждает, что запрос прошёл через Cloudflare.
3. Проверьте режим SSL через curl -I https://ваш-домен/ без ошибок сертификата и убедитесь, что на самом сервере включён HTTPS, если выбран режим Full или Full (strict).
4. В разделе Security → Events посмотрите, что заблокированные запросы действительно появляются — пустой список первые дни означает, что фильтрация ещё не набрала статистику, а не то, что она не работает.

Что делать, если после подключения страница показывает предупреждение о смешанном содержимом — разбирает статья Mixed Content на HTTPS, а выбор типа SSL-сертификата — DV, OV и EV сертификаты.

Частые вопросы

Что делать, если собственному приложению нужен настоящий IP посетителя при включённом проксировании?

Да, реальный адрес посетителя никуда не пропадает — он передаётся в заголовке CF-Connecting-IP, и приложение или веб-сервер должны явно читать именно этот заголовок вместо стандартного адреса подключения, который при проксировании всегда указывает на сеть Cloudflare. Без такой настройки в логах и системах защиты от брутфорса будут видны только адреса самого Cloudflare.

Безопасно ли оставлять режим Flexible SSL насовсем?

Нет, Flexible стоит использовать только временно, пока на сервере ещё не установлен собственный сертификат. Соединение между Cloudflare и сервером в этом режиме идёт открытым текстом, а посетитель при этом видит замочек в адресной строке и считает канал полностью защищённым, хотя сквозного шифрования на самом деле нет. Как только сертификат на сервере появится, режим стоит переключить на Full strict.

Почему после подключения Cloudflare сайт вдруг стал недоступен с ошибкой 521?

Скорее всего, файрвол сервера настроен слишком строго и блокирует подключения от IP-адресов Cloudflare, через которые теперь реально приходит весь трафик после включения проксирования. Решение — разрешить в файрволе диапазоны адресов Cloudflare для веб-портов, иначе сервер физически не отвечает на запросы и показывает именно эту ошибку, хотя сам сайт продолжает работать.

Нужно ли удалять старые DNS-записи у регистратора после перехода на NS-серверы Cloudflare?

Удалять старые записи у регистратора не обязательно: после смены NS-серверов регистратор перестаёт отвечать за DNS этого домена вообще, и его собственные записи просто перестают учитываться, даже если физически остаются в панели. Всем управлением DNS теперь занимается панель Cloudflare, и именно в ней нужно поддерживать записи актуальными.