Cloudflare: безкоштовний CDN та захист від DDoS

Cloudflare безкоштовно надає CDN (прискорення через глобальну мережу серверів), захист від DDoS-атак і SSL-сертифікат. Підключення займає 15 хвилин.

Підключення Cloudflare

1. Зареєструйтеся на cloudflare.com
2. Натисніть Add a Site → введіть домен
3. Оберіть безкоштовний тариф Free
4. Cloudflare просканує DNS-записи автоматично
5. Перевірте список записів, натисніть Continue
6. Скопіюйте видані NS-сервери (виду aisha.ns.cloudflare.com)
7. У панелі реєстратора домену замініть NS-сервери на Cloudflare
8. Зачекайте 5–24 години до поширення

Важливі налаштування після підключення

SSL/TLS

• SSL/TLS → Overview → Режим Full (strict) — якщо на сервері є дійсний SSL
• Full — якщо SSL є, але самопідписаний
• Flexible — якщо SSL немає зовсім (тимчасово)

Режими SSL: чим відрізняються і чим ризикують

Flexible — тимчасовий режим на період, поки на сервері ще немає сертифіката. Залишати його назавжди не варто: з'єднання Cloudflare-сервер йде відкритим текстом, і відвідувач бачить замочок у браузері, хоча справжнього наскрізного шифрування немає.

Кешування

# Caching → Configuration:
Caching Level: Standard
Browser Cache TTL: 4 hours

# Caching → Cache Rules — виключити admin:
If: URI path contains /wp-admin
Then: Bypass cache

Speed

• Auto Minify: увімкніть CSS, JavaScript, HTML
• Brotli: увімкніть (краще за gzip)
• Rocket Loader: обережно (може зламати JS)

Розбір типових помилок

Помилка 521/522/525 після увімкнення проксування

Щойно запис перемкнуто на «помаранчеву хмару» (проксується через Cloudflare), сервер починає отримувати запити не від відвідувачів напряму, а від IP-адрес Cloudflare. Якщо файрвол сервера налаштований занадто суворо і не пускає ці IP, відвідувач побачить одну з помилок:

Error 521: Web Server Is Down
# сервер не відповідає на підключення зовсім — зазвичай блокування файрволом або сервіс впав

Error 522: Connection Timed Out
# сервер не відповів за відведений час — мережа або перевантаження

Error 525: SSL Handshake Failed
# сервер не зміг домовитися про TLS із Cloudflare — зазвичай режим Full/Full strict
# за відсутнього чи невірного сертифіката на самому сервері

Рішення для 521/522 — дозволити у файрволі діапазони IP Cloudflare для портів 80/443. Рішення для 525 — перевірити, що на сервері дійсно встановлений і не прострочений сертифікат, який відповідає обраному режиму SSL.

Помилка: забули увімкнути проксування (сіра хмара)

Якщо DNS-запис залишено в режимі «лише DNS» (сіра хмара), захист від DDoS і CDN не працюють зовсім — Cloudflare просто відповідає на DNS-запити, а весь трафік іде напряму на IP сервера, який до того ж тепер публічно видно в історії DNS-записів.

Cloudflare Analytics

У розділі Analytics побачите: кількість запитів, обсяг трафіку, заблоковані загрози та географію відвідувачів — усе безкоштовно.

Коли Cloudflare не підходить

• Потрібна справжня IP відвідувача без додаткового налаштування — проксування приховує реальну адресу клієнта від сервера, якщо явно не читати заголовок CF-Connecting-IP у логах і застосунку.
• Сервіс працює на нестандартних портах поза списком підтримуваних безкоштовним тарифом — проксування поширюється на обмежений набір портів, для решти потрібен або платний тариф, або пряме підключення в обхід Cloudflare.
• Застосунку критична затримка в одиниці мілісекунд до власного сервера — зайвий хоп через CDN додає затримку там, де кеш не допомагає (наприклад, торгові API з жорсткими вимогами до latency).

Перевірка, що все підключено правильно

1. Виконайте dig NS ваш-домен — у відповіді мають бути NS-сервери Cloudflare, а не старі NS-сервери реєстратора.
2. Запросіть заголовки сайту: curl -I https://ваш-домен/ — наявність заголовка cf-ray підтверджує, що запит пройшов через Cloudflare.
3. Перевірте режим SSL через curl -I https://ваш-домен/ без помилок сертифіката і переконайтеся, що на самому сервері увімкнено HTTPS, якщо обрано режим Full або Full (strict).
4. У розділі Security → Events подивіться, що заблоковані запити дійсно з'являються — порожній список перші дні означає, що фільтрація ще не набрала статистики, а не те, що вона не працює.

Що робити, якщо після підключення сторінка показує попередження про змішаний вміст — розбирає стаття Mixed Content на HTTPS, а вибір типу SSL-сертифіката — DV, OV і EV сертифікати.

Часті питання

Що робити, якщо власному застосунку потрібна справжня IP відвідувача при увімкненому проксуванні?

Так, справжня адреса відвідувача нікуди не зникає — вона передається у заголовку CF-Connecting-IP, і застосунок чи вебсервер мають явно читати саме цей заголовок замість стандартної адреси підключення, яка при проксуванні завжди вказує на мережу Cloudflare. Без такого налаштування у журналах і системах захисту від брутфорсу будуть видні лише адреси самого Cloudflare.

Чи безпечно залишати режим Flexible SSL назавжди?

Ні, Flexible варто використовувати лише тимчасово, поки на сервері ще не встановлено власний сертифікат. З'єднання між Cloudflare і сервером у цьому режимі йде відкритим текстом, а відвідувач при тому бачить замочок в адресному рядку і вважає канал повністю захищеним, хоча наскрізного шифрування насправді немає. Щойно сертифікат на сервері з'явиться, режим варто перемкнути на Full strict.

Чому після підключення Cloudflare сайт раптом став недоступний з помилкою 521?

Найімовірніше, файрвол сервера налаштований надто суворо і блокує підключення від IP-адрес Cloudflare, через які тепер насправді йде увесь трафік після увімкнення проксування. Рішення — дозволити у файрволі діапазони адрес Cloudflare для вебпортів, інакше сервер фізично не відповідає на запити і показує саме цю помилку, хоча сам сайт продовжує працювати.

Чи треба видаляти старі DNS-записи у реєстратора після переходу на NS-сервери Cloudflare?

Видаляти старі записи у реєстратора не обов'язково: після зміни NS-серверів реєстратор перестає відповідати за DNS цього домену взагалі, і його власні записи просто перестають враховуватися, навіть якщо фізично лишаються у панелі. Усім керуванням DNS тепер займається панель Cloudflare, і саме в ній треба підтримувати записи актуальними.