Cloudflare: как подключить домен и настроить защиту сайта — инструкция для новичка

Что такое Cloudflare и для чего его подключают к сайту

Cloudflare — это сервис, который объединяет в одном месте четыре функции: сеть доставки контента (CDN, сеть серверов для ускорения загрузки), защиту от DDoS-атак, DNS-хостинг (управление записями домена) и бесплатный SSL-сертификат для HTTPS. Владелец сайта подключает к нему домен вместо того, чтобы держать эти задачи на своём сервере.

Главный эффект — снижение нагрузки на origin-сервер (тот сервер, где реально размещён сайт). Cloudflare отдаёт статику — картинки, стили, скрипты — из своего кэша, а запросы к вашему серверу доходят только за динамическим контентом. Сеть охватывает более 300 городов присутствия по всему миру, поэтому посетитель получает страницу с ближайшего к нему узла, а не из вашего дата-центра. HTTPS-трафик при этом идёт по порту 443, обычный HTTP — по порту 80.

Важно различать два режима работы. Как DNS-провайдер Cloudflare просто хранит записи домена — трафик идёт напрямую на сервер. Как прокси (режим «оранжевое облако») он пропускает весь трафик через себя: скрывает реальный IP-адрес сервера, фильтрует вредоносные запросы и кэширует контент. Именно проксирование даёт защиту и ускорение, а не сама смена DNS.

Основные функции Cloudflare:

• CDN — статика отдаётся из кэша ближайшего узла
• Защита от DDoS — фильтрация вредоносного трафика на границе сети
• DNS-хостинг — управление записями домена
• SSL-сертификат — выпускается автоматически

Cloudflare подключается к сайту на любой площадке — на собственном сервере или на виртуальном хостинге.

Как работает проксирование Cloudflare: DNS, кэш и защита

После смены DNS-записей запрос от посетителя идёт не напрямую на ваш сервер, а через Anycast-сеть Cloudflare — она объединяет более 300 городов присутствия по всему миру. Ближайший узел принимает соединение по HTTPS (порт 443) или HTTP (порт 80) и уже от своего имени обращается к вашему серверу. Реальный IP-адрес сервера при этом скрыт, а клиент видит только адрес Cloudflare.

В панели DNS каждая запись помечена значком облака. Оранжевое облако (proxied) включает проксирование: трафик фильтруется и кэшируется через сеть Cloudflare. Серое облако (DNS only) означает, что запись используется только для разрешения имени, а соединение идёт напрямую на сервер без защиты и кэша.

Через прокси кэшируется в основном статика — файлы .css, .js, изображения и другие ресурсы по расширению. По умолчанию такие файлы хранятся в кэше около 240 минут (4 часа), после чего Cloudflare заново запрашивает их у сервера. HTML-страницы и динамический контент по умолчанию не кэшируются.

Прокси-слой также разбирает входящий поток до того, как он достигнет сервера:

• отсекает паразитный и DDoS-трафик на уровне Anycast-сети, не пропуская его дальше
• проверяет запросы через встроенный WAF (Web Application Firewall — межсетевой экран для веб-приложений)
• снижает нагрузку на сервер за счёт отдачи закэшированной статики без обращения к источнику

Чтобы усилить защиту на уровне самого DNS, дополнительно настройте защищённый DNS.

Как подключить домен к Cloudflare: пошаговая инструкция

Подключение домена занимает 10–15 минут вашего времени, а полное применение настроек — от 5 минут до 24 часов. Основная часть работы происходит на стороне регистратора домена: там вы меняете NS-записи (Name Server, сервер имён) на адреса Cloudflare. До этого момента сайт продолжает работать на старых настройках, поэтому простоя не будет.

Перед стартом убедитесь, что у вас есть доступ к панели регистратора домена и к текущим DNS-записям сайта (A-запись с IP-адресом сервера, MX-записи почты, если она есть). Сеть Cloudflare охватывает более 300 городов присутствия, поэтому после подключения запросы к сайту начнут обрабатываться ближайшим к посетителю узлом.

Когда доступы на руках, подключайте домен по шагам:

1. Зарегистрируйте аккаунт на официальном сайте Cloudflare и подтвердите почту.
2. Нажмите «Add a site», введите домен без www и http:// — например, site.ru.
3. Выберите тариф: бесплатный Free не ограничивает трафик и подходит для большинства сайтов, платные планы разобраны в следующем разделе.
4. Дождитесь автоматического сканирования DNS-записей — Cloudflare найдёт текущие A, CNAME и MX-записи и импортирует их.
5. Скопируйте два адреса NS-серверов, которые покажет Cloudflare, и замените ими NS-записи в панели регистратора домена.
6. Подождите применения изменений — от 5 минут до 24 часов, статус подключения отслеживайте в панели Cloudflare.
7. Включите proxy-статус (оранжевое облако) для A-записи сайта — это скроет реальный IP-адрес сервера от посторонних.
8. В разделе SSL/TLS выберите режим шифрования; трафик по HTTPS пойдёт через порт 443, по HTTP — через порт 80.
9. Проверьте смену NS-серверов командой nslookup -type=ns site.ru в терминале — в ответе должны появиться серверы Cloudflare.

Тарифы Cloudflare: сколько стоит и что входит в план

У Cloudflare 4 тарифа. Базовые функции есть во всех: проксирование, CDN (сеть доставки контента) и бесплатный SSL-сертификат. Тариф Free не ограничивает трафик и подходит для большинства сайтов. Платные планы добавляют больше правил WAF (Web Application Firewall, межсетевой экран для веб-приложений), подробную аналитику и быструю поддержку. Тариф выбирается отдельно для каждого домена в разделе Overview → Plan.

Для блога и сайта-визитки хватит Free. Интернет-магазину с оплатой на сайте лучше взять Pro: в нём есть управляемые наборы правил WAF, которые блокируют SQL-инъекции и XSS-атаки. Business нужен проектам, которым важны поддержка 24/7 и SLA (соглашение об уровне сервиса) на доступность 100%. Enterprise подключают крупные компании, цену согласуют с менеджером.

Cloudflare защищает сайт, но не заменяет хостинг. Если сервер слабый, тариф Pro не ускорит сайт. Сначала подберите надёжный VPS, потом подключайте платный план.

Настройка SSL/TLS в Cloudflare: режимы и типичные конфликты

При подключении домена Cloudflare сразу выпускает бесплатный сертификат Universal SSL — это занимает от 5 до 15 минут, и весь HTTPS-трафик после этого идёт через прокси по порту 443, а обычный HTTP — по порту 80. Но выпуск сертификата не настраивает шифрование между Cloudflare и вашим сервером — это делает отдельная настройка режима SSL/TLS в разделе SSL/TLS → Overview. От выбранного режима зависит, будет сайт работать корректно или уйдёт в ошибку редиректов.

Четыре режима шифрования в Cloudflare, выбор между которыми зависит от наличия сертификата на сервере:

• Off — трафик идёт без шифрования, между посетителем и Cloudflare данные передаются по HTTP. Использовать не стоит: браузеры помечают такие сайты как небезопасные.
• Flexible — HTTPS только между посетителем и Cloudflare, а от Cloudflare до сервера трафик идёт по HTTP. Подходит, если на сервере вообще нет сертификата.
• Full — шифрование на всём пути, но Cloudflare не проверяет подлинность сертификата на сервере. Годится для самоподписанного сертификата.
• Full (strict) — шифрование на всём пути с проверкой действительного сертификата на сервере. Это самый безопасный режим, и его стоит выбирать, если на сервере уже установлен доверенный сертификат — например, выпущенный по инструкции о получении SSL-сертификата.

Ошибки при настройке Cloudflare и как их избежать

Ошибки в связке Cloudflare и сервера бьют прямо по доступности сайта: если origin недоступен больше 5 минут, посетители просто уходят. Чаще всего это ошибки 522 и 525 из-за закрытого порта или утечка реального IP через DNS — разберём все типичные сбои по порядку, чтобы ловить их сразу.

Первая ошибка: 522 или 525 в браузере

Сервер-источник (origin) не отвечает Cloudflare или конфликтует с ним по SSL. Причина обычно в закрытом порту 443 на файрволе хостинга или в неверном режиме шифрования.

Как решить: сначала проверьте, доступен ли сайт напрямую по IP-адресу, и держите порты 80 и 443 открытыми на сервере, а уже потом разбирайтесь с настройками прокси.

Вторая ошибка: утечка реального IP через DNS

Если проксирование включено только для основной записи A, а поддомен вроде mail или ftp остался с серым облаком, реальный адрес сервера легко найти через историю DNS и обойти защиту напрямую. Проверьте все записи в разделе DNS и включите оранжевое облако для всех публичных записей, где это уместно.

Третья ошибка: старый контент в кэше

После обновления сайта правки на сервере есть, а посетители видят прежнюю версию страницы. Решается очисткой кэша в панели Cloudflare, но при частых изменениях лучше сразу настроить правила кэширования отдельно.

Четвёртая ошибка: слишком жёсткие правила Firewall

Правила блокируют не ботов, а обычных пользователей: строгие условия по стране или User-Agent режут часть живого трафика. Тестируйте новые правила в режиме логирования и только потом включайте блокировку.

Большинство сбоев снимается проверкой портов, DNS-записей и кэша. Если самостоятельно разбираться с конфликтами некогда, закажите настройку Cloudflare под ключ.

Cloudflare или альтернативы: что выбрать для защиты сайта

Хостинг-провайдеры часто предлагают встроенную защиту от DDoS-атак на уровне сети, а на самом сервере можно настроить iptables и fail2ban для блокировки подозрительных IP-адресов. Этого хватает, если сайт получает 1–2 тысячи посетителей в сутки и не является публичной целью для атак. Такая защита работает локально, без изменения DNS-записей и без задержки в 5–15 минут на выпуск сертификата.

Cloudflare нужен, когда речь идёт о распределённых атаках через сотни IP-адресов одновременно — сеть с присутствием в более чем 300 городах гасит такой трафик до того, как он дойдёт до сервера. Прокси через оранжевое облако скрывает реальный IP-адрес, а fail2ban просто не увидит атакующего, чтобы его заблокировать. Разница в подходе: сервер защищает себя сам, CDN принимает удар вместо него.

Выбор зависит от масштаба проекта и бюджета:

• Блог, визитка, интернет-магазин с небольшим трафиком — достаточно firewall на VPS и защиты хостера, тариф Free не нужен
• Сайт с ростом посещаемости или историей атак — Free-тариф Cloudflare с проксированием портов 80 и 443 закроет базовые риски бесплатно
• Коммерческий проект с SLA — тарифы Pro или Business дают приоритетную поддержку и правила WAF

Для проектов, которым важна собственная инфраструктура без внешних прокси, разумно начать с надёжного сервера у провайдера, выбранного по понятным критериям.

Кому Cloudflare не подходит

Cloudflare закрывает большинство базовых задач, но подходит не каждому проекту. От него лучше отказаться при персонализированном контенте, для внутренних сервисов, для бизнеса, которому нужны гарантии SLA на бесплатном тарифе, и при интеграциях со статическим IP.

Разберём каждый случай подробнее, чтобы вы могли узнать в нём свой проект:

• Персонализированный контент и корзины Если страница генерируется под каждого посетителя — личный кабинет, корзина с ценами по региону или динамическая лента, — кэш прокси-сервера начинает мешать. Придётся настраивать исключения через Cache Rules, а это лишняя работа для новичка.
• Внутренние сервисы без внешнего трафика Админ-панели, тестовые стенды и корпоративные CRM не нуждаются в проксировании. Оранжевое облако защищает от внешних атак и скрывает IP-адрес сервера, а если заходят только сотрудники по VPN, эта функция не нужна и лишь добавляет звено между пользователем и сервером.
• Бизнес, где простой критичен Бесплатный тариф Free не режет трафик, но не даёт гарантий SLA (Service Level Agreement, соглашение об уровне обслуживания) и приоритетной поддержки: ответа можно ждать более 24 часов. Если простой в 1 час критичен, нужен план Pro или Business с расширенными гарантиями.
• Интеграции со статическим IP Некоторые платёжные шлюзы, API-партнёры или SSL-сертификаты сторонних систем проверяют IP сервера по белому списку, а проксирование через Cloudflare его скрывает. Домен тогда подключают через альтернативный сервис защиты либо оставляют трафик без прокси, включив только DNS-запись.