Коли ми запускаємо сайт для клієнта, то майже завжди підключаємо до нього Cloudflare. Клієнти часто питають: що це таке, навіщо воно і чи не можна без нього обійтися. Пояснюємо без технічних термінів, що робить Cloudflare, від чого він захищає і чому ми вважаємо його обов’язковим для більшості сайтів.
Cloudflare простими словами
Уявіть, що ваш сайт це магазин. Без Cloudflare двері відчинені для всіх: і для покупців, і для тих, хто прийшов щось зламати або просто заблокувати вхід натовпом. Cloudflare ставить на вході охорону, яка перевіряє кожного відвідувача. Справжні покупці і пошуковий робот Google проходять без затримок, а підозрілий трафік відсіюється ще до того, як дійде до вашого сервера.
Технічно це виглядає так: відвідувач відкриває ваш сайт, але запит спершу йде на сервери Cloudflare, а вже звідти на ваш хостинг. Для відвідувача нічого не змінюється, адреса сайту та сама. Змінюється лише те, що між сайтом і інтернетом з’являється захисний шар.
Що дає Cloudflare вашому сайту
Захист від атак і ботів
Найпоширеніша атака на сайти називається DDoS: на сайт одночасно надсилають тисячі фальшивих запитів, сервер не витримує навантаження, і сайт перестає відкриватися для справжніх клієнтів. Українські сайти, особливо після 2022 року, стають такою ціллю регулярно, і не обов’язково через щось особисте: атакують масово. Cloudflare розпізнає такий трафік і відсікає його, тож сайт продовжує працювати.
Окрім атак, на кожен сайт постійно заходять боти: підбирають паролі до адмінки, шукають уразливості, засипають форми спамом. Cloudflare блокує значну частину такого трафіку, і ваш сервер працює для покупців, а не для ботів.
Швидше завантаження
Cloudflare має сервери в багатьох країнах і зберігає на них копії картинок, стилів і скриптів вашого сайту. Коли людина відкриває сайт, ці файли віддаються з найближчого до неї сервера, а не з вашого хостингу. Сторінки завантажуються швидше, а швидкість впливає і на продажі, і на позиції в Google.
Безкоштовний SSL-сертифікат
Cloudflare дає сайту захищене з’єднання HTTPS і той самий замочок в адресному рядку браузера. Без нього браузер попереджає відвідувачів, що сайт небезпечний, а Google віддає перевагу захищеним сайтам. Детальніше про це ми писали в статті про SSL-сертифікати.
Прихована адреса сервера
Без Cloudflare справжню IP-адресу вашого сервера можна легко дізнатися і атакувати його напряму. З Cloudflare назовні видно лише його адреси, тому зловмиснику значно складніше дістатися до самого сервера.
Кому це потрібно
Коротка відповідь: майже кожному сайту, який приносить гроші чи заявки. Але є випадки, коли без Cloudflare ризик особливо високий:
- Інтернет-магазини. Година простою в сезон чи під час розпродажу це прямі втрати замовлень, а адмінка з даними клієнтів часта ціль для злому.
- Сайти, на які ведеться реклама. Якщо сайт ляже, бюджет на рекламу продовжить витрачатися, а заявок не буде.
- Сайти з формами. Без фільтрації ботів форми зворотного зв’язку швидко заповнюються спамом.
- Сайти на недорогому хостингу. Такий хостинг найлегше «покласти» навіть невеликою атакою, і Cloudflare бере навантаження на себе.
Скільки це коштує
У Cloudflare є безкоштовний тариф, і для більшості сайтів малого й середнього бізнесу його достатньо: він включає захист від DDoS, мережу серверів для швидкого завантаження і SSL-сертифікат. Платні тарифи потрібні, коли сайту треба розширений захист, тонкі правила фільтрації чи оптимізація зображень.
Тобто ви платите не за сам Cloudflare, а за правильне налаштування. І це саме та частина, де найчастіше помиляються: неправильно налаштований Cloudflare може зламати оформлення замовлення, заблокувати оплату чи показувати покупцям старі ціни.
Що ми робимо під час підключення
- Переносимо сайт без простою. Переключаємо домен на Cloudflare так, щоб сайт працював увесь час, а пошта на домені не постраждала.
- Налаштовуємо SSL правильно. Захищене з’єднання має бути не лише між відвідувачем і Cloudflare, а й між Cloudflare і вашим сервером.
- Налаштовуємо кешування з винятками. Картинки і стилі кешуються, а кошик, оформлення замовлення, особистий кабінет і адмінка завжди показують актуальні дані.
- Захищаємо адмінку і форми від підбору паролів і спаму.
- Перевіряємо інтеграції. Онлайн-оплата, Нова пошта, CRM і інші сервіси надсилають на сайт технічні запити, і Cloudflare не повинен приймати їх за ботів.
- Оформлюємо акаунт на вас. Як і домен з хостингом, акаунт Cloudflare належить вам, а не студії.
Чого Cloudflare не робить
Cloudflare сильно знижує ризики, але не є чарівною кнопкою. Він не оновлює систему керування сайтом і плагіни, не робить резервних копій і не захистить, якщо пароль до адмінки «123456». Якщо на сайті є дірка в коді, зловмисник може знайти спосіб нею скористатися. Тому Cloudflare найкраще працює разом із регулярною технічною підтримкою сайту: оновленнями, резервними копіями і моніторингом.
Так само Cloudflare пришвидшує доставку файлів, але не виправить повільний код чи важкі неоптимізовані сторінки. Якщо сайт гальмує і з Cloudflare, причину шукають через SEO-аудит і технічну оптимізацію.
Підсумок
Cloudflare це охорона і прискорювач для сайту, який для більшості бізнесів нічого не коштує, крім правильного налаштування. Він захищає від атак і ботів, пришвидшує завантаження, дає SSL і ховає справжню адресу сервера. На всіх сайтах, які ми робимо в межах розробки сайтів, Cloudflare підключається і налаштовується до запуску. Якщо ваш сайт уже працює без нього, ми підключимо його без простою, а якщо сайт залишився без розробника, почніть зі статті «Розробник зник: як врятувати сайт».