Qu'est-ce que Cloudflare, et à quoi il sert

Techniquement, c'est un proxy inverse doublé d'un réseau de distribution de contenu (CDN). Le plan gratuit couvre déjà le certificat, le CDN et la protection contre les attaques en volume, selon la page du plan gratuit.

Comment il fonctionne

La documentation de Cloudflare décrit le principe en trois temps.

1. Cloudflare devient le serveur DNS de votre domaine. Vous remplacez, chez votre bureau d'enregistrement, les serveurs de noms actuels par ceux que Cloudflare vous attribue. Le domaine est actif une fois ce changement pris en compte.
2. Les enregistrements « proxifiés » répondent par une adresse de Cloudflare. Pour le site, le DNS ne donne plus l'adresse de votre serveur, mais une adresse du réseau de Cloudflare. Les visiteurs se connectent donc à lui.
3. Cloudflare relaie vers votre serveur ce qui doit l'atteindre. Il répond lui-même quand il a une copie en cache, et transmet le reste à votre hébergement.

Votre serveur n'est plus exposé directement : un attaquant voit l'adresse de Cloudflare, pas la sienne.

Ce qu'il apporte

Moins d'attaques sur le serveur

Les robots qui cherchent des failles WordPress, testent des mots de passe ou visent des fichiers sensibles peuvent être arrêtés par des règles posées dans Cloudflare. Une requête bloquée à ce niveau ne réveille ni PHP ni la base de données de votre site : elle ne coûte rien à votre hébergement. Une attaque en volume, qui consiste à noyer un site sous les requêtes, est absorbée par son réseau.

Un site plus rapide pour les visiteurs éloignés

Les images, les feuilles de style et les scripts sont mis en cache dans les centres de Cloudflare et servis depuis celui qui est le plus proche du visiteur. Pour un site hébergé en Europe et consulté depuis l'océan Indien, la différence se voit.

Des DNS simples à modifier

Les enregistrements du domaine (site, messagerie, sous-domaines) se gèrent dans une seule interface, et les changements s'appliquent vite.

Ce qu'il ne fait pas

• Il ne met pas WordPress à jour. Une extension vulnérable reste vulnérable ; Cloudflare peut bloquer certaines tentatives connues, pas toutes.
• Il ne remplace pas une sauvegarde. Un site piraté ou cassé ne se répare pas depuis Cloudflare.
• Il ne protège que ce qui passe par lui. Les enregistrements laissés en mode « DNS seulement », comme souvent ceux de la messagerie, vont directement au serveur.
• Mal réglé, il peut bloquer de vrais visiteurs ou servir une ancienne version d'une page. Un cache trop agressif sur une boutique affiche par exemple un panier qui n'est pas le bon.

Mettre un site derrière Cloudflare

Les grandes étapes, pour un site existant :

1. Créez un compte Cloudflare et ajoutez votre domaine.
2. Vérifiez la liste des enregistrements DNS que Cloudflare a importés : il doit y avoir tous ceux de votre zone actuelle, messagerie comprise. Un enregistrement oublié ici, c'est un service qui s'arrête.
3. Choisissez quels enregistrements passent par le proxy (le site) et lesquels restent en DNS seulement (la messagerie, en général).
4. Remplacez les serveurs de noms chez votre bureau d'enregistrement par ceux indiqués par Cloudflare.
5. Réglez le chiffrement en mode complet strict si votre serveur a un certificat valide, pour que la connexion soit chiffrée jusqu'à votre hébergement.
6. Vérifiez le site, les formulaires et l'envoi de courriels, puis posez vos premières règles de pare-feu.

L'étape 2 est celle où la plupart des incidents arrivent. Gardez une copie de votre zone actuelle avant de commencer.

Chez Hubspace

Les sites que nous hébergeons sont protégés en amont par un filtrage réseau et par un pare-feu applicatif, compris dans toutes nos offres. Pour aller plus loin, notre prestation Cloudflare managé place votre site derrière Cloudflare, reprend tous vos enregistrements DNS, écrit les règles qui écartent les attaques et les ajuste dans le temps. Elle fonctionne aussi pour un site hébergé ailleurs que chez nous. Pour le chiffrement lui-même, voir Certificat SSL gratuit.

Questions fréquentes