Cloudflare Postavke: Kako Osigurati Web Stranicu i Implementirati DDoS Zaštitu?

Cloudflare postavke uključuju ispravnu konfiguraciju DNS-a, SSL/TLS, WAF, sigurnosnih pravila, filtriranje botova i opcije predmemoriranja kako bi se web stranica učinila bržom, sigurnijom i otpornijom na DDoS napade. Za najsigurniju osnovnu postavu, trebali biste dodati svoju domenu na Cloudflare, ispravno prenijeti DNS zapise, odabrati SSL mod Full (Strict) kada je to moguće, aktivirati WAF upravljana pravila, primijeniti izazove ili ograničenje brzine za sumnjive zahtjeve, te kontrolirano koristiti zaštite poput “Under Attack Mode” tijekom napada.

Cloudflare djeluje kao CDN i sigurnosni sloj koji se smješta između vaše web stranice i vaših posjetitelja. Kada posjetitelj dođe na vašu stranicu, zahtjev prvo dolazi do Cloudflare mreže; ovdje se filtrira zlonamjerni promet, statičke datoteke mogu se isporučiti iz predmemorije, a odgovarajući zahtjevi se preusmjeravaju na vaš izvorni poslužitelj. Ova struktura pruža ozbiljne prednosti, posebno za WordPress, WooCommerce, korporativne web stranice, SaaS panele i sadržajne stranice s velikim prometom. Međutim, pogrešno konfigurirane Cloudflare postavke mogu uzrokovati SSL pogreške, beskonačne petlje preusmjeravanja, probleme s pristupom administracijskom panelu, neosvježene stranice zbog predmemorije i sigurnosne propuste.

U ovom vodiču ćemo korak po korak obraditi kako postaviti Cloudflare od nule, aktivirati ključne opcije za sigurnost web stranice, ispravno koristiti DDoS zaštitu i optimizirati postavke performansi bez ugrožavanja sigurnosti. Ako želite postaviti brzu, sigurnu i usklađenu infrastrukturu za svoju stranicu, važno je izgraditi čvrstu osnovu na području domene, hostinga i SSL-a: Registracija domene, Paketi web hostinga, SSL certifikat.

Što je Cloudflare i koja je njegova uloga u sigurnosti web stranica?

Cloudflare je platforma temeljena na oblaku koja nudi upravljanje DNS-om, CDN, DDoS zaštitu, vatrozid za web aplikacije, smanjenje botova, upravljanje SSL/TLS-om i analitiku prometa. U tradicionalnom modelu, posjetitelj se povezuje izravno s vašim hosting poslužiteljem, dok u scenariju s Cloudflareom, posjetitelj se prvo povezuje s Cloudflareovim edge poslužiteljima. Tako se zlonamjerni promet može filtrirati prije nego što dođe do izvornog poslužitelja.

Na primjer, mala WordPress stranica obično može imati 2.000 posjetitelja dnevno i 20-30 zahtjeva u minuti. U jednostavnom HTTP flood napadu, ovaj broj može porasti na 20.000 zahtjeva u minuti. Vaš poslužitelj može postati nedostupan zbog ograničenja CPU-a, RAM-a ili veze. Cloudflare razdvaja ovaj promet koristeći reputaciju IP-a, analizu ponašanja, ograničenje brzine, izazove i DDoS potpise, olakšavajući stvarnim posjetiteljima pristup stranici.

Cloudflare nije samodostatan “alat za sve probleme” u pogledu sigurnosti. Djeluje učinkovito kada se koristi uz snažnu hosting infrastrukturu, ažurirani softver, sigurne lozinke, sigurnosne kopije, SSL i ispravnu konfiguraciju poslužitelja. Ako koristite WordPress, ažuriranja tema i dodataka, sigurnost administrativnog panela i politika jakih lozinki još uvijek su kritično važni: WordPress hosting, WordPress sigurnost.

Popis priprema prije instalacije Cloudflare-a

Prije nego što pređete na Cloudflare, važno je obaviti nekoliko osnovnih provjera kako biste smanjili probleme s pristupom i SSL-om nakon instalacije. Osobito na stranicama koje primaju aktivan promet, promjene DNS-a trebaju se planirati pažljivo.

• Izvadite postojeće DNS zapise: Zabilježite A, AAAA, CNAME, MX, TXT, SPF, DKIM, DMARC i poddomene.
• Potvrdite IP adresu hostinga: Pogrešan A zapis može uzrokovati preusmjeravanje stranice na drugi poslužitelj.
• Provjerite status SSL-a: Ako vaš izvorni poslužitelj ima važeći SSL, možete koristiti Cloudflare s Full (Strict) postavkom.
• Pazite na e-mail zapise: MX i CNAME/A zapisi povezani s e-mailom obično trebaju biti postavljeni na DNS only, tj. bez proxyja.
• Napravite sigurnosnu kopiju: DNS i sigurnosna kopija stranice omogućuju brzi povratak u slučaju greške.
• Odaberite vrijeme održavanja: Iako se promjene nameserver-a obično pojavljuju unutar nekoliko minuta, globalno širenje može trajati do 24 sata.

Praktičan pristup za korporativne stranice je sljedeći: Prvo se DNS zapisi prenose jedan po jedan, a zatim se samo web promet prenosi putem www i korijenske domene. Za usluge poput e-maila, FTP-a, cPanel-a i webmail-a, treba se ponašati pažljivo prema scenariju korištenja. Na primjer, ako koristite zasebnu poddomenu za pristup cPanelu, bolje je ostaviti taj zapis na DNS only: cPanel hosting upravljanje.

Kako postaviti Cloudflare DNS postavke?

Instalacija Cloudflare-a počinje dodavanjem vaše domene u panel. Cloudflare će skenirati vaše postojeće DNS zapise i prikazati vam popis zapisa. U ovoj fazi automatsko skeniranje možda neće pronaći sve zapise; stoga je ručna provjera nužna.

1. Dodajte domenu na Cloudflare

Nakon što se prijavite na svoj Cloudflare račun, dodajte svoju domenu klikom na “Add a site”. Nakon odabira plana, pregledajte DNS zapise. Za korijensku domenu obično se koristi A zapis, a za www CNAME zapis. Primjer strukture može izgledati ovako:

• A zapis: example.com → 192.0.2.10
• CNAME zapis: www → example.com
• MX zapis: example.com → vaš pružatelj e-pošte
• TXT zapisi: SPF, DKIM, DMARC provjere

Ovdje je važno odrediti koji zapisi će prolaziti kroz Cloudflare proxy. A i CNAME zapisi korišteni za web promet mogu imati aktivnu narančastu oblaku. E-mail promet, FTP i usluge koje zahtijevaju izravni pristup poslužitelju obično trebaju imati sivu oblaku, tj. DNS only.

2. Napravite promjenu nameserver-a

Cloudflare vam daje dva nameserver-a. Promijenite postojeće nameserver-e na mjestu gdje ste kupili svoju domenu s ovim vrijednostima. Na Hostragonsu možete upravljati nameserverima za domene registrirane na platformi iz domena panela: Upravljanje domenama. Nakon promjene, očekuje se da stanje na Cloudflare panelu bude “Active”.

3. Ispravno odaberite status proxyja

Kada je narančasta oblaka aktivna, HTTP/HTTPS promet prolazi kroz Cloudflare i primjenjuju se sigurnosne značajke. U sivoj oblaku, Cloudflare samo radi DNS razrješavanje. Za vašu web stranicu proxy bi trebao biti aktivan; međutim, za mail.example.com, ftp.example.com ili poddomene za upravljanje poslužiteljem, proxy treba biti isključen.

SSL/TLS postavke: Najsigurnija konfiguracija

Cloudflare SSL/TLS postavka određuje kako će se podaci šifrirati između preglednika i Cloudflare-a, te između Cloudflare-a i izvornog poslužitelja. Pogrešan SSL mod jedan je od najčešćih Cloudflare pogrešaka.

Razlike između Flexible, Full i Full (Strict)

Za profesionalnu upotrebu, vaš cilj treba biti Full (Strict). Za to, vaš izvorni poslužitelj mora imati važeći SSL certifikat. Let’s Encrypt, komercijalni SSL ili Cloudflare Origin Certificate mogu se koristiti. U hosting paketima Hostragonsa možete pravilno konfigurirati proces instalacije i obnavljanja SSL-a kako biste ovu opciju koristili s povjerenjem: Instalacija SSL certifikata.

Uvijek koristite HTTPS i Automatski HTTPS Preusmjeri

Opcija “Always Use HTTPS” preusmjerava HTTP zahtjeve na HTTPS. “Automatic HTTPS Rewrites” pomaže u pretvaranju nekih HTTP resursa unutar stranice u HTTPS. Međutim, za stranice koje imaju problema s mješovitim sadržajem, pravi je rješenje trajno premjestiti HTTP veze u bazi podataka i temi na HTTPS.

Pazite kada koristite HSTS

HSTS govori preglednicima da se povežu s vašom stranicom samo putem HTTPS-a. To je snažna sigurnosna mjera, ali ako je SSL konfiguracija pogrešna, posjetitelji možda neće moći pristupiti vašoj stranici. Stoga, prije nego što aktivirate HSTS, pobrinite se da je Full (Strict) SSL, da imate valjane SSL certifikate, da poddomene i preusmjeravanja rade bez problema. U početnoj fazi, testiranje s kratkom max-age vrijednošću sigurnije je.

Cloudflare WAF postavke i sigurnost web aplikacija

WAF, odnosno Vatrozid za web aplikacije, filtrira zahtjeve u vezi s SQL injekcijama, XSS-om, uključivanjem datoteka, zlonamjernim ponašanjem botova i poznatim propustima aplikacija. Cloudflare WAF postavke posebno su važne za WordPress, Joomla, Laravel, prilagođene softverske panele i e-trgovine.

Aktivirajte upravljana pravila

Upravljana pravila su unaprijed definirani setovi sigurnosnih pravila koje ažurira Cloudflare. Ako koristite WordPress, pravila specifična za WordPress, opća OWASP pravila i poznati CVE potpisi smanjuju vaš napadni površ. Tijekom prvobitne instalacije, praćenje pravila u “Log” ili niskom utjecaju modu, a zatim primjena “Block” ili “Managed Challenge” predstavlja zdrav pristup.

Zaštitite ključna područja s prilagođenim pravilima

Prilagođena pravila pružaju ciljanu sigurnost prema strukturi vaše stranice. Na primjer, možete omogućiti pristup stranicama za prijavu kao što su wp-login.php ili /admin samo iz određenih zemalja, a sumnjive user-agente na određenim URI-ima možete poslati u izazov. Međutim, prilikom pisanja pravila, pazite da ne blokirate stvarne korisnike. Na e-trgovinskoj stranici, pogrešno uključivanje stranice za plaćanje u izazov može dovesti do gubitka konverzija.

Primjer primjene: Na korporativnoj stranici usmjerene na Hrvatsku, može se primijeniti Managed Challenge za pristup /wp-admin putu iz inozemstva. Međutim, ako imate članove tima koji rade na daljinu ili inozemne urede, potrebno je definirati IP allowlist. Ovaj pristup značajno smanjuje brute force napade dok istovremeno štiti pristup ovlaštenim korisnicima.

Kako implementirati DDoS zaštitu?

DDoS napad ima za cilj onemogućiti vašu stranicu ili poslužitelj prekomjernim prometom. Temeljna prednost Cloudflare-a je ta što može upravljati tim prometom na svojoj globalnoj mreži i proslijediti samo očišćene zahtjeve na izvorni poslužitelj. Međutim, za najbolje rezultate, DDoS zaštitu treba promatrati ne kao pasivnu opciju, već kao obrambeni plan konfiguriran prema scenariju.

1. Držite proxy aktivnim za web promet

Cloudflare DDoS zaštita radi samo za aktivne proxy zapise. Ako vaš korijenski naziv domene i www zapis nisu u narančastoj oblaku, web promet ide izravno na poslužitelj, a Cloudflare ne može izvršiti filtriranje. Također, važno je da vaša izvorna IP adresa nije javno dostupna na internetu. Stari DNS zapisi, e-mail zaglavlja ili izravni pristup putem IP-a mogu omogućiti napadačima da zaobiđu Cloudflare.

2. Koristite Security Level i izazovne postavke

Security Level određuje hoće li posjetitelji vidjeti izazov ovisno o njihovom riziku. U normalnim uvjetima, “Medium” je dovoljan za većinu stranica. Tijekom napada ili sumnjivog prometa, “High” ili privremena opcija “I’m Under Attack Mode” mogu se koristiti. Under Attack Mode prikazuje posjetitelju kratku kontrolnu stranicu; stoga može utjecati na normalno korisničko iskustvo i ne preporučuje se da bude stalno aktivan.

3. Ograničite učestalost zahtjeva s Rate Limitingom

Rate limiting se koristi za ograničavanje broja zahtjeva koji dolaze iz iste IP adrese ili klijenta u određenom vremenskom razdoblju. Na primjer, primjenom izazova na korisnike koji šalju više od 20 zahtjeva na prijavnu stranicu u minuti, možete smanjiti brute force napade. Na API krajnjim točkama, trebate postupati pažljivije; ako imate mobilne aplikacije ili integracije, postavljanje agresivnog ograničenja bez mjerenja stvarnog volumena korištenja može uzrokovati pogrešna blokiranja: API i sigurnost integracija.

4. Ograničite izvorni poslužitelj prema Cloudflare-u

Za naprednu sigurnost, u vatrozidu poslužitelja može se dopustiti samo HTTP/HTTPS promet koji dolazi iz Cloudflare IP raspona. Tako, čak i ako napadač zna izvorni IP, neće moći izravno doći do poslužitelja. Ovaj postupak zahtijeva pažnju; Cloudflare IP lista mora biti ažurirana, a upravljački pristupi poput SSH, kontrolne ploče i usluga sigurnosnih kopija trebaju se odvojeno razmatrati.

Zaštita protiv botova i mjere protiv brute force napada

Bot promet nije uvijek zlonamjeran; botovi poput Googlebota su potrebni za indeksiranje vaše stranice. Problem predstavljaju spam botovi, alati za scraping, lažni pokušaji prijave i automatizacija koja troši resurse. Cloudflare zaštita od botova pomaže u razlikovanju ovog prometa koristeći signale ponašanja.

• Bot Fight Mode: Može se koristiti za smanjenje jednostavnog bot prometa, ali treba ga testirati u nekim integracijama.
• Turnstile: Pruža korisnički pristupačniju provjeru u obrascima kao alternativa CAPTCHA-i.
• Zaštita stranice za prijavu: wp-login.php, xmlrpc.php i admin putovi mogu se ograničiti s prilagođenim pravilima.
• XML-RPC kontrola: Ako se ne koristi u WordPressu, blokiranje smanjuje rizik od brute force napada.
• Smanjenje spam-a u obrascima: U obrascima za kontakt, Turnstile i ograničenje brzine mogu se koristiti zajedno.

Na primjer, ako se na WordPress stranici dolazi do tisuća POST zahtjeva putem xmlrpc.php u minuti, korištenje Cloudflare Custom Rule za blokiranje zahtjeva na xmlrpc.php ili dopuštanje samo IP-ovima potrebnih usluga poput Jetpacka može znatno smanjiti opterećenje poslužitelja.

Predmemoriranje i postavke performansi: Povećanje brzine bez ugrožavanja sigurnosti

Cloudflare nije samo snažan u pogledu sigurnosti, već i u performansama. Može smanjiti vrijeme učitavanja stranice isporučujući statičke datoteke s najbliže točke korisniku. Međutim, nije ispravno predmemorirati sve; stranice s prijavljenim korisnicima, košarice, plaćanja, korisnički paneli i personalizirani sadržaji trebaju biti izuzeti iz predmemorije.

Preporučene postavke predmemorije

• Nivo predmemoriranja: Standardna upotreba je prikladna za većinu stranica.
• TTL za predmemoriju preglednika: Za statičke datoteke može se odabrati 1 tjedan ili duže.
• Pravila predmemorije: /wp-admin, /cart, /checkout, /my-account i druge slične stranice trebaju biti isključene.
• Always Online: Pruža ograničenu korist tijekom privremenih prekida; očekivanja za dinamičke stranice treba pravilno postaviti.
• Očisti predmemoriju: Umjesto čišćenja cijele predmemorije nakon ažuriranja dizajna ili sadržaja, čišćenje relevantnog URL-a je kontroliranije.

U optimizaciji performansi, sloj hostinga također je važan. LiteSpeed, NVMe disk, ažurirana verzija PHP-a i pravilno postavljen dodatak za predmemoriju daju bolje rezultate zajedno s Cloudflare-om: LiteSpeed hosting, ubrzanje web stranica.

Preporučeni početni profil za Cloudflare sigurnosne postavke

Donja tablica nudi siguran početni profil za većinu malih i srednjih web stranica. Budući da se promet, softver i poslovni modeli svake stranice razlikuju, postavke treba pratiti prema podacima u stvarnom vremenu.

Česte Cloudflare pogreške i rješenja

Beskonačna petlja preusmjeravanja

Ova pogreška obično proizlazi iz postavke Cloudflare SSL moda na Flexible kada izvorni poslužitelj ima HTTPS preusmjeravanje. Rješenje je instalirati važeći SSL na poslužitelju i postaviti Cloudflare SSL mod na Full ili, po mogućstvu, Full (Strict).

521, 522 i 525 pogreške

Pogreška 521 označava da je poslužitelj odbio vezu, 522 da je došlo do isteka vremena, a 525 da je došlo do problema s SSL handshake-om. Provjerite da vatrozid ne blokira Cloudflare IP adrese, da je vaš hosting poslužitelj aktivan, da je SSL certifikat važeći i da su DNS zapisi usmjereni na ispravnu IP adresu.

Nevidljivost ažuriranja u administrativnom panelu

Ovo obično proizađe iz agresivnog pravila predmemorije. Izuzmite administrativne, košarice, plaćanja i korisničke stranice iz predmemorije. Na WordPressu korištenje integracije za čišćenje predmemorije između dodataka za predmemoriju i Cloudflare-a može olakšati stvari.

Problemi s e-mailom

Cloudflare web proxy ne prenosi e-mail promet. MX zapisi moraju biti ispravni, a zapisi koji upućuju na e-mail poslužitelj trebaju biti postavljeni na DNS only. Ako nedostaju SPF, DKIM i DMARC TXT zapisi, možete imati problema s isporukom.

Kontrolna lista za sigurnu Cloudflare instalaciju korak po korak

Sljedeći redoslijed radnji pruža siguran i praktičan plan za početnike:

• 1. Dodajte svoju domenu na Cloudflare i usporedite DNS zapise s vašim trenutnim pružateljem.
• 2. Aktivirajte proxy za korijensku domenu i www zapis za web promet.
• 3. Razmotrite korištenje DNS only za e-mail, FTP i upravljačke usluge.
• 4. Promijenite nameserver u domen panelu.
• 5. Instalirajte važeći SSL na izvorni poslužitelj i odaberite Full (Strict) na Cloudflare-u.
• 6. Aktivirajte opcije Always Use HTTPS i Automatic HTTPS Rewrites.
• 7. Uključite WAF Managed Rules; pratite logove i lažne pozitivne u prvim danima.
• 8. Definirajte rate limiting ili managed challenge za stranice za prijavu.
• 9. Izuzmite dinamična područja s pravilima predmemorije.
• 10. Povećajte Security Level tijekom napada i privremeno aktivirajte Under Attack Mode ako je potrebno.
• 11. Planirajte strogo ograničavanje vatrozida prema Cloudflare IP adresama.
• 12. Tjedno provjeravajte Security Events, analitiku i DNS zapise.

Ova kontrolna lista posebno smanjuje greške tijekom prvotne instalacije. Za e-trgovine ili stranice s članstvom koje primaju veći promet, zdravije je primjenjivati promjene tijekom razdoblja s nižim prometom i pratiti metrike konverzije.

Cloudflare analitika i praćenje sigurnosnih događaja

Nakon instalacije Cloudflare-a, posao ne završava; prava vrijednost dolazi u procesu praćenja i poboljšanja. U odjeljku Security Events možete vidjeti koja pravila su blokirala koliko zahtjeva, iz kojih zemalja ili IP raspona su napadi dolazili i koje URL-ove su bili ciljevi. Ovi podaci omogućuju vam da se temelji na dokazima, a ne na pretpostavkama, prilikom pisanja prilagođenih pravila.

Na primjer, ako u logovima vidite da je u razdoblju od 24 sata bilo 18.000 neuspješnih zahtjeva za /wp-login.php, bolje je napisati rate limit i izazov specifičan za ovu krajnju točku, umjesto samo povećavati opći nivo sigurnosti. Slično tome, ako je vaša API krajnja točka pod intenzivnom uporabom, umjesto primjene stroga pravila na cijelu stranicu, možete ciljati samo metode, zemlje ili kombinacije user-agenta koje se zlostavljaju.

Je li Cloudflare dovoljan sam po sebi?

Cloudflare je snažna zaštita, ali sigurnost treba biti višeslojna. Ako vaš hosting poslužitelj nije ažuriran, ako imate propuste u softveru, ako je vaša administrativna lozinka slaba ili nemate politiku sigurnosnih kopija, Cloudflare ne uklanja sve rizike. Snažan pristup zahtijeva integraciju sigurnog hostinga, ažuriranog PHP-a, redovitih sigurnosnih kopija, SSL-a, sigurnosnih dodataka, dozvola za datoteke i kontrole pristupa.

Odabirom pravog hosting paketa za vašu web stranicu unutar infrastrukture Hostragonsa, možete stvoriti stabilniju sigurnosnu i performansnu arhitekturu zajedno s Cloudflare-om. Kako promet raste, prijelaz s dijeljenog hostinga na VPS ili oblak može se razmotriti s obzirom na limite resursa i otpornost na napade: VPS poslužitelj, korporativna hosting rješenja.

Zaključak: Uravnotežen pristup za sigurne Cloudflare postavke

Ispravne Cloudflare postavke uključuju besprijekorno prenošenje DNS zapisa, Full (Strict) SSL, WAF pravila, kontroliranu zaštitu od botova, ograničavanje brzine, pravilne iznimke za predmemoriju i specijalizirane DDoS načine za vrijeme napada. Za najbolji rezultat, postavke trebate promatrati ne kao jednokratne, već kao redovito poboljšavani sigurnosni proces temeljen na podacima o prometu.

Ukratko: Provedite svoj web promet kroz proxy, zaštitite svoj izvorni poslužitelj, koristite SSL u strogoj postavci, a WAF i pravila o ograničenju brzine prilagodite stvarnoj upotrebi. Ako želite postaviti sigurnu osnovu za svoju domenu, hosting ili SSL, možete istražiti rješenja Hostragonsa i planirati infrastrukturu koja odgovara potrebama vaše stranice: Hostragons paketi hostinga.

Česta pitanja

Koji je najsigurniji SSL mod za Cloudflare postavke?

Općenito, najsigurniji SSL mod je opcija Full (Strict). U ovom modu koristi se HTTPS između posjetitelja i Cloudflare-a, kao i između Cloudflare-a i izvornog poslužitelja, pri čemu se provjerava izvorni certifikat. Za to, na poslužitelju mora biti valjani SSL certifikat.

Radi li Cloudflare DDoS zaštita na besplatnom planu?

Cloudflare nudi osnovnu DDoS zaštitu i na besplatnom planu. Međutim, napredni WAF, detaljnije ograničenje brzine, upravljanje botovima i kontrole na razini poduzeća dostupne su u plaćenim planovima koji nude više opcija. Čak i dobro konfiguriran besplatni plan može pružiti značajnu zaštitu za male i srednje stranice.

Treba li Under Attack Mode ostati stalno uključen?

Ne. Under Attack Mode treba koristiti samo privremeno tijekom napada. Ako ostane stalno uključen, stvarni posjetitelji mogu vidjeti dodatne kontrolne ekrane i negativno će utjecati na korisničko iskustvo. U normalnim uvjetima, WAF, ograničenje brzine i odgovarajući Security Level predstavljaju uravnoteženije rješenje.

Je li hosting potreban kada se koristi Cloudflare?

Da. Cloudflare pruža sloj sigurnosti i performansi ispred vaše web stranice; datoteke, baza podataka i aplikacija vaše web stranice i dalje se nalaze na hostingu ili poslužitelju. Stoga je pouzdana hosting infrastruktura osnovni zahtjev za korištenje Cloudflare-a.

Može li Cloudflare predmemorija uzrokovati probleme na e-trgovinskim stranicama?

Može, ako se ne konfigurira ispravno. Dinamične stranice kao što su košarica, plaćanje, korisnički računi i administrativni paneli trebaju biti izuzeti iz predmemorije. Ako se statičke datoteke predmemoriraju, a personalizirani sadržaji isključe, Cloudflare se može sigurno koristiti na e-trgovinskim stranicama.