Nastavenie Cloudflare: Ako zabezpečiť web a ochrániť ho pred DDoS útokmi

Správne nastavenie Cloudflare znamená nakonfigurovať DNS, SSL/TLS, WAF, bezpečnostné pravidlá, filtráciu botov a možnosti cachovania tak, aby bol váš web rýchlejší, bezpečnejší a odolný voči DDoS útokom. Pre najbezpečnejšiu základnú konfiguráciu by ste mali pridať doménu do Cloudflare, presne preniesť DNS záznamy, ideálne zvoliť SSL režim Full (Strict), aktivovať spravované WAF pravidlá, na podozrivé požiadavky uplatniť výzvu (challenge) či obmedzenie rýchlosti a počas útoku kontrolovane zapnúť režim „Under Attack Mode“.

Cloudflare funguje ako CDN a bezpečnostná vrstva medzi vaším webom a jeho návštevníkmi. Keď niekto príde na váš web, požiadavka najskôr dorazí do siete Cloudflare, kde sa odfiltruje škodlivá prevádzka, statické súbory sa môžu doručiť z cache a len overené požiadavky sa presmerujú na váš origin server. Táto architektúra prináša výrazné výhody najmä pre WordPress, WooCommerce, firemné weby, SaaS panely a obsahovo bohaté stránky s vysokou návštevnosťou. Zle nastavené Cloudflare však môže spôsobiť SSL chyby, nekonečné presmerovacie slučky, problémy s prístupom do administrácie, neaktualizované stránky kvôli cache alebo bezpečnostné medzery.

V tejto príručke si krok za krokom prejdeme, ako Cloudflare nastaviť od základov, aktivovať kritické možnosti pre bezpečnosť webu, správne používať DDoS ochranu a optimalizovať výkon bez ohrozenia bezpečnosti. Ak chcete pre svoj web vybudovať rýchlu, bezpečnú a spoľahlivú infraštruktúru, je dôležité mať pevné základy v oblasti domény, hostingu a SSL: Domain kaydı, Web hosting paketleri, SSL sertifikası.

Čo je Cloudflare a ako pomáha pri zabezpečení webu?

Cloudflare je cloudová bezpečnostná a výkonnostná platforma, ktorá poskytuje správu DNS, CDN, DDoS ochranu, webový aplikačný firewall (WAF), zmierňovanie botov, správu SSL/TLS a analytiku prevádzky. Kým pri klasickom zapojení sa návštevník pripája priamo na váš hostingový server, pri použití Cloudflare sa najskôr pripojí na okrajové servery Cloudflare. Vďaka tomu možno škodlivú prevádzku odfiltrovať ešte skôr, než vôbec zasiahne váš origin server.

Napriklad malá WordPress stránka môže bežne zaznamenať 2 000 návštevníkov denne a 20 – 30 požiadaviek za minútu. Jednoduchý HTTP flood útok dokáže toto číslo zvýšiť na 20 000 požiadaviek za minútu. Váš server prestane reagovať kvôli vyčerpaniu CPU, RAM alebo limitom pripojení. Cloudflare túto prevádzku rozlíši na základe reputácie IP, analýzy správania, obmedzenia rýchlosti, výziev a DDoS signatúr, čím uľahčí prístup skutočným návštevníkom.

Cloudflare sám o sebe nie je „všeliek“. Účinný je len v kombinácii s výkonnou hostingovou infraštruktúrou, aktuálnym softvérom, bezpečnými heslami, zálohovaním, SSL a správnou konfiguráciou servera. Najmä pri WordPress sú stále kriticky dôležité aktualizácie tém a pluginov, bezpečnosť administrácie a politika silných hesiel: WordPress hosting, WordPress güvenliği.

Kontrolný zoznam pred nasadením Cloudflare

Pred prechodom na Cloudflare sa oplatí urobiť niekoľko základných kontrol, ktoré znížia riziko problémov s prístupom a SSL po nasadení. Najmä na weboch so živou prevádzkou treba zmeny DNS plánovať.

• Exportujte existujúce DNS záznamy: Poznačte si A, AAAA, CNAME, MX, TXT, SPF, DKIM, DMARC a subdomény.
• Overte IP adresu hostingu: Chybný A záznam spôsobí presmerovanie webu na nesprávny server.
• Skontrolujte stav SSL: Ak má origin server platné SSL, v Cloudflare môžete použiť režim Full (Strict).
• Dávajte pozor na e-mailové záznamy: MX a CNAME/A záznamy pre e-mail by spravidla mali zostať bez proxy, teda DNS only.
• Vytvorte zálohu: Záloha DNS a webu umožní rýchlu obnovu pri chybnom zásahu.
• Naplánujte si odstávku: Hoci sa zmena nameserverov prejaví často do niekoľkých minút, globálna propagácia môže trvať až 24 hodín.

Pri firemných weboch sa osvedčil tento postup: najskôr sa presne prenesú DNS záznamy, následne sa proxy zapne len pre koreňovú doménu a www, ktoré prenášajú webovú prevádzku. Pri službách ako e-mail, FTP, cPanel či webmail treba postupovať podľa konkrétneho scenára. Ak napríklad na prístup do cPanelu používate samostatnú subdoménu, je bezpečnejšie nechať tento záznam v režime DNS only: cPanel hosting yönetimi.

Ako nastaviť DNS v Cloudflare?

Inštalácia Cloudflare začína pridaním domény do panela. Cloudflare oskenuje vaše existujúce DNS záznamy a ponúkne ich zoznam. Automatické skenovanie však nemusí nájsť všetky záznamy, preto je manuálna kontrola nevyhnutná.

1. Pridajte doménu do Cloudflare

Po prihlásení do účtu Cloudflare kliknite na „Add a site“ a zadajte svoju doménu. Po výbere plánu skontrolujte DNS záznamy. Pre koreňovú doménu zvyčajne existuje A záznam, pre www CNAME záznam. Príklad štruktúry:

• A záznam: example.com → 192.0.2.10
• CNAME záznam: www → example.com
• MX záznam: example.com → váš poskytovateľ e-mailu
• TXT záznamy: SPF, DKIM, DMARC overovacie záznamy

Kľúčové je rozhodnúť, ktoré záznamy budú prechádzať cez proxy Cloudflare. Pri A a CNAME záznamoch pre webovú prevádzku môže byť oranžový obláčik aktívny. Pri e-mailovej prevádzke, FTP a službách vyžadujúcich priamy prístup na server sa uprednostňuje sivý obláčik, teda DNS only.

2. Vykonajte zmenu nameserverov

Cloudflare vám pridelí dva nameservery. V administrácii domény u vášho registrátora nahraďte pôvodné nameservery týmito hodnotami. Ak máte domény registrované cez Hostragons, správu nameserverov vykonáte v doménovom paneli: Domain yönetimi. Po zmene počkajte, kým sa stav v paneli Cloudflare nezmení na „Active“.

3. Správne zvoľte režim proxy

Keď je oranžový obláčik aktívny, HTTP/HTTPS prevádzka prechádza cez Cloudflare a uplatňujú sa bezpečnostné funkcie. Pri sivom obláčiku Cloudflare iba prekladá DNS. Pre váš web musí byť proxy aktívna; pri subdoménach ako mail.example.com, ftp.example.com alebo serverových administračných paneloch by proxy mala zostať vypnutá.

SSL/TLS nastavenia: Najbezpečnejšia konfigurácia

Nastavenie SSL/TLS v Cloudflare určuje, ako sa šifruje komunikácia medzi prehliadačom a Cloudflare a medzi Cloudflare a origin serverom. Nesprávny SSL režim patrí medzi najčastejšie príčiny chýb v Cloudflare.

Rozdiel medzi Flexible, Full a Full (Strict)

Pri profesionálnom nasadení by vaším cieľom mal byť režim Full (Strict). Vyžaduje si platný SSL certifikát na origin serveri. Môžete použiť Let’s Encrypt, komerčné SSL alebo Cloudflare Origin Certificate. Na hostingových balíkoch Hostragons môžete správnou konfiguráciou inštalácie a obnovy SSL tento režim bezpečne používať: SSL sertifikası kurulumu.

Always Use HTTPS a Automatic HTTPS Rewrites

Voľba „Always Use HTTPS“ presmerúva HTTP požiadavky na HTTPS. „Automatic HTTPS Rewrites“ pomáha prepisovať niektoré HTTP zdroje v rámci stránky na HTTPS. Ak však váš web trpí problémom zmiešaného obsahu, skutočným riešením je natrvalo preniesť všetky HTTP odkazy v databáze a téme na HTTPS.

Pri zapínaní HSTS buďte opatrní

HSTS prikazuje prehliadačom pripájať sa na váš web výhradne cez HTTPS. Je to silné bezpečnostné opatrenie, no pri chybnej SSL konfigurácii môžu návštevníci stratiť prístup. Preto sa pred aktiváciou HSTS uistite, že Full (Strict), platné SSL, subdomény a presmerovania fungujú bezchybne. Na začiatok je bezpečnejšie otestovať nastavenie s krátkou hodnotou max-age.

WAF v Cloudflare: Bezpečnosť webových aplikácií

WAF (Web Application Firewall) filtruje požiadavky zamerané na SQL injection, XSS, vkladanie súborov, škodlivé správanie botov a známe zraniteľnosti aplikácií. Nastavenie WAF v Cloudflare je dôležité najmä pre WordPress, Joomla, Laravel, vlastné administračné panely a e-shopy.

Aktivujte spravované pravidlá (Managed Rules)

Managed Rules sú hotové sady bezpečnostných pravidiel, ktoré Cloudflare priebežne aktualizuje. Ak používate WordPress, pravidlá špecifické pre WordPress, všeobecné OWASP pravidlá a signatúry známych CVE znížia plochu možného útoku. Pri prvom nasadení je rozumné nechať pravidlá v režime „Log“ alebo s nízkym dopadom, skontrolovať falošné pozitíva a až potom aplikovať „Block“ alebo „Managed Challenge“.

Chráňte kritické oblasti vlastnými pravidlami (Custom Rules)

Vlastné pravidlá poskytujú cielenú bezpečnosť podľa štruktúry vášho webu. Môžete napríklad povoliť prístup na prihlasovacie stránky ako wp-login.php či /admin len z vybraných krajín alebo posielať podozrivé user-agenty na konkrétnych URI na challenge. Pri tvorbe pravidiel však dávajte pozor, aby ste neblokovali skutočných používateľov. Ak omylom pošlete na challenge platobnú bránu e-shopu, môže to viesť k strate konverzií.

Príklad z praxe: na firemnom webe zacielenom na Slovensko môžete na cestu /wp-admin aplikovať Managed Challenge pre prístupy zo zahraničia. Ak však máte členov tímu pracujúcich na diaľku alebo zahraničné pobočky, musíte definovať IP allowlist. Tento prístup výrazne obmedzí brute-force útoky a zároveň zachová prístup oprávneným používateľom.

Ako na DDoS ochranu?

Cieľom DDoS útoku je zahltením prevádzkou zneprístupniť váš web alebo server. Hlavnou výhodou Cloudflare je schopnosť absorbovať túto prevádzku vo svojej globálnej sieti a na origin server posielať len vyčistené požiadavky. Pre najlepšie výsledky však nevnímajte DDoS ochranu ako pasívnu funkciu, ale ako obranný plán nakonfigurovaný podľa konkrétneho scenára.

1. Majte proxy pre webovú prevádzku aktívnu

DDoS ochrana Cloudflare funguje len pre záznamy s aktívnou proxy. Ak koreňová doména a www záznam nie sú pod oranžovým obláčikom, webová prevádzka ide priamo na server a Cloudflare nemôže filtrovať. Dôležité je tiež, aby vaša origin IP adresa nebola verejne vystavená na internete. Staré DNS záznamy, hlavičky e-mailov alebo priamy prístup cez IP môžu útočníkom umožniť Cloudflare obísť.

2. Využívajte Security Level a Challenge

Security Level určuje, či návštevník na základe skóre rizika uvidí challenge. V bežnej prevádzke väčšine webov vyhovuje „Medium“. Počas útoku alebo podozrivej prevádzky môžete prejsť na „High“ alebo dočasne zapnúť „I’m Under Attack Mode“. Under Attack Mode zobrazí návštevníkovi krátku overovaciu stránku, čo môže ovplyvniť používateľský komfort, preto sa neodporúča nechávať ho zapnutý natrvalo.

3. Obmedzte intenzitu požiadaviek pomocou Rate Limiting

Rate limiting slúži na obmedzenie počtu požiadaviek z rovnakej IP alebo klienta za určitý čas. Ak napríklad používateľ odošle na prihlasovaciu stránku viac než 20 požiadaviek za minútu, môžete mu zobraziť challenge, čím znížite riziko brute-force útokov. Pri API endpointoch buďte opatrnejší – ak máte mobilné aplikácie alebo integrácie, agresívne limity bez znalosti reálneho objemu prevádzky môžu viesť k chybným blokovaniam: API ve entegrasyon güvenliği.

4. Obmedzte origin server iba na Cloudflare

Pre pokročilú bezpečnosť môžete na firewalle servera povoliť HTTP/HTTPS prevádzku len z rozsahov IP adries Cloudflare. Útočník tak nedokáže priamo zasiahnuť server, aj keď pozná vašu origin IP. Tento krok vyžaduje opatrnosť – zoznam IP Cloudflare musíte udržiavať aktuálny a samostatne posúdiť prístupy pre SSH, ovládací panel či zálohovacie služby.

Ochrana proti botom a opatrenia proti brute-force

Nie každá botová prevádzka je škodlivá; boty vyhľadávačov ako Googlebot sú nevyhnutné na indexovanie vášho webu. Problémom sú spamové boty, scrapovacie nástroje, falošné pokusy o prihlásenie a automatizácia vyťažujúca zdroje. Botová ochrana Cloudflare pomáha takúto prevádzku rozlíšiť na základe behaviorálnych signálov.

• Bot Fight Mode: Možno ho použiť na redukciu jednoduchej botovej prevádzky, treba ho však otestovať pri niektorých integráciách.
• Turnstile: Alternatíva CAPTCHA, ktorá pri formulároch poskytuje prívetivejšie overenie.
• Ochrana prihlasovacej stránky: Cesty wp-login.php, xmlrpc.php a admin možno obmedziť vlastnými pravidlami.
• Kontrola XML-RPC: Ak ho na WordPress nepoužívate, jeho blokovanie zníži riziko brute-force.
• Zníženie spamov z formulárov: Pri kontaktných formulároch môžete kombinovať Turnstile a rate limiting.

Konkrétny príklad: ak na WordPress webe cez xmlrpc.php prichádzajú tisíce POST požiadaviek za minútu, CPU záťaž prudko stúpa. Vlastným pravidlom v Cloudflare môžete xmlrpc.php požiadavky zablokovať alebo povoliť len z IP adries potrebných služieb, ako je Jetpack, čím výrazne znížite záťaž servera.

Cache a výkon: Zrýchlenie bez ohrozenia bezpečnosti

Cloudflare je silný nástroj nielen v bezpečnosti, ale aj vo výkone. Dokáže skrátiť čas načítania stránky tým, že statické súbory doručuje z najbližšieho okrajového bodu k návštevníkovi. Všetko však nie je vhodné cachovať; stránky prihlásených používateľov, košík, pokladňa, zákaznícka zóna a personalizovaný obsah musia zostať mimo cache.

Odporúčané nastavenia cache

• Caching Level: Pre väčšinu webov vyhovuje Standard.
• Browser Cache TTL: Pre statické súbory možno zvoliť 1 týždeň alebo dlhšie.
• Cache Rules: Oblasti ako /wp-admin, /cart, /checkout, /my-account musia cache obchádzať (bypass).
• Always Online: Pri dočasných výpadkoch poskytuje obmedzený úžitok; na dynamických weboch treba správne nastaviť očakávania.
• Purge Cache: Po aktualizácii dizajnu alebo obsahu je kontrolovanejšie vyčistiť len konkrétnu URL namiesto celej cache.

Pri optimalizácii výkonu je dôležitá aj hostingová vrstva. Technológie ako LiteSpeed, NVMe disky, aktuálna verzia PHP a správny cache plugin prinášajú v kombinácii s Cloudflare lepšie výsledky: LiteSpeed hosting, web sitesi hızlandırma.

Odporúčaný štartovací bezpečnostný profil pre Cloudflare

Nasledujúca tabuľka ponúka bezpečný východiskový profil pre väčšinu malých a stredne veľkých webov. Každý web má inú prevádzku, softvér a biznis model, preto nastavenia priebežne sledujte a upravujte podľa reálnych dát.

Časté chyby v Cloudflare a ich riešenia

Nekonečná presmerovacia slučka

Táto chyba zvyčajne vzniká, keď je SSL režim Cloudflare nastavený na Flexible a origin server zároveň vynucuje presmerovanie na HTTPS. Riešením je nainštalovať na server platné SSL a zmeniť SSL režim v Cloudflare na Full, ideálne Full (Strict).

Chyby 521, 522 a 525

Chyba 521 signalizuje, že server odmietol pripojenie, 522 znamená vypršanie časového limitu a 525 indikuje problém s SSL nadviazaním spojenia. Skontrolujte, či firewall neblokuje IP adresy Cloudflare, či hostingový server beží, či je SSL certifikát platný a či DNS záznamy smerujú na správnu IP.

Nezobrazovanie aktualizácií v administrácii

Zvyčajne to spôsobuje príliš agresívne cachovanie. Vynechajte z cache administráciu, košík, pokladňu a používateľské účty. Na WordPress pomôže integrácia cache pluginu s prečistením cache v Cloudflare.

Problémy s e-mailom

Proxy Cloudflare neprenáša e-mailovú prevádzku. MX záznamy musia byť správne a záznamy smerujúce na mailový server musia zostať v režime DNS only. Ak chýbajú SPF, DKIM a DMARC TXT záznamy, môžete mať problémy s doručovaním.

Krok za krokom: Kontrolný zoznam pre bezpečnú inštaláciu Cloudflare

Nasledujúci postup ponúka bezpečnú a praktickú mapu pre začiatočníkov:

• 1. Pridajte doménu do Cloudflare a porovnajte DNS záznamy s aktuálnym poskytovateľom.
• 2. Aktivujte proxy pre koreňovú doménu a www záznam určený pre webovú prevádzku.
• 3. Pri e-maili, FTP a administračných službách zvážte režim DNS only.
• 4. Vykonajte zmenu nameserverov v paneli domény.
• 5. Nainštalujte platné SSL na origin server a v Cloudflare zvoľte Full (Strict).
• 6. Povoľte možnosti Always Use HTTPS a Automatic HTTPS Rewrites.
• 7. Zapnite WAF Managed Rules; prvé dni sledujte logy a falošné pozitíva.
• 8. Definujte rate limiting alebo managed challenge pre prihlasovacie stránky.
• 9. Pomocou Cache Rules vynechajte dynamické oblasti z cache.
• 10. Počas útoku zvýšte Security Level a v prípade potreby dočasne zapnite Under Attack Mode.
• 11. Naplánujte spevnenie firewallu servera podľa IP rozsahov Cloudflare.
• 12. Každý týždeň kontrolujte Security Events, Analytics a DNS záznamy.

Tento kontrolný zoznam znižuje chybovosť najmä pri prvom nasadení. Pri e-shopoch alebo členských weboch s vyššou návštevnosťou je bezpečnejšie aplikovať zmeny najskôr v čase nízkej prevádzky a sledovať konverzné metriky.

Sledovanie analytiky a bezpečnostných udalostí v Cloudflare

Po nainštalovaní Cloudflare sa práca nekončí; skutočná hodnota sa ukáže až pri monitorovaní a vylaďovaní. V sekcii Security Events vidíte, koľko požiadaviek ktoré pravidlá zablokovali, z ktorých krajín alebo IP rozsahov útoky prichádzajú a ktoré URL sú terčom. Tieto dáta vám umožnia tvoriť vlastné pravidlá na základe dôkazov, nie odhadov.

Ak napríklad v logoch uvidíte, že za 24 hodín prišlo 18 000 neúspešných požiadaviek na /wp-login.php, je správnejšie napísať špecifický rate limit a challenge pre tento endpoint, než len plošne zvýšiť bezpečnostnú úroveň. Podobne, ak je váš API endpoint intenzívne využívaný, môžete zacieliť len na zneužívanú kombináciu metódy, krajiny alebo user-agenta namiesto zavedenia prísnych pravidiel na celý web.

Stačí samotný Cloudflare?

Cloudflare je silná vrstva, no na bezpečnosť treba nazerať viacvrstvovo. Ak váš hostingový server nie je aktuálny, softvér obsahuje zraniteľnosti, administrátorské heslo je slabé alebo nemáte politiku zálohovania, Cloudflare všetky riziká neodstráni. Pre robustný prístup je potrebné kombinovať bezpečný hosting, aktuálne PHP, pravidelné zálohy, SSL, bezpečnostné pluginy, správne oprávnenia súborov a riadenie prístupu.

Výber správneho hostingového balíka v infraštruktúre Hostragons vám v spojení s Cloudflare pomôže vybudovať stabilnejšiu bezpečnostnú a výkonnostnú architektúru. S rastúcou prevádzkou možno zvážiť prechod zo zdieľaného hostingu na VPS alebo cloud server z hľadiska limitov zdrojov a odolnosti voči útokom: VPS sunucu, kurumsal hosting çözümleri.

Záver: Vyvážený prístup k bezpečnému nastaveniu Cloudflare

Správne nastavenie Cloudflare pozostáva z bezchybného prenosu DNS záznamov, SSL v režime Full (Strict), WAF pravidiel, kontrolovanej ochrany proti botom, rate limitingu, správnych výnimiek z cache a DDoS režimov špecifických pre čas útoku. Pre najlepšie výsledky nevnímajte nastavenia ako jednorazovú akciu, ale ako neustále vylaďovaný bezpečnostný proces podľa údajov o prevádzke.

V skratke: veďte webovú prevádzku cez proxy, chráňte svoj origin server, používajte SSL v striktnom režime a pravidlá WAF a rate limitu prispôsobte reálnemu používaniu. Ak chcete vybudovať bezpečné základy v oblasti domény, hostingu či SSL, preskúmajte riešenia Hostragons a naplánujte infraštruktúru podľa potrieb vášho webu: Hostragons hosting paketleri.

Často kladené otázky

Ktorý SSL režim je v Cloudflare najbezpečnejší?

Vo všeobecnosti je najbezpečnejší SSL režim Full (Strict). V tomto režime sa medzi návštevníkom a Cloudflare, ako aj medzi Cloudflare a origin serverom, používa HTTPS a certifikát pôvodu sa overuje. Vyžaduje si platný SSL certifikát na serveri.

Funguje DDoS ochrana Cloudflare aj v bezplatnom pláne?

Cloudflare poskytuje základnú DDoS ochranu aj v bezplatnom pláne. Platené plány však ponúkajú pokročilý WAF, detailnejší rate limiting, správu botov a podnikové úrovne kontroly. Pri malých a stredne veľkých weboch dokáže aj správne nakonfigurovaný bezplatný plán poskytnúť významnú ochranu.

Mám nechať Under Attack Mode zapnutý stále?

Nie. Under Attack Mode by sa mal používať len dočasne počas útoku. Ak je zapnutý nepretržite, skutoční návštevníci môžu vidieť dodatočnú overovaciu obrazovku a používateľský komfort tým utrpí. V bežnom režime je vyváženejším riešením kombinácia WAF, rate limitingu a vhodného Security Level.

Potrebujem hosting, aj keď používam Cloudflare?

Áno. Cloudflare poskytuje pred vaším webom bezpečnostnú a výkonnostnú vrstvu; súbory, databáza a aplikácia vášho webu sú však naďalej umiestnené na hostingu alebo serveri. Spoľahlivá hostingová infraštruktúra je preto aj pri používaní Cloudflare základnou požiadavkou.

Môže nastavenie cache v Cloudflare spôsobiť problémy na e-shope?

Pri nesprávnej konfigurácii áno. Dynamické stránky ako košík, pokladňa, zákaznícky účet a administračný panel musia byť vyňaté z cache. Ak sú statické súbory cachované, ale personalizovaný obsah cache obchádza, možno Cloudflare na e-shopoch bezpečne používať.