Cloudflare הוא שירות שיושב בין הגולשים לבין השרת של האתר: הוא מנהל את ה-DNS של הדומיין, ובמצב "מתווך" (proxy) כל התנועה לאתר עוברת דרך הרשת שלו — שמגישה קבצים מהמטמון, מצפינה את החיבור, מסננת תקיפות ובולמת מתקפות DDoS. לאתר של עסק, זה אומר בדרך כלל אתר מהיר ומוגן יותר בלי לגעת בשרת. אבל צריך להגדיר אותו נכון: הגדרה שגויה אחת של הצפנה או מטמון יכולה לשבור את האתר. במאמר הזה: מה Cloudflare עושה, ואילו הגדרות חשובות.
שני מצבים לכל רשומה: ענן כתום וענן אפור
אחרי שהדומיין עובר לניהול DNS ב-Cloudflare, לכל רשומה יש מצב. לפי התיעוד של Cloudflare:
- מתווך (ענן כתום) — Cloudflare יושב בין הגולשים לשרת. שאילתת DNS מחזירה כתובות של Cloudflare, וכתובת השרת שלכם לא נחשפת. רק במצב הזה מקבלים מטמון, הגנה וחוקי WAF.
- DNS בלבד (ענן אפור) — Cloudflare רק עונה על שאילתות DNS ומחזיר את הכתובת האמיתית של השרת. אין מטמון ואין הגנה.
רק רשומות A, AAAA ו-CNAME יכולות להיות מתווכות. רשומות דואר (MX) ורשומות טקסט (TXT) תמיד נשארות DNS בלבד. מה כל רשומה עושה הסברתי במאמר מה זה DNS.
הגדרת ההצפנה: איפה רוב הטעויות
במצב מתווך יש שני חיבורים: מהגולש ל-Cloudflare, ומ-Cloudflare לשרת שלכם. מצב ההצפנה קובע מה קורה בחיבור השני. לפי התיעוד:
| מצב | מה קורה בין Cloudflare לשרת | מתי |
|---|---|---|
| Off | אין הצפנה בכלל | אף פעם, לאתר עסקי |
| Flexible | הגולש רואה HTTPS, אבל החיבור לשרת לא מוצפן | להימנע; עלול גם לגרום ללולאת הפניות כשהשרת מפנה ל-HTTPS |
| Full | מוצפן, אבל בלי בדיקת התעודה של השרת | עדיף מ-Flexible |
| Full (strict) | מוצפן, והתעודה של השרת נבדקת | ההגדרה הנכונה |
Cloudflare עצמה ממליצה בחום על Full או Full (strict). ל-Full (strict) צריך תעודה תקפה בשרת — מרשות תעודות ציבורית, או תעודה מרשות התעודות של Cloudflare (Origin CA), שמיועדת לשימוש מאחורי הרשת שלה. על תעודות ומעבר ל-HTTPS כתבתי במאמר תעודת SSL.
מטמון: מה נשמר כברירת מחדל
Cloudflare שומר במטמון לפי סיומת קובץ: תמונות, CSS, JavaScript, גופנים, PDF ועוד. לפי התיעוד, הוא לא שומר HTML כברירת מחדל. כלומר, העמודים עצמם עדיין נוצרים בשרת בכל ביקור, אלא אם מגדירים חוק מטמון ייעודי.
שמירת HTML במטמון יכולה לשפר מאוד את המהירות, אבל היא דורשת זהירות: אסור שעמודים אישיים — עגלת קניות, אזור לקוחות, ממשק הניהול — יישמרו ויוגשו לגולש אחר, וצריך מנגנון שמנקה את המטמון כשעמוד מתעדכן. על שכבות המטמון השונות כתבתי במאמר מטמון באתר.
אבטחה: מה מקבלים גם במסלול החינמי
- הגנת DDoS — לפי Cloudflare, זמינה בכל המסלולים, כולל החינמי, ופועלת אוטומטית. ראו הגנת DDoS לאתר.
- חומת אש לאפליקציה — סט חוקים מנוהל בסיסי בכל המסלולים, וחוקים מותאמים. הסטים המורחבים במסלולים בתשלום. ראו מה זה WAF.
- הסתרת כתובת השרת — במצב מתווך, התוקף לא רואה לאן לפנות ישירות. ההגנה הזו שווה משהו רק אם השרת לא חושף את עצמו בדרך אחרת.
מלכודות נפוצות בהקמה
- רשומות שנשכחו בהעברה. בזמן העברת ה-DNS, Cloudflare מנסה לייבא את הרשומות הקיימות, אבל לא תמיד מוצא את כולן. רשומת דואר חסרה אחת = מיילים שלא מגיעים. בודקים מול האזור הישן לפני החלפת שרתי השמות.
- תת-דומיין של דואר במצב מתווך. שירותים שאינם אתר — דואר, FTP, חיבורים לשרת — צריכים להישאר DNS בלבד.
- שרת שעונה לכל העולם. אם השרת מקבל חיבורים מכל כתובת, אפשר לעקוף את Cloudflare. מגבילים אותו לכתובות של Cloudflare.
- "שיפורים" אוטומטיים שמשנים קוד. אופטימיזציות שמשכתבות HTML או JavaScript יכולות לשבור עמודים. מפעילים אחת-אחת ובודקים.
- מטמון שלא מתנקה. עדכנתם עמוד והגולשים רואים את הישן? כנראה שכבת מטמון שלא נוקתה.
מה זה עושה לכתובת ה-IP של הגולשים
כשהאתר מאחורי Cloudflare, השרת רואה את הכתובות של Cloudflare ולא של הגולשים. מערכות שמסתמכות על כתובת הגולש — הגבלת ניסיונות התחברות, יומנים, חסימות — צריכות לקרוא אותה מהכותרת ש-Cloudflare מוסיפה, ורק כשהבקשה באמת הגיעה מ-Cloudflare. אחרת, כל הגולשים נראים כאילו הגיעו מאותן כתובות, וחסימה אחת עלולה לנעול את כולם.
שאלות נפוצות
האם Cloudflare מחליף חברת אחסון?
לא. Cloudflare יושב לפני השרת; האתר עצמו עדיין צריך שרת. ראו סוגי אחסון אתרים.
האם המסלול החינמי מספיק לאתר של עסק?
לרוב אתרי העסקים — כן, כנקודת התחלה. מסלולים בתשלום מוסיפים בעיקר חוקי אבטחה מורחבים ואפשרויות מתקדמות.
מאמרים קשורים: שגיאות תעודת SSL: ERR_CERT_AUTHORITY_INVALID ומה עוד עוצר גולשים.
האתר הזה יושב מאחורי Cloudflare, וההקמה וההגדרה של הצפנה, מטמון וחוקי אבטחה הן חלק מהתשתית שאני בונה בכל אתר — ראו שיפור מהירות אתר, או ספרו לי על האתר שלכם.
אהבתם את המאמר?
