Cloudflare dla WordPressa krok po kroku – darmowy firewall, SSL i ochrona przed atakami
Cloudflare działa jak tarcza ustawiona przed Twoją stroną: cały ruch przechodzi najpierw przez jego serwery, a dopiero potem trafia do Twojego hostingu. Dzięki temu część ataków jest odfiltrowywana, zanim w ogóle dotrze do WordPressa. W darmowym planie dostajesz zaskakująco dużo – trzeba to tylko dobrze ustawić.
Co daje Cloudflare stronie na WordPressie?
- Firewall (WAF) – filtruje złośliwe żądania i znane wzorce ataków.
- Ochrona przed DDoS – rozkłada i pochłania ruch z masowych ataków.
- Darmowy certyfikat SSL i wymuszenie HTTPS.
- Cache i CDN – statyczne pliki serwowane z serwerów blisko odwiedzającego, więc strona ładuje się szybciej.
- Ukrycie prawdziwego adresu IP serwera – trudniej zaatakować hosting bezpośrednio.
Krok 1: dodaj domenę do Cloudflare
Załóż darmowe konto na cloudflare.com i dodaj swoją domenę. Cloudflare zeskanuje istniejące rekordy DNS i je zaimportuje. Sprawdź dokładnie, czy przeniósł wszystkie – zwłaszcza rekordy MX (poczta) i TXT (SPF, DKIM, DMARC). Brakujący rekord MX oznacza, że przestanie działać poczta.
Krok 2: zmień serwery nazw (nameservery)
Cloudflare poda dwa własne nameservery. Wpisz je w panelu rejestratora domeny w miejsce dotychczasowych. Zmiana działa od kilku minut do kilku godzin. Od tego momentu ruch do strony przechodzi przez Cloudflare.
Krok 3: ustaw SSL na „Full (strict)”
W zakładce SSL/TLS wybierz tryb Full (strict). Wymaga on ważnego certyfikatu na Twoim serwerze (dziś większość hostingów wystawia darmowy Let's Encrypt). Tryb „Flexible” jest wygodny, ale powoduje klasyczną pętlę przekierowań i szyfruje ruch tylko do połowy drogi – nie używaj go.
Cloudflare to świetna dodatkowa warstwa ochrony, ale nie zastępuje aktualizacji ani kopii zapasowych. To tarcza przed drzwiami, a nie zamek w drzwiach.
Krok 4: reguły firewalla dla WordPressa
W sekcji Security → WAF możesz dodać własne reguły. Najbardziej przydatne na start:
- Ogranicz dostęp do wp-login.php i wp-admin – przepuszczaj tylko swój adres IP albo wymagaj dodatkowej weryfikacji (challenge) dla tych ścieżek.
- Rate limiting na logowanie – blokada po kilku próbach w krótkim czasie ogranicza ataki brute-force.
- Reguła na xmlrpc.php – zablokuj, jeśli nie korzystasz z aplikacji mobilnej ani Jetpacka.
- Blokada według kraju – jeśli działasz tylko w Polsce, możesz ograniczyć ruch administracyjny do wybranych krajów.
Krok 5: cache, ale z głową
Włącz Auto Minify i Brotli dla szybszego ładowania. Pamiętaj, by nie buforować stron dla zalogowanych użytkowników i koszyka – w sklepie WooCommerce to krytyczne. Dedykowane wtyczki integrujące WooCommerce z Cloudflare robią to automatycznie.
Częsty błąd: wszyscy odwiedzający mają jedno IP
Po włączeniu Cloudflare WordPress może widzieć wszystkich gości pod jednym adresem IP (adresem Cloudflare). Psuje to statystyki i wtyczki bezpieczeństwa (np. blokady IP blokują wtedy wszystkich). Rozwiązaniem jest wtyczka przywracająca prawdziwe IP odwiedzającego albo odpowiednia konfiguracja po stronie serwera.
Lista kontrolna po wdrożeniu Cloudflare:
- Poczta działa (rekordy MX i SPF/DKIM/DMARC przeniesione).
- SSL w trybie Full (strict), strona otwiera się bez pętli przekierowań.
- Reguły WAF dla logowania i xmlrpc.php włączone.
- Cache nie obejmuje koszyka i stron dla zalogowanych.
- WordPress widzi prawdziwe adresy IP odwiedzających.
Najczęstsze pytania
Czy Cloudflare jest darmowy?
Tak. Darmowy plan Cloudflare obejmuje CDN, certyfikat SSL, ochronę przed DDoS i podstawowe reguły zapory (WAF) – dla większości małych firmowych stron to w zupełności wystarczy. Zaawansowane, konfigurowalne reguły WAF są dostępne w planach płatnych.
Czy Cloudflare spowolni moją stronę?
Nie, zwykle ją przyspiesza. Statyczne pliki serwowane są z serwerów blisko odwiedzającego, co odciąża Twój hosting. Trzeba tylko poprawnie ustawić pamięć podręczną, aby nie buforować stron zalogowanych użytkowników i koszyka w sklepie.
Czy Cloudflare ukrywa adres IP serwera?
Tak – ruch przechodzi przez Cloudflare, więc prawdziwy adres serwera jest zasłonięty. Warto dodatkowo zablokować na serwerze połączenia spoza adresów Cloudflare, żeby nikt nie obszedł ochrony, łącząc się bezpośrednio z serwerem.
Potrzebujesz pomocy z tym tematem?
MAQ Enterprise zajmie się tym za Ciebie – od jednorazowego audytu po stałą opiekę nad stroną. Zadzwoń: +48 604 790 398 lub napisz.
Napisz do mnie
