Cloudflare dla sklepu internetowego - czy warto i jak go skonfigurować

Cloudflare - konfiguracja krok po kroku dla sklepu

Wdrożenie najlepiej zaplanować na godziny małego ruchu i mieć pod ręką listę wszystkich usług, które łączą się ze sklepem: bramki płatności, integratora zamówień, porównywarek, systemu magazynowego.

1. Załóż konto firmowe - na firmowy adres e-mail, z weryfikacją dwuetapową. Kolejne osoby dodawaj jako członków konta z rolami, a nie przez udostępnianie hasła.
2. Dodaj domenę i sprawdź zaimportowane rekordy - Cloudflare skanuje istniejące rekordy, ale nie zawsze znajduje wszystkie. Porównaj je z eksportem ze starego panelu, szczególnie MX, TXT (SPF, DKIM, DMARC) i subdomeny.
3. Ustal, które rekordy idą przez proxy - proxy włącz dla domeny sklepu i www. Rekordy związane z pocztą, FTP czy panelem hostingu zostaw w trybie „tylko DNS”.
4. Zmień serwery NS u rejestratora - przełączenie może trwać do 24-48 godzin. Do tego czasu nie usuwaj niczego w starym panelu DNS.
5. Ustaw tryb SSL na Full (strict) - wymaga ważnego certyfikatu na serwerze. Możesz użyć certyfikatu z hostingu albo certyfikatu Origin wystawionego przez Cloudflare. Włącz też „Always Use HTTPS”.
6. Wyłącz cache dla stron dynamicznych - koszyk, zamówienie, konto klienta, panel administracyjny i wszystkie adresy z parametrami sesji muszą omijać cache.
7. Dodaj reguły bezpieczeństwa - ogranicz dostęp do panelu administracyjnego, np. limitem prób logowania lub dodatkowym wyzwaniem, i włącz ochronę przed botami.
8. Przetestuj całą ścieżkę zakupu - złóż testowe zamówienie z płatnością, sprawdź powiadomienia zwrotne z bramki, synchronizację z integratorem i wysyłkę maili.

Cache w Cloudflare - co przyspieszać, a czego nie dotykać

Domyślnie Cloudflare zapisuje w pamięci podręcznej tylko pliki statyczne: obrazy, arkusze stylów, skrypty i czcionki. Strony HTML pobiera za każdym razem z serwera. To bezpieczne ustawienie startowe dla sklepu. Problemy zaczynają się, gdy ktoś - chcąc przyspieszyć sklep - włącza regułę „cache everything” dla całej domeny. Wtedy klient może zobaczyć stronę zapisaną dla innej osoby: z cudzym koszykiem, nieaktualną ceną albo komunikatem o braku towaru, który już wrócił na stan.

Po każdej zmianie cen lub stanów magazynowych w dużej skali, np. przed promocją, wyczyść cache w Cloudflare albo ustaw automatyczne czyszczenie przez wtyczkę sklepu. Dzięki temu klienci od razu widzą aktualną ofertę.

[#uwaga] Tryb SSL „Flexible” szyfruje połączenie tylko między klientem a Cloudflare, a do serwera ruch idzie bez szyfrowania. W sklepie oznacza to niezabezpieczone dane klientów na części trasy i często pętlę przekierowań, gdy sklep sam wymusza https. Ustawiaj Full (strict).

Najczęstsze błędy konfiguracji Cloudflare w sklepie internetowym

• Cache całych stron bez wyjątków - klienci widzą cudzy koszyk, nieaktualne ceny lub stany magazynowe. Cache HTML w sklepie wymaga starannie ustawionych wyjątków.
• Blokowanie integracji - ochrona przed botami lub wyzwania JavaScript blokują powiadomienia z bramki płatności, połączenia integratora czy API kuriera. Zamówienia nie zmieniają statusu, a nikt nie wie dlaczego.
• Proxy na rekordach poczty - poczta przestaje działać, bo Cloudflare nie pośredniczy w ruchu pocztowym.
• Brak prawdziwych adresów IP w logach - serwer widzi adresy Cloudflare zamiast adresów klientów, co psuje limity logowania i analizę ataków. Trzeba włączyć odczytywanie nagłówka z prawdziwym IP na serwerze.
• Odsłonięty adres serwera - bezpośredni rekord A wskazujący na serwer (np. dla FTP) pozwala obejść ochronę. Warto ograniczyć ruch do serwera tylko do adresów Cloudflare.
• Konto na prywatnym mailu - po odejściu pracownika firma traci kontrolę nad DNS całej domeny.

Dostęp do konta Cloudflare i jego tokenów API wymaga takiej samej ochrony jak klucze do systemów kurierskich - zasady opisaliśmy we wpisie o bezpieczeństwie kluczy API i konta InPost. Kto ma dostęp do DNS, ten w praktyce kontroluje stronę i pocztę sklepu.

[#checklista] Po wdrożeniu Cloudflare sprawdź: 1) czy sklep otwiera się z www i bez www, 2) czy certyfikat jest ważny i tryb SSL to Full (strict), 3) czy koszyk i konto klienta nie są cache'owane, 4) czy testowa płatność zmienia status zamówienia, 5) czy integrator i porównywarki pobierają dane, 6) czy poczta wychodzi i przychodzi, 7) czy na koncie Cloudflare włączona jest weryfikacja dwuetapowa.

Cloudflare a szybkość i pozycje sklepu w Google

Cloudflare przyspiesza głównie dostarczanie zasobów statycznych. Jeśli sklep jest wolny z powodu ciężkiego motywu, dziesiątek wtyczek czy wolnej bazy danych, CDN tego nie naprawi - pierwsza odpowiedź serwera nadal będzie długa. Warto więc najpierw zmierzyć, gdzie leży problem, a dopiero potem dobierać narzędzie. Związek bezpieczeństwa, HTTPS i widoczności w wyszukiwarce opisaliśmy we wpisie HTTPS i bezpieczeństwo sklepu a pozycje w Google.

Jak Vinson pomaga wdrożyć Cloudflare w sklepie

W ramach wsparcia informatycznego dla firm i sklepów oceniamy, czy Cloudflare ma sens w Twoim przypadku, przenosimy DNS bez przerwy w działaniu strony i poczty, ustawiamy SSL, cache z wyjątkami dla stron dynamicznych, reguły zapory i ochronę panelu administracyjnego. Testujemy płatności i integracje, a całą konfigurację dokumentujemy na koncie należącym do Twojej firmy.

Najczęściej zadawane pytania

Czy darmowy plan Cloudflare wystarczy dla sklepu internetowego?

Dla wielu małych i średnich sklepów tak. Obejmuje DNS, CDN, certyfikat, ochronę DDoS i podstawowe reguły zapory. Płatne plany warto rozważyć, gdy sklep jest regularnie atakowany lub potrzebuje rozbudowanych reguł WAF.

Czy Cloudflare może zablokować płatności w sklepie?

Może, jeśli ochrona przed botami lub reguły zapory zatrzymają powiadomienia wysyłane przez bramkę płatności. Dlatego po wdrożeniu trzeba złożyć testowe zamówienie i w razie potrzeby dodać wyjątki dla adresów, na które bramka wysyła powiadomienia.

Czy używać Cloudflare ze sklepem na Shoperze lub Shopify?

Jako panel DNS - tak. Jako proxy - zwykle nie, bo platformy mają własny CDN i certyfikaty. Zawsze sprawdź dokumentację platformy i ustaw rekordy zgodnie z jej wymaganiami.

Czy po wdrożeniu Cloudflare trzeba zmienić pocztę?

Nie, ale wszystkie rekordy poczty (MX, SPF, DKIM, DMARC) muszą zostać przeniesione do Cloudflare bez zmian, a rekordy wskazujące serwery pocztowe powinny działać w trybie „tylko DNS”.

Jak cofnąć wdrożenie Cloudflare, jeśli coś nie działa?

Najszybciej - wyłączając proxy dla rekordów sklepu, wtedy Cloudflare działa tylko jako DNS. Pełny powrót wymaga przywrócenia poprzednich serwerów NS u rejestratora, co może potrwać do 48 godzin.

Cloudflare to dobre narzędzie, o ile jest dopasowane do sklepu, a nie włączone „na domyślnych”. Jeśli chcesz wdrożyć je bezpiecznie albo sprawdzić obecną konfigurację, zobacz nasze wsparcie IT dla firm i sklepów. Jeśli szukasz partnera do całej obsługi technicznej, przeczytaj, jak wybrać firmę do outsourcingu IT dla sklepu internetowego.