Cloudflare ispred vašeg weba daje četiri stvari odjednom: CDN (keš statika blizu korisnika), DDoS zaštitu, WAF pravila i SSL edge. Besplatni plan je dovoljan za 90% klijenata. Ova uputa pokriva kompletno postavljanje, praktične postavke i zamke koje smo vidjeli u praksi.
1. Kreiranje računa i dodavanje domene
- Registrirajte se na
cloudflare.com. - Add site → unesite domenu (bez www) → odaberite Free plan.
- Cloudflare skenira postojeće DNS zapise i predlaže da ih zadrži. Provjerite da su svi A, AAAA, MX, TXT, CNAME zapisi tu. Ako nešto nedostaje, dodajte ručno.
- Kopirajte dva Cloudflare nameservera koja dobijete.
2. Promjena nameservera kod registrara
Kod registrara domene (ili na CARNet za .hr) zamijenite postojeće NS-ove s Cloudflare nameserverima. Primjer:
jake.ns.cloudflare.com
lucy.ns.cloudflare.comPropagacija traje od 5 minuta do 48h (obično <1h). Dok traje propagacija, web radi normalno — dio korisnika ide novim NS-om, dio starim.
3. Proxy (oranges cloud) ili DNS-only
Svaki A / CNAME zapis ima prekidač oblaka:
- Narančasta (proxied) — promet ide kroz Cloudflare (CDN, WAF, SSL).
- Siva (DNS-only) — Cloudflare samo resolva DNS.
Pravilo: web i www = narančasta. MX zapisi = siva (Cloudflare ne proxy-a SMTP). Specifični subdomeni (ftp, cpanel, webmail) = siva.
4. SSL / TLS postavke
SSL/TLS → Overview:
- Flexible — korisnik ↔ CF ima HTTPS, CF ↔ server je HTTP. Ne koristi! Server ne zna da je promet HTTPS → pojavljuju se mixed content i redirect loop.
- Full — CF ↔ server je HTTPS, ali ne provjerava valjanost certifikata. Self-signed prolazi. Prihvatljivo za razvoj.
- Full (strict) — CF ↔ server mora imati valjani certifikat. Koristite ovo u produkciji.
Edge Certificates:
- Always Use HTTPS: On.
- HTTP Strict Transport Security (HSTS): uključite nakon što ste sigurni da HTTPS radi 100% (HSTS je teško otkotrljati unatrag).
- Minimum TLS Version: 1.2 (ili 1.3 za strože politike).
- TLS 1.3: On.
5. Origin certifikat (umjesto Let's Encrypta)
Kad je sve u proxy modu, možete generirati Origin Certificate koji Cloudflare priznaje, traje 15 godina i ne troši Let's Encrypt rate limit.
- SSL/TLS → Origin Server → Create Certificate.
- Zadržite RSA 2048, istek 15 godina, hostnames:
vasadomena.hri*.vasadomena.hr. - Instalirajte certifikat i ključ na serveru (cPanel: SSL/TLS → Manage SSL Sites).
- U Cloudflare: Authenticated Origin Pulls (opcionalno) — server prihvaća SSL connection samo s CF edge-a.
6. Page rules i redirects
Besplatan plan: 3 Page rules. Tipična upotreba:
# forsiraj HTTPS + www
http://*vasadomena.hr/* → Forwarding URL (301) → https://www.vasadomena.hr/$2
# duži cache za asset folder
www.vasadomena.hr/assets/* → Cache Level: Cache Everything, Edge Cache TTL: 1 month
# bypass cache za admin
www.vasadomena.hr/admin/* → Cache Level: BypassModerna alternativa su Rules → Bulk Redirects i Cache Rules — više opcija, iste postavke, fleksibilnije.
7. WAF — osnovno zaključavanje
Security → WAF:
- Managed Rules: uključite (na Free planu ograničeno, ali OWASP set je tu).
- Rate Limiting: jedno pravilo na Free planu — najbolje potrošiti za
/wp-login.php,/adminili/xmlrpc.php. - Custom Rules: blokirajte poznate TOR exit node-ove, threat score >40, ili geografske regije koje ne koristite.
Primjer Custom Rule: Block requests from "Threat Score" > 40.
8. Performanse
Speed → Optimization:
- Auto Minify (HTML/CSS/JS) — ugasite ako koristite vlastiti build pipeline (Vite, webpack). Dvostruki minify ne pomaže, a može razbiti stvari.
- Brotli: On.
- Early Hints: On (ako vaš server šalje 103 Early Hints).
- HTTP/3 (QUIC): On.
- Polish (Pro plan) — automatska optimizacija slika.
9. Što se NE keši po defaultu
Cloudflare po defaultu keši samo statičke asete (slike, CSS, JS, fontovi). HTML, PHP output, JSON API, cookie-laden responsa ne idu u keš osim ako eksplicitno uključite Cache Everything. Zato dinamički web ne pati od "staleness" po defaultu.
10. Česte zamke
Redirect loop nakon aktivacije
SSL u Flexible modu a server radi redirect HTTP → HTTPS. Rješenje: Full (strict) + .htaccess bez redirect-a na HTTPS (Cloudflare radi redirect).
IP servera vidi se u DNS historyu
CF skriva origin IP, ali povijest DNS-a (npr. preko securitytrails.com, viewdns.info) pokazuje stari IP. Za pravu zaštitu: promijenite origin IP i ograničite firewall da prihvati samo CF IP range-ove.
Stvarni IP klijenta u log-u
Apache/nginx vidi Cloudflare IP kao klijent. Treba konfigurirati mod_remoteip (Apache) ili real_ip_module (nginx) i dodati CF IP range-ove. Cloudflare objavljuje popis na cloudflare.com/ips.
Mail ne radi nakon promjene NS-a
MX zapisi moraju biti "DNS only" (siva). Ako su narančasti, Cloudflare ih ne proxy-a (SMTP ne ide kroz HTTP proxy) i mail ide u nigdje.
Certifikat ne pokriva subdomenu
Free Universal SSL pokriva root i *.vasadomena.hr, ali ne *.sub.vasadomena.hr. Za to treba Origin Certificate s eksplicitnim hostname-om.
11. Preporuka za ozbiljnije projekte
- Pro plan ($20/mj) za image optimization, mobile optimizaciju, više page rules.
- Business plan za custom WAF rules i BYO certifikate.
- Cloudflare Access za zero-trust admin panele — bez VPN-a, SSO login, granularne policies.
Za klijente s kompleksnijim zahtjevima (e-trgovina, SaaS) obično konfiguriramo Cloudflare zajedno s WMD hostingom — DNS, SSL, WAF, cache rules, real IP konfiguracija na origin serveru. Javite se ako trebate komplet setup ili audit postojećeg Cloudflare accounta.
