Cloudflare einrichten: DNS, SSL und Cache

01Wozu dient Cloudflare?

Cloudflare ist ein Reverse-Proxy und ein globales Netzwerk, das sich zwischen Ihre Domain und Ihren Server schaltet. Ruft ein Besucher Ihre Website auf, erreicht die Anfrage zuerst das Cloudflare-Rechenzentrum in Ihrer Nähe; statische Dateien werden von dort ausgeliefert, die übrigen Anfragen an Ihren Server weitergeleitet. So gewinnen Sie an Geschwindigkeit, und die echte IP-Adresse Ihres Servers bleibt verborgen.

Kurz gesagt erledigt Cloudflare drei Aufgaben an einem Ort: DNS-Verwaltung, Caching nach dem Prinzip des Content Delivery Network, das wir im Beitrag Was ist ein CDN erklärt haben, und eine Sicherheitsschicht gegen DDoS und bösartigen Traffic. Der kostenlose Tarif genügt für die meisten kleinen und mittleren Websites; kostenpflichtige Tarife bringen Zusatzfunktionen wie erweiterte Sicherheitsregeln und Bildoptimierung.

Ein wichtiger Hinweis: Cloudflare repariert weder einen langsamen Server noch eine aufgeblähte Seite allein. Der eigentliche Gewinn entsteht, wenn auch die Seite selbst optimiert ist; betrachten Sie Cloudflare deshalb als Teil einer Speed- und Performance-Optimierung.

02Vor der Einrichtung

Da Sie bei der Einrichtung die Verwaltung der Domain ändern, vermeidet es Ausfälle, einige Angaben vorab zu sammeln. Das häufigste Problem ist, dass Mails ausbleiben, weil die E-Mail-Einträge nicht mit umgezogen wurden.

• Zugangsdaten zum Panel des Anbieters, bei dem Sie die Domain gekauft haben (zum Ändern der Nameserver).
• Die vollständige Liste der vorhandenen DNS-Einträge: A, AAAA, CNAME, MX-Einträge, TXT (SPF, DKIM, Bestätigungscodes).
• Die IP-Adresse Ihres Servers und ob auf der Website ein gültiges SSL-Zertifikat vorhanden ist.
• Ist für die Domain DNSSEC aktiv, muss vor dem Wechsel beim Registrar DNSSEC deaktiviert werden; andernfalls wird die Domain möglicherweise nicht mehr aufgelöst.

03Domain zu Cloudflare hinzufügen

Nach dem Anlegen eines Kontos im Cloudflare-Panel führt Sie der Assistent zum Hinzufügen der Website Schritt für Schritt. Diese Schritte sind vom Betriebssystem unabhängig; alles geschieht im Browser.

1. Klicken Sie im Panel auf die Option zum Hinzufügen einer Website und geben Sie Ihre Domain ohne www ein (beispiel.com).
2. Wählen Sie den Tarif; für den Anfang genügt der Free-Tarif.
3. Vergleichen Sie die von Cloudflare gefundenen DNS-Einträge einzeln mit Ihrer alten Liste und ergänzen Sie Fehlendes von Hand.
4. Cloudflare nennt Ihnen zwei Nameserver-Adressen. Löschen Sie im Panel Ihres Domain-Anbieters die bisherigen Nameserver und tragen Sie diese beiden Adressen ein.
5. Sobald Cloudflare die Änderung erkennt, wird die Domain aktiv, und Sie werden per E-Mail benachrichtigt.

Orange oder graue Wolke?

Neben jedem Eintrag steht ein Wolkensymbol. Die orange Wolke (Proxied) bedeutet, dass der Traffic über Cloudflare läuft und Cache und Sicherheit aktiv sind. Die graue Wolke (DNS only) bedeutet, dass Cloudflare nur DNS-Antworten gibt und den Traffic nicht anfasst.

Stellen Sie die A- und www-CNAME-Einträge, die für die Website verwendet werden, auf Orange. Lassen Sie Einträge, die auf den Mailserver zeigen, sowie Subdomains für FTP oder SSH auf Grau; MX-Einträge lassen sich ohnehin nicht über den Proxy leiten.

04Den richtigen SSL-Modus wählen

Die SSL/TLS-Einstellung legt fest, wie die Verbindung zwischen Besucher und Cloudflare sowie zwischen Cloudflare und Ihrem Server verschlüsselt wird. Die falsche Moduswahl ist der Schritt, der bei der Cloudflare-Einrichtung die meisten Fehler verursacht.

Wenn Ihr Server ein gültiges Zertifikat hat, verwenden Sie immer Full (strict). Haben Sie kein Zertifikat, können Sie das kostenlose Origin-CA-Zertifikat von Cloudflare auf dem Server installieren oder mit Let's Encrypt ein Zertifikat beziehen; die Schritte finden Sie im Ratgeber zur SSL-Zertifikat-Einrichtung.

HTTPS-Einstellungen abschließen

• Leiten Sie mit Always Use HTTPS alle HTTP-Anfragen auf HTTPS um.
• Die Option Automatic HTTPS Rewrites verringert Warnungen zu gemischten Inhalten (per http geladene Bilder und Skripte) auf der Seite.
• Aktivieren Sie HSTS nur, wenn Sie sicher sind, dass alle Ihre Subdomains problemlos über HTTPS laufen; das Zurücknehmen ist schwierig.

05Wie stellt man den Cache ein?

Cloudflare cacht standardmäßig nur statische Dateien wie Bilder, CSS, JavaScript und Schriften; HTML-Seiten nicht. Das ist ein sicherer Start, denn das versehentliche Cachen dynamischer Seiten verursacht ernste Probleme bei Warenkorb und Kundenkonto.

Bei einer statischen Website oder Seiten, die sich selten ändern, können Sie mit Cache Rules auch HTML cachen. Adressen wie Admin-Bereich, Warenkorb, Kasse und Kontoseiten lassen Sie unbedingt vom Cache aus. Nutzen Sie ein Shopsystem, nehmen Sie diese Trennung gemeinsam mit Ihrem Entwickler vor.

• Browser Cache TTL: legt fest, wie lange der Browser die Datei behält; bei versionierten Dateinamen können Sie sie lang einstellen.
• Development Mode: schaltet den Cache vorübergehend ab, während Sie Designänderungen vornehmen.
• Purge Cache: leert nach einer Aktualisierung den gesamten Cache oder nur bestimmte Adressen.
• Brotli-Kompression und HTTP/3 lassen sich unter den Geschwindigkeitseinstellungen aktivieren.

06Grundlegende Sicherheitseinstellungen

Auch im kostenlosen Tarif gibt es einige nützliche Sicherheitseinstellungen. Beobachten Sie in den ersten Tagen die Sicherheitsereignisse im Panel, um sicherzugehen, dass Sie beim Aktivieren keine echten Besucher aussperren.

Wenn Sie angegriffen werden, führt der Under Attack Mode bei jedem Besucher eine kurze Browserprüfung durch; schalten Sie ihn nach Ende des Problems wieder aus, sonst leiden Nutzererlebnis und botabhängige Integrationen.

• Bremsen Sie bekannte schädliche Bots mit dem Bot Fight Mode aus.
• Legen Sie für die Adresse Ihres Admin-Bereichs eine länder- oder IP-basierte Zugriffsregel an.
• Aktivieren Sie in Ihrem Konto die Zwei-Faktor-Authentifizierung; wird das Cloudflare-Konto übernommen, ist Ihre gesamte Domain übernommen.
• Auf Serverseite nur Web-Traffic aus den IP-Bereichen von Cloudflare zuzulassen, verhindert, dass die echte IP direkt angegriffen wird.

07Befehle zur Überprüfung der Einrichtung

Die Verbreitung der Nameserver-Änderung dauert meist einige Stunden, selten bis zu 24–48 Stunden. Mit den folgenden Befehlen prüfen Sie den Stand selbst. Unter Windows sind nslookup, unter macOS und Linux dig und curl sofort verfügbar.

nslookup -type=NS ornek.com
curl.exe -sI https://ornek.com

dig +short NS ornek.com
curl -sI https://ornek.com | grep -i -E 'server|cf-cache-status'

Wie liest man die Ausgabe?

Bei der NS-Abfrage sollten Sie die beiden von Cloudflare genannten Adressen sehen. In den HTTP-Headern zeigt die Zeile server: cloudflare, dass der Traffic über Cloudflare läuft, und der Wert cf-cache-status, ob die Datei aus dem Cache kam: HIT bedeutet aus dem Cache, MISS vom Server.

08Häufige Fehler und Lösungen

Die Fehlerseiten von Cloudflare nennen mit ihrem Code die Fehlerstelle. Lesen Sie den Code, bevor Sie in Panik geraten; meist liegt das Problem auf Serverseite.