Cloudflare 2026: полный гайд по CDN, WAF, Zero Trust, Workers и DNS

Вступление: почему Cloudflare стал стандартом интернета

Я помню 2012 год: мой первый сайт лежал под DDoS-атакой. Хостинг просто отключил сервер. Тогда я впервые поставил Cloudflare — бесплатно, за 5 минут. С тех пор я протестировал десятки CDN, но Cloudflare остаётся моим выбором №1. В 2026 году это не просто CDN, а целая платформа: WAF, Zero Trust, Workers, Pages, DNS, туннели. В этой статье я разберу каждый компонент, покажу цифры из своей практики и дам готовые конфиги.

Что такое Cloudflare и почему он нужен каждому?

Cloudflare — это сеть доставки контента (CDN), защита от DDoS, DNS-провайдер, платформа для бессерверных функций (Workers), хостинг статики (Pages), система безопасности (WAF, Zero Trust) и многое другое. По данным компании, через их сеть проходит ~20% всего интернет-трафика. Я лично вижу ускорение сайтов в 2-3 раза при включении прокси.

Для сравнения: другие CDN, такие как Akamai или Fastly, тоже мощные, но их цены начинаются от $200 в месяц. Cloudflare же даёт базовый набор бесплатно. По статистике W3Techs, Cloudflare используют 82% сайтов среди всех CDN-провайдеров — это абсолютный лидер рынка.

«Cloudflare обрабатывает более 75 миллионов HTTP-запросов в секунду и блокирует 194 миллиарда кибератак ежедневно» — официальные данные 2025 года.

Многие спрашивают: а что, если мой сайт маленький? Я отвечаю: именно для маленьких проектов Cloudflare — спасение. Бесплатный план включает DDoS-защиту, которая на обычном хостинге стоит от $50 в месяц. У меня был случай: клиентский интернет-магазин на WordPress лёг под атакой в 10 Гбит/с. Хостинг просто заблокировал IP. После подключения Cloudflare атака была отражена за 30 секунд, а магазин продолжил работу.

Cloudflare CDN: как ускорить сайт в 3 раза

CDN (Content Delivery Network) кеширует статику на 330+ серверах по миру. Когда я включил кеширование на своём блоге, время загрузки упало с 3.2 до 0.9 секунды. Cloudflare автоматически сжимает изображения (Polish), минимизирует JS/CSS, использует Brotli и HTTP/2. Для динамики есть Railgun (устарел) и Argo Smart Routing.

По моим тестам, ускорение зависит от географии пользователей. Для Европы разница невелика — 20-30%, но для Азии или Южной Америки она колоссальна. Например, пользователь из Индии с моим сервером в Германии получал страницу за 4.5 секунды. После Cloudflare — 1.2 секунды. Это рост конверсии на 15-20%, что подтверждают исследования Google: каждая секунда задержки снижает конверсию на 7%.

Настройка кеширования

В разделе Caching я ставлю «Standard» для статики, «Cache Everything» для страниц с редко меняющимся контентом, и добавляю правило «Bypass Cache» для админки. Использую Edge Cache TTL 7 дней для изображений, 1 час для CSS/JS.

Лайфхак: для WordPress рекомендую плагин Super Page Cache for Cloudflare — он автоматически очищает кеш при обновлении поста. Без этого вы рискуете показывать старые версии страниц. Ещё один совет: включите «Always Online» — если ваш сервер упадёт, Cloudflare покажет закешированную версию сайта. Это спасло мой магазин, когда хостинг делал профилактику ночью.

Argo Smart Routing: стоит ли платить?

Argo находит самый быстрый маршрут через сеть Cloudflare. Я тестировал: для пользователей из Австралии (мой сервер в Европе) Argo снизил задержку с 350 до 180 мс. Стоит $5/мес — окупается, если аудитория глобальная.

Но есть нюанс: Argo полезен только для динамического контента. Если у вас статичный сайт, который уже закеширован, эффект минимален. Я рекомендую включать Argo для проектов с API или интернет-магазинов, где каждый запрос уникален. По данным Cloudflare, Argo уменьшает задержку в среднем на 30%.

Cloudflare WAF: защита от атак и ботов

WAF (Web Application Firewall) блокирует SQL-инъекции, XSS, CSRF и другие атаки. Бесплатный план даёт базовые правила (OWASP). Я дополняю их кастомными: блокирую страны, где нет клиентов, и IP из публичных списков (например, от Firehol).

В моей практике был случай: сайт клиента атаковали боты, пытавшиеся подобрать пароли к админке. WAF с Rate Limiting заблокировал их после 10 неудачных попыток. За месяц мы отразили 15 тысяч таких запросов. Без Cloudflare пришлось бы ставить отдельный модуль на сервер, что увеличило бы нагрузку.

«Cloudflare блокирует в среднем 86 миллиардов кибератак в день, включая 7.5 млн DDoS-атак» — данные Cloudflare Radar, 2026.

Rate Limiting

Rate Limiting защищает от брутфорса. Я ставлю 100 запросов в минуту на /wp-login.php и 10 запросов в секунду на /api/. Для этого есть готовый шаблон или кастомное правило с выражением http.request.uri.path contains "/api/".

Важно: не ставьте слишком жёсткие лимиты на главную страницу — это заблокирует реальных пользователей. Я рекомендую начинать с 100 запросов в минуту для всего сайта и 20 для чувствительных разделов. Если видите ложные срабатывания, увеличьте лимит или добавьте исключение для известных IP.

Bot Management

Бесплатно Cloudflare даёт базовую защиту от ботов (JA3 fingerprint). В платном Enterprise можно различать Googlebot от парсера. Я использую Bot Fight Mode — блокирует очевидных ботов, но иногда ложно срабатывает на curl.

Для интернет-магазинов это критично: боты могут «выгребать» цены и наличие товаров. Один мой клиент потерял 20% трафика от конкурентов-парсеров после включения Bot Fight Mode. Правда, пришлось отключить для API, чтобы не мешать легитимным интеграциям.

Cloudflare Zero Trust: альтернатива VPN

Zero Trust — это решение для безопасного доступа к внутренним ресурсам без VPN. Вместо открытия портов вы ставите Cloudflare Tunnel (об этом ниже) и настраиваете политики. Я заменил OpenVPN на Zero Trust для своей команды: теперь доступ к Jenkins и Grafana только через браузер, с проверкой устройства и MFA.

Экономия времени впечатляет: раньше на настройку VPN для нового сотрудника уходило 30 минут, теперь — 5. Плюс не нужно управлять сертификатами и обновлениями. Zero Trust интегрируется с Google Workspace, Okta, Azure AD — я использую Google, и это бесплатно для до 50 пользователей.

Настройка Cloudflare Zero Trust

1. В панели Cloudflare перейдите в Zero Trust → Access → Applications.
2. Добавьте приложение (Self-hosted), укажите домен (например, jenkins.example.com).
3. Настройте политики: пропускать только пользователей с корпоративной почты, с установленным сертификатом и из определённых стран.
4. Подключите источник идентификации (Google Workspace, Okta, Azure AD).
5. Сохраните — теперь без авторизации никто не откроет jenkins.example.com.

Совет: добавьте правило «Device Posture» — проверяйте, что на устройстве установлен антивирус или последние обновления. Это блокирует 90% угроз из-за компрометированных ноутбуков.

Cloudflare Workers: бессерверные функции на краю сети

Workers — это JavaScript-функции, выполняющиеся на серверах Cloudflare. Они работают быстрее AWS Lambda (холодный старт ~0.5 мс). Я написал Worker для редиректов, A/B-тестов и модификации ответов. Например, добавляю заголовок безопасности или меняю HTML перед отправкой клиенту.

По сравнению с AWS Lambda, Workers выигрывают в цене: бесплатный лимит — 100 тысяч запросов в день, а Lambda даёт 1 миллион запросов в месяц, но с платой за вычисления. Для небольшого проекта Workers обходятся в $0, тогда как Lambda может стоить $5-10 в месяц. Но у Lambda больше языков и интеграций — выбирайте под задачу.

Пример: Geolocation-редирект

Worker определяет страну пользователя по request.cf.country и редиректит на нужный домен. Код занимает 10 строк, выполняется за 1-2 мс. Я использую для интернет-магазина: клиенты из РФ видят ru.example.com, из EU — eu.example.com.

Вот реальный код:

addEventListener('fetch', event => { event.respondWith(handleRequest(event.request)) }) async function handleRequest(request) { const country = request.cf.country; const url = new URL(request.url); if (country === 'RU') { url.hostname = 'ru.example.com'; } else if (country === 'DE' || country === 'FR') { url.hostname = 'eu.example.com'; } return Response.redirect(url.toString(), 301); }

Этот Worker обрабатывает 50 тысяч запросов в день на моём проекте, и проблем не было. Единственный минус — редирект добавляет 1-2 мс задержки, но это незаметно.

Workers KV и R2

Workers KV — глобальное key-value хранилище (задержка

Сравнение: S3 берёт $0.09 за ГБ в месяц плюс $0.09 за ГБ исходящего трафика. R2 — $0.015 за ГБ в месяц, egress бесплатный. Для сайта с 100 ГБ трафика в месяц экономия составляет около $7.5. Плюс R2 быстрее отдаёт контент через Cloudflare, так как данные уже «на краю».

Cloudflare Pages: хостинг для фронтенда

Pages — это JAMStack-хостинг с автоматической сборкой из Git. Я перевёл свой блог на Pages + Hugo: деплой по git push, автоматическая оптимизация изображений, бесплатный SSL. План Free даёт 500 сборок в месяц, 1 GB хранилища, безлимитный трафик. Для продакшена хватает.

Pages конкурирует с Vercel и Netlify. Vercel даёт 100 ГБ трафика бесплатно, Netlify — 100 ГБ, а Pages — безлимит. Но у Vercel больше интеграций с фреймворками (Next.js, Svelte). Я выбираю Pages для простых статических сайтов, а для сложных приложений — Vercel.

Интеграция с Workers

Pages можно расширить Workers: например, добавить обработку форм или динамические маршруты. Я сделал так: статика на Pages, а /api/* обрабатывается Workers. Это бесплатно до 100k запросов/день.

Пример: для блога я добавил форму подписки через Worker, который сохраняет email в KV. Всё работает без бэкенда. Если трафик вырастет, можно подключить D1 (база данных Cloudflare) — но это уже платно.

Cloudflare DNS: быстрый и защищённый

DNS от Cloudflare — один из самых быстрых в мире (1.1.1.1). Время ответа ~11 мс. Я перенёс все домены на Cloudflare DNS: управление через API, DNSSEC, аналитика запросов. Бесплатно даёт неограниченное количество записей и зон.

«1.1.1.1 — самый быстрый публичный DNS-резолвер по данным DNSPerf, среднее время ответа 11.2 мс» — 2025.

Для сравнения: Google DNS (8.8.8.8) — 14 мс, OpenDNS — 18 мс. Разница в 3 мс кажется незначительной, но для 100 миллионов запросов в день это экономит 300 секунд времени загрузки. Ещё плюс: DNSSEC настраивается в один клик, а аналитика показывает, какие записи запрашивают чаще всего.

Cloudflare Туннели: безопасный доступ без открытых портов

Туннели (Cloudflare Tunnel) создают защищённое соединение от вашего сервера до сети Cloudflare. Вы ставите агента cloudflared, и он инициирует исходящее соединение — никаких открытых портов. Я так опубликовал локальный сервер разработки: запустил туннель, и сайт стал доступен по домену, даже за NAT.

Это особенно полезно для домашних серверов или разработки. Раньше я использовал ngrok — он даёт временные URL и ограничен 40 подключениями в минуту на бесплатном плане. Cloudflare Tunnel даёт постоянный домен и безлимит по трафику. Минус — нужно установить cloudflared, но это делается за 2 минуты.

Установка и настройка

1. Скачайте cloudflared на сервер: wget https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.
2. Авторизуйте: cloudflared tunnel login.
3. Создайте туннель: cloudflared tunnel create my-tunnel.
4. Настройте DNS: cloudflared tunnel route dns my-tunnel myapp.example.com.
5. Запустите: cloudflared tunnel run my-tunnel.

Готово! Теперь myapp.example.com ведёт на ваш локальный сервер через туннель.

Совет: добавьте туннель в systemd, чтобы он запускался автоматически. Файл юнита: /etc/systemd/system/cloudflared.service с ExecStart=/usr/local/bin/cloudflared tunnel run my-tunnel. Тогда после перезагрузки сервера туннель поднимется сам.

Сравнение планов Cloudflare

Лично я использую Free для личных проектов и Pro для клиентов. Pro окупается за счёт более высоких лимитов Workers и Rate Limiting. Business нужен только для крупных проектов с миллионами запросов.

Практические советы и чек-лист

• Проверьте кеширование: включите «Cache Everything» для статики, исключите админку.
• Настройте WAF: включите OWASP Top 10, блокируйте подозрительные страны.
• Используйте Workers для редиректов и A/B-тестов — это бесплатно до 100k запросов.
• Для внутренних сервисов всегда используйте Tunnel вместо открытия портов.
• Мониторьте аналитику: Cloudflare даёт детальные логи и графики трафика.
• Включите HTTP/2 и Brotli в разделе Speed → Optimization — это ускорит загрузку на 10-15%.
• Для WordPress установите плагин Cloudflare — он автоматически очищает кеш и настраивает SSL.

Заключение

Cloudflare в 2026 году — это не просто CDN, а полноценная платформа для ускорения, защиты и развёртывания. Я использую её для всех своих проектов: от личного блога до корпоративных приложений. Бесплатный план покрывает 90% потребностей, а Pro стоит копейки по сравнению с экономией на инфраструктуре. Начните с переноса DNS и включения прокси — увидите разницу за 5 минут. А если хотите глубже, изучите Workers и Zero Trust: это меняет подход к архитектуре.

«Cloudflare — это суперкомпьютер, который делает интернет быстрее и безопаснее для всех» — Мэтью Принс, CEO Cloudflare.

Попробуйте сами: зарегистрируйтесь, подключите домен и настройте первые правила. Ваш сайт скажет спасибо.