Cloudflare gratuit pentru site mic - setup CDN + DNS pas cu pas

Cloudflare Free este probabil cel mai bun "deal" tehnic online: CDN cu 300+ Points of Presence global, DNS autoritativ distribuit, Universal SSL, DDoS L3/L4 și WAF basic, totul fără card și fără limită de trafic. Pentru un site mic - blog, prezentare firmă, magazin nou WordPress, landing page - trebuie evaluat după cerințele site-ului.

În termeni simpli: instalezi Cloudflare între vizitator și serverul de hosting. Cloudflare cachează static assets la edge, filtrează traficul bot/abuziv, servește SSL automat și accelerează DNS-ul. Tu nu schimbi nimic pe server, doar muți nameserverele la registrar.

Aici este partea importantă: setup-ul are 4 capcane clasice (orange-cloud pe MX care sparge emailul, Flexible SSL cu redirect loop, TXT pierdute la import, cache pe pagini admin). Acest ghid te trece prin ele pas cu pas, cu exemple pentru registrarii din România (RoTLD, Hostico, Hosterion, Romarg) și stack WordPress pe shared hosting.

Dacă nu ai SSL sau nu înțelegi DNS-ul, citește mai întâi ghidul SSL pentru site mic și DNS pentru începători - tipuri de record. Pentru măsurarea impactului post-setup, vezi interpretarea raportului PageSpeed Insights.

Ce face Cloudflare Free, concret

Cache-ul edge poate reduce cererile către server pentru resurse eligibile. Verifică regulile curente, răspunsurile cache și timpul de încărcare; nu presupune un procent fix de trafic cache-uit.

Universal SSL înseamnă certificat wildcard automat eliberat prin Let's Encrypt sau Google Trust Services, reînnoire automată. Pentru un site fără HTTPS, rezolvă problema în 5 minute.

DDoS protection L3/L4 (volumetric, SYN flood, UDP amplification) este always-on. WAF basic include Managed Ruleset gratuit (regulile OWASP de bază), challenge automat pe traffic suspect, rate limiting basic prin Page Rules. Eficiența protecției depinde de configurație și de tipul traficului; verifică evenimentele și cererile legitime blocate. Always Online servește o copie statică din Wayback Machine când serverul tău pică.

Ce NU primești gratuit (și când merită Pro)

Trade-off: pentru 25 USD/lună Pro adaugă lucruri confundate adesea cu "esențiale" dar de fapt nice-to-have:

Pe scurt: pentru un site WordPress de prezentare cu sub 50.000 vizitatori/lună, free e suficient. Pro merită doar dacă ai cel puțin două din: 200+ imagini neoptimizate manual, magazin WooCommerce cu trafic internațional, audit security periodic care cere WAF custom.

Setup pas cu pas - 9 etape, 30-45 minute

1. Cont Cloudflare și Add Site

Creează cont free pe dashboardul Cloudflare (cloudflare punct com) cu email + parolă. Activează 2FA imediat - contul Cloudflare are control pe DNS-ul tău, dacă îl pierzi, atacatorul îți poate redirecționa emailul și site-ul.

După login, click "Add a Site" și introdu domeniul fără www și fără https://. Selectează planul Free din listă (e ultimul - Cloudflare încearcă să te împingă la Pro).

2. Scan DNS records existente

Cloudflare scanează automat DNS-ul și importă ce găsește public (A, AAAA, CNAME, MX). TXT records pentru SPF/DKIM/DMARC apar uneori incomplet.

RTFM (citește docs oficiale): înainte să continui, deschide DNS-ul curent la registrar în alt tab și compară manual. Dacă ai email pe domeniu, verifică obligatoriu:

MX records (priority + hostname)
TXT v=spf1 ... pentru SPF
TXT pentru DKIM (ex: google._domainkey)
TXT _dmarc pentru DMARC

Dacă lipsește vreuna, adaugă manual prin "Add record". MX se adaugă cu proxy OFF (gri cloud).

3. Configurare proxy (orange-cloud vs gri)

Pentru fiecare record Cloudflare îți arată un buton cu cloud portocaliu (proxied) sau gri (DNS only). Regula simplă:

• Orange cloud: trafic prin Cloudflare (CDN, WAF, SSL). Pentru A și CNAME care servesc HTTP/HTTPS (root, www, blog, app).
• Gri cloud (DNS only): trafic direct la IP. Pentru MX, mail subdomain, FTP, SSH, cPanel, webmail, orice e non-HTTP.

⚠️ Atenție - orange-cloud pe MX = email spart. Cloudflare proxy funcționează doar pentru HTTP/HTTPS. Dacă pui orange pe mail.exemplu-firma.ro (recordul A din spatele MX) sau pe MX-ul direct (nu se poate proxy MX, dar A-ul din spate da), serverele de email primitor nu mai pot livra mesaje. Vei pierde mailuri tacit, fără error vizibil pe tine.

Regula de aur: după importul DNS, parcurge lista și pune gri cloud pe orice nu e direct legat de site (mail, ftp, cpanel, ssh, mx, webmail, autodiscover). Doar A/AAAA pentru root + www + subdomenii web stau orange.

4. Schimbare nameservers la registrar

Cloudflare îți afișează 2 nameservers asignate contului (exemplu: aria.ns.cloudflare.com și barry.ns.cloudflare.com). Procedura la registrar variază:

• RoTLD (.ro direct): rotld punct ro - "Operațiuni" - "Modificare nameservere DNS" - introdu cele 2, șterge restul, salvează. Propagare 2-4 ore.
• Hostico, Hosterion, Romarg, cyberfolks: panel - Domenii - selectează domeniul - "Modifică nameservere" - "Use custom nameservers" - introdu cele 2.
• GoDaddy, Namecheap, Porkbun: Domains - Nameservers - Change / Custom - introdu cele 2.

Pro tip dev: NU șterge cele vechi înainte să adaugi cele noi - dacă panelul nu suportă "replace all" într-un save, salvează întâi cele noi, apoi șterge.

5. Verificare propagare

După schimbare, rulează în terminal:

dig +short NS exemplu-firma.ro
dig @8.8.8.8 +short NS exemplu-firma.ro
dig @1.1.1.1 +short NS exemplu-firma.ro

Toate trei ar trebui să returneze nameserverele Cloudflare (aria.ns.cloudflare.com. și barry.ns.cloudflare.com.). Dacă vezi încă nameserverele vechi, așteaptă. Tipic 2-6 ore pe .ro, în cazuri conservatoare 24-48 ore. Cloudflare trimite email automat când detectează schimbarea și activează protecția.

6. SSL/TLS mode - Flexible vs Full vs Full (strict)

Dashboard - SSL/TLS - Overview. 4 opțiuni:

• Off: plain HTTP. Nu folosi.
• Flexible: HTTPS vizitator-Cloudflare, HTTP Cloudflare-origin. Când origin-ul nu are SSL.
• Full: HTTPS end-to-end, certificat pe origin acceptat fără validare CA (self-signed OK).
• Full (strict): HTTPS end-to-end, CA recunoscut, nu expirat, hostname match. Production-ready.

Trade-off: Flexible are 2 probleme - dacă origin-ul face redirect HTTP -> HTTPS (typical .htaccess WordPress), intri în redirect loop; plus trafic decriptat între Cloudflare și origin = MITM theoretical risk. Full funcționează cu Let's Encrypt instalat pe origin (toți providerii RO serioși îl dau gratuit din panel).

Setup minim recomandat: instalează Let's Encrypt pe origin (cPanel - SSL/TLS Status sau AutoSSL), apoi setează Cloudflare pe Full (strict).

7. Always Use HTTPS și Auto Rewrites

În SSL/TLS - Edge Certificates, activează:

• Always Use HTTPS: ON. Redirect 301 automat HTTP -> HTTPS la nivel Cloudflare. Mai rapid și mai sigur decât redirect prin .htaccess.
• Automatic HTTPS Rewrites: ON. Cloudflare rescrie automat http:// în https:// din conținutul HTML pentru linkuri interne. Util când ai mixed content vechi din baza de date WordPress.
• HSTS (HTTP Strict Transport Security): ON cu max-age 6 luni inițial, apoi extinde la 1 an după ce ești sigur că SSL e stabil. Activează include subdomains DOAR după ce verifici că toate subdomeniile au HTTPS. Activarea HSTS greșit pe subdomain fără SSL te blochează în browser pentru durata max-age.
• Minimum TLS Version: 1.2 sau 1.3. Sub TLS 1.2 nu mai are sens în 2026.

8. Caching și Page Rules

În secțiunea Caching - Configuration, setările recomandate pentru WordPress:

• Caching Level: Standard (default OK pentru majoritate). Aggressive cachează și parametri query string - bun pentru site static, problematic pentru WooCommerce cu cart.
• Browser Cache TTL: 4 hours sau Respect Existing Headers. Dacă origin-ul tău setează deja Cache-Control: max-age=... corect, folosește Respect.
• Always Online: ON. Zero cost.
• Development Mode: ON temporar când faci modificări pe site - dezactivează cache la edge pentru 3 ore. Esențial când schimbi CSS sau JS și vezi versiunea veche.

Pe planul Free ai 3 Page Rules. Alocă-le strategic. Pentru WordPress, configurația tipică:

Rule 1 - Bypass cache admin și login:

URL pattern: *exemplu-firma.ro/wp-admin*
Settings:
  Cache Level: Bypass
  Disable Performance
  Disable Apps

Rule 2 - Bypass cache wp-login:

URL pattern: *exemplu-firma.ro/wp-login.php*
Settings:
  Cache Level: Bypass
  Security Level: High

Rule 3 - Cache everything pe static assets:

URL pattern: *exemplu-firma.ro/wp-content/uploads/*
Settings:
  Cache Level: Cache Everything
  Edge Cache TTL: 1 month
  Browser Cache TTL: 1 week

Dependency: ordinea contează. Cloudflare aplică prima regulă care matchuiește - așază regulile în ordinea importanței (bypass admin/login primele, cache aggressive ultimul).

9. Firewall și verificare finală

În Security - WAF, activează Managed Ruleset (default ON). În Security - Settings:

• Security Level: Medium. High blochează prea mult, Low e laxă.
• Bot Fight Mode: ON. Blochează scrapers (Ahrefs, Semrush - whitelist IP-ul dacă-l folosești tu).
• Challenge Passage: 30 minutes.

Pentru rate limiting pe wp-login (bruteforce), free are 10.000 requests/lună - suficient pentru site mic:

Rule: Block bruteforce wp-login
If request matches: URI Path equals /wp-login.php
And request method equals POST
Then: Block, when rate exceeds 5 requests per 1 minute

Verificare finală cu curl:

curl -I https://exemplu-firma.ro/

Output așteptat:

HTTP/2 200
server: cloudflare
cf-cache-status: DYNAMIC
cf-ray: 8a1b2c3d4e5f6789-OTP
strict-transport-security: max-age=15552000

Pentru un asset static cacheable:

curl -I https://exemplu-firma.ro/wp-content/uploads/2026/05/logo.webp

Output așteptat după al doilea hit:

cf-cache-status: HIT
age: 47

Dacă vezi cf-cache-status: MISS mereu, ai una din: headers Cache-Control: no-cache setați de WordPress plugin, URL cu query string și Caching Level setat pe No Query String, sau Development Mode lăsat ON.

Greșeli frecvente la migrare

💡 Pro tip dev: înainte să schimbi nameserverele, exportă DNS-ul vechi într-o zone file. Pe Cloudflare ai buton "Export DNS records" după import. Salvează local - dacă trebuie să revii la providerul vechi, ai backup. Pentru cPanel, secțiunea "Zone Editor" - "Export Records".

Lista celor mai frecvente moduri în care setup-ul Cloudflare îți sparge ceva:

1. Orange-cloud pe MX sau pe A-ul de mail. Emailul nu mai vine. Soluția: gri cloud pe MX și pe orice A subdomain folosit pentru mail (mail, smtp, imap, pop, webmail). Verifică cu dig MX exemplu-firma.ro și trimite email de test.

2. Records TXT pierdute la import. SPF lipsă = mailuri marcate spam. DKIM lipsă = aceeași problemă. DMARC lipsă = fără protecție spoofing. Soluția: după scan, deschide consola DNS veche side-by-side și verifică fiecare TXT.

3. Flexible SSL cu redirect HTTPS pe origin. Redirect loop infinit ("ERR_TOO_MANY_REDIRECTS"). Soluția: schimbă pe Full (strict), instalează Let's Encrypt pe origin.

4. Cache pe /wp-admin sau /wp-login. Pagini admin cached, nu poți loga. Soluția: Page Rule cu Bypass pe /wp-admin/* și /wp-login.php.

5. HSTS activat prea agresiv. Include subdomains fără SSL pe toate subdomeniile - browser refuză HTTP pe ele 6-12 luni. Soluția: începe cu max-age scurt, crește progresiv.

6. Domain validation Let's Encrypt eșuează după Cloudflare. Dacă certbot pe origin folosește HTTP-01, Always Use HTTPS poate intercepta. Soluția: DNS-01 challenge sau Page Rule pentru /.well-known/acme-challenge/* cu SSL Off.

WordPress specifics și verificare

Pe origin: în wp-config.php activează FORCE_SSL_ADMIN și setează WP_HOME / WP_SITEURL cu https://. În .htaccess păstrează canonical redirect, GZIP/Brotli și evită Cache-Control: no-cache pe homepage.

Plugin recomandat: Cloudflare (oficial, gratuit) - sincronizează optimizări standard și îți dă buton "Purge Cache" din admin. Pentru LiteSpeed shared hosting (Hostico, cyberfolks, THC) combină LSCache plugin (origin) + Cloudflare (edge) - se completează.

Pentru test PoP geografic:

curl -s https://exemplu-firma.ro/cdn-cgi/trace | grep colo

Returnează codul aeroportuar (colo=OTP București, colo=FRA Frankfurt, colo=WAW Varșovia). Pentru impactul real pe Core Web Vitals, rulează PageSpeed Insights înainte și după și compară măsurătorile în condiții similare, fără să presupui o reducere fixă a TTFB. Vezi interpretarea raportului PageSpeed Insights.

Verificarea Cloudflare după schimbarea nameserverelor

Salvează zona DNS înainte de mutare și compară înregistrările după activare. Testează site-ul cu și fără www, emailul și serviciile pe subdomenii. Nu activa proxy-ul pentru gazdele de email ca și cum ar fi pagini web.

Pentru HTTPS, Full (strict) verifică și certificatul serverului de origine. Pregătește certificatul corect înainte să activezi modul. Dacă primești o eroare, verifică numele acoperit, expirarea și lanțul certificatului. Nu trece permanent pe Flexible doar pentru a ascunde problema. Testează și formularele, zona de administrare și paginile personalizate; o regulă de cache prea largă poate afișa informații nepotrivite altui vizitator.

Întrebări frecvente

Cât durează propagarea nameserverelor la Cloudflare?

Pentru .ro la RoTLD tipic 2-6 ore, în cazuri rare 24 ore. Pentru .com/.net global 1-4 ore. Cloudflare verifică la fiecare oră și trimite email de confirmare când detectează schimbarea. Până atunci status rămâne "Pending Nameserver Update". Nu este anormal să dureze 8 ore.

Scade SEO-ul dacă pun Cloudflare?

Nu, dimpotrivă. Google a confirmat că nu penalizează CDN-uri și că TTFB redus + Core Web Vitals îmbunătățit sunt factori de ranking. Singurul caz în care vezi scădere temporară: schimbarea IP-ului public declanșează recrawl. În 7-14 zile traficul revine și tipic crește. Verifică că nu blochezi Googlebot în Bot Fight Mode (Cloudflare îl whitelistează automat).

Emailul nu mai funcționează după Cloudflare, ce fac?

Trei verificări în ordine: dig MX exemplu-firma.ro returnează MX-ul corect (dacă nu, adaugă manual); recordul A pentru mail.exemplu-firma.ro este pe gri cloud (dacă e orange, comută); SPF/DKIM/DMARC prezente ca TXT (dig TXT exemplu-firma.ro și dig TXT _dmarc.exemplu-firma.ro).

Pot folosi Cloudflare Free pe magazin WooCommerce?

Da, cu două precauții: Page Rule bypass cache pe /cart, /checkout, /my-account, /wp-admin, /wp-login.php. Pentru trafic mare pe campanii Black Friday și garanții anti-bot suplimentare, Pro merită pentru WAF custom rules. Sub 1.000 vizitatori/zi, Free e suficient.

Cum verific că SSL funcționează corect end-to-end?

Test cu SSL Labs (ssllabs punct com slash ssltest). Target: grade A sau A+. Verifică certificat (Cloudflare Inc), TLS 1.3, suite-uri suportate. Pentru Full (strict), verifică și origin: curl -I --resolve exemplu-firma.ro:443:IP_ORIGIN https://exemplu-firma.ro/.

Ce fac dacă trebuie să revin la DNS-ul vechi?

Schimbă nameserverele înapoi la cele vechi la registrar (de aceea ai salvat zone file backup). Propagare 2-24 ore. Cloudflare nu șterge zona, doar încetează să o servească - poți reveni oricând.

Concluzie

Cloudflare Free este una din puținele oferte tech pe care le recomand fără rezerve oricărui owner de site mic, indiferent de stack. Setup-ul corect ia 30-45 minute, beneficiile (TTFB, SSL, DDoS) sunt măsurabile imediat și nu te costă nimic. Cele 4 capcane clasice (orange cloud pe MX, TXT records pierdute, Flexible SSL cu redirect loop, cache pe admin) sunt ușor de evitat cu pașii de mai sus.

Trade-off final: capeți performanță în schimbul unei dependințe noi - dacă Cloudflare are incident global (s-a întâmplat de 2-3 ori în ultimii 5 ani), site-ul tău cade cu ei. Pentru un IMM, riscul este acceptabil; pentru sisteme critical (bancă, medical), arhitectura trebuie să includă fallback DNS și origin direct accesibil.

După setup: configurează UptimeRobot gratuit pe domeniul tău pentru notificare când ceva pică. Verifică lunar Cloudflare Analytics - rata efectivă de cache și cererile blocate. La un an, reevaluează dacă merită Pro - tipic nu.

Surse

• developers.cloudflare.com/fundamentals/

• developers.cloudflare.com/ssl/origin-configuration/ssl-modes/

• developers.cloudflare.com/cache/concepts/

• developers.cloudflare.com/waf/managed-rules/

• developers.cloudflare.com/dns/zone-setups/full-setup/

• letsencrypt.org/docs/

• httparchive.org/reports/state-of-the-web

• Cloudflare, Full (strict) - developers.cloudflare.com/ssl/origin-configuration/ssl-modes/full-strict/