Cloudflare — co to jest, jak działa i jak skonfigurować darmowy plan krok po kroku

Cloudflare to platforma, która stoi między Twoją stroną a odwiedzającymi — filtruje ruch, cache’uje zasoby statyczne (CDN), blokuje ataki DDoS, zarządza DNS i optymalizuje ładowanie strony. Używa jej ponad 20% wszystkich stron w internecie — od małych blogów po Fortune 500. I najważniejsze: darmowy plan nie ma limitu transferu ani liczby stron.

W tym poradniku wyjaśniam co Cloudflare robi, jak go podłączyć do Twojej domeny i jak skonfigurować najważniejsze ustawienia — SSL, cache, minifikację, Page Rules i zabezpieczenia.

Co daje Cloudflare — 7 funkcji w jednym

1. CDN (Content Delivery Network) — cache’uje obrazki, CSS, JS na 300+ serwerach na świecie. Odwiedzający z Warszawy dostaje pliki z serwera w Warszawie, nie z USA. Efekt: szybsze ładowanie.
2. DNS — najszybszy na świecie — Cloudflare DNS (1.1.1.1 resolver + autorytatywny DNS) jest jednym z najszybszych DNS providerów. Propagacja zmian: sekundy (nie godziny jak u rejestratorów).
3. DDoS Protection — automatycznie absorbuje ataki DDoS (nawet wielogigabitowe) bez wpływu na stronę. W darmowym planie. Bez konfiguracji.
4. WAF (Web Application Firewall) — blokuje ataki: SQL injection, XSS, brute force na wp-login. Darmowy plan: podstawowe reguły. Pro ($20/mc): zaawansowane zestawy reguł.
5. SSL/HTTPS — darmowy certyfikat SSL dla Twojej domeny (Universal SSL). Nie musisz instalować Let’s Encrypt na serwerze — Cloudflare obsługuje HTTPS za Ciebie.
6. Minifikacja i optymalizacja — automatycznie minifikuje HTML/CSS/JS, kompresuje Brotli, konwertuje obrazki do WebP/AVIF (w płatnym planie).
7. Analytics — statystyki ruchu, zagrożeń, bandwidth, cache hit ratio — bez JavaScript (privacy-friendly, nie blokowany przez ad blockery).

Darmowy vs Pro vs Business — co daje każdy plan

Darmowy plan wystarczy dla 90% stron — CDN, DNS, DDoS, SSL, minifikacja bez limitu transferu i bez opłat. Pro ($20/mc) opłaca się, gdy potrzebujesz: WAF z regułami OWASP, image optimization, zaawansowanych analytics. APO ($5/mc) to must-have dla WordPressa (cache’uje HTML na edge = TTFB 30–80 ms globalnie).

Jak podłączyć Cloudflare do domeny — krok po kroku

1. Zarejestruj się na cloudflare.com (darmowe konto).
2. Dodaj stronę — kliknij „Add a Site” → wpisz domenę (np. twojadomena.pl) → wybierz plan Free.
3. Cloudflare skanuje DNS — automatycznie importuje istniejące rekordy DNS z Twojego rejestratora. Sprawdź, czy wszystkie są poprawne (A, CNAME, MX, TXT).
4. Zmień nameservery — Cloudflare pokaże Ci 2 nameservery (np. anna.ns.cloudflare.com, bob.ns.cloudflare.com). Wejdź do panelu rejestratora domeny (nazwa.pl, OVH, home.pl) i zmień NS na te podane przez Cloudflare.
5. Poczekaj na propagację — zwykle 1–24 godziny. Cloudflare wyśle email gdy domena jest aktywna.
6. Skonfiguruj ustawienia (poniżej).

Ważne: zmiana NS na Cloudflare nie zmienia hostingu. Twoja strona nadal stoi na tym samym serwerze. Cloudflare staje się „pośrednikiem” między odwiedzającymi a Twoim serwerem — filtruje ruch i cache’uje zasoby.

Konfiguracja po aktywacji — najważniejsze ustawienia

1. SSL/TLS — szyfrowanie

Dashboard → SSL/TLS → Overview → wybierz tryb:

• Flexible — Cloudflare ↔ użytkownik: HTTPS. Cloudflare ↔ serwer: HTTP. NIE ZALECANE (dane między Cloudflare a serwerem lecą nieszyfrowane).
• Full — HTTPS wszędzie, ale Cloudflare nie weryfikuje certyfikatu serwera. OK dla testów.
• Full (strict) — HTTPS wszędzie + Cloudflare weryfikuje certyfikat serwera. ZALECANE. Wymaga certyfikatu na serwerze (Let’s Encrypt lub Cloudflare Origin Certificate).

Ustaw: Full (strict). Jeśli nie masz certyfikatu na serwerze: wygeneruj Cloudflare Origin Certificate (SSL/TLS → Origin Server → Create Certificate) — ważny 15 lat, darmowy, zainstaluj na serwerze.

2. Cache — co i jak długo cache’ować

Dashboard → Caching → Configuration:

• Caching Level: Standard (domyślne, OK)
• Browser Cache TTL: ustaw na 1 miesiąc (30 dni). Statyczne zasoby (CSS, JS, obrazki) będą cache’owane w przeglądarce odwiedzającego na 30 dni = mniej requestów = szybciej.
• Always Online: ON — jeśli Twój serwer padnie, Cloudflare serwuje cached wersję strony (odwiedzający widzą stronę, nie błąd).

3. Speed — optymalizacja

Dashboard → Speed → Optimization:

• Auto Minify: włącz HTML ✅, CSS ✅, JavaScript ✅ — minifikuje pliki (usuwa białe znaki, komentarze). Mniejsze pliki = szybsze ładowanie.
• Brotli: ON — kompresja Brotli (lepsza niż gzip, obsługiwana przez 98% przeglądarek).
• Early Hints: ON — Cloudflare wysyła „podpowiedzi” przeglądarce (jakie zasoby pobrać) zanim serwer odpowie. Przyspiesza LCP.
• HTTP/2 i HTTP/3: domyślnie włączone — nowoczesne protokoły, szybszy transfer.

4. Page Rules — 3 darmowe reguły

Page Rules pozwalają ustawić specjalne zachowanie per URL. Darmowy plan: 3 reguły. Rekomendowane:

Reguła 1: twojadomena.pl/wp-admin/*
→ Cache Level: Bypass
→ Security Level: High
(Panel WP nigdy nie cache'owany, wyższe zabezpieczenia)

Reguła 2: twojadomena.pl/wp-login.php
→ Cache Level: Bypass
→ Security Level: I'm Under Attack (opcjonalnie)
(Strona logowania chroniona przed brute force)

Reguła 3: twojadomena.pl/wp-content/uploads/*
→ Cache Level: Cache Everything
→ Edge Cache TTL: 1 month
(Obrazki/media cache'owane agresywnie na edge)

5. Security — zabezpieczenia

Dashboard → Security:

• Security Level: Medium (domyślne). Zmień na High jeśli masz dużo ataków.
• Challenge Passage: 30 minut (jak długo „zapamiętywać” zweryfikowanego użytkownika).
• Bot Fight Mode: ON — blokuje znane boty (credential stuffing, scrapers). Uwaga: może blokować też dobre boty (sprawdź logi).
• Under Attack Mode: OFF na co dzień. Włączaj ręcznie TYLKO podczas aktywnego ataku DDoS (wyświetla interstitial „checking your browser” przed załadowaniem strony).

Cloudflare APO — WordPress na sterydach ($5/mc)

APO (Automatic Platform Optimization) to dodatek specjalnie dla WordPressa, który cache’uje cały HTML na edge — nie tylko statyczne zasoby. Efekt: TTFB spada do 30–80 ms globalnie, niezależnie od tego jak wolny jest Twój hosting.

Jak działa: Cloudflare cache’uje kompletną stronę HTML i serwuje ją z najbliższego edge servera. Gdy treść się zmieni (nowy post, edycja) — WordPress automatycznie wysyła „purge” do Cloudflare (przez wtyczkę).

Konfiguracja:

1. Zainstaluj wtyczkę Cloudflare w WordPress (wordpress.org/plugins/cloudflare).
2. Zaloguj się API tokenem Cloudflare.
3. Włącz APO w ustawieniach wtyczki.
4. Gotowe — cache HTML = TTFB 30–80 ms.

$5/mc za globalny TTFB poniżej 100 ms — najtańsza i najlepsza optymalizacja wydajności, jaką możesz kupić. Dla stron z międzynarodowym ruchem: game changer.

Cloudflare a SEO — wpływ

• Prędkość (TTFB, LCP): Cloudflare obniża TTFB i poprawia Core Web Vitals — co pośrednio poprawia ranking.
• Uptime: Always Online + DDoS protection = Googlebot nigdy nie trafia na niedostępną stronę.
• HTTPS: Universal SSL = strona zawsze na HTTPS (ranking factor od 2014).
• Blokowanie botów: Bot Fight Mode może czasem zablokować Googlebot (!). Sprawdź: Security → Events → szukaj zablokowanych „Googlebot”. Jeśli blokuje: wyłącz Bot Fight Mode lub dodaj wyjątek.
• Caching a fresh content: jeśli Cloudflare serwuje cached HTML (APO) i nie purge’ujesz po aktualizacji — Googlebot może zobaczyć starą wersję. Wtyczka Cloudflare purge’uje automatycznie przy publikacji/edycji wpisu.

Najczęstsze problemy

„ERR_TOO_MANY_REDIRECTS” po włączeniu Cloudflare

Przyczyna: SSL ustawiony na Flexible, a WordPress wymusza HTTPS (redirect loop: Cloudflare → HTTP → WordPress redirect → HTTPS → Cloudflare → HTTP…). Rozwiązanie: ustaw SSL na Full (strict).

Strona pokazuje starą wersję po aktualizacji

Cache. Rozwiązanie: Dashboard → Caching → Purge Everything. Lub: Development Mode (wyłącza cache tymczasowo na 3h — do testowania zmian).

Email nie działa po przejściu na Cloudflare

Sprawdź rekordy MX — muszą być poprawnie zaimportowane. Ważne: rekordy MX nie powinny przechodzić przez proxy Cloudflare (pomarańczowa chmurka). Mail server (rekord A używany przez MX) powinien mieć szarą chmurkę (DNS only, bez proxy). Pomarańczowa chmurka na rekordzie mail = email nie działa.

Cloudflare blokuje prawdziwych użytkowników (challenge/captcha)

Security Level za wysoki lub Bot Fight Mode zbyt agresywny. Rozwiązanie: obniż Security Level na Medium lub Low. Sprawdź Security → Events — kto jest blokowany i dlaczego.

Pomarańczowa chmurka vs szara chmurka (Proxy vs DNS only)

W panelu DNS Cloudflare każdy rekord ma przełącznik chmurki:

• 🟠 Pomarańczowa (Proxied) — ruch przechodzi przez Cloudflare (CDN, cache, WAF, DDoS). Użyj dla: strony WWW (rekord A domeny).
• ⚪ Szara (DNS only) — Cloudflare tylko rozwiązuje DNS, ruch idzie bezpośrednio na serwer. Użyj dla: mail server (MX), FTP, SSH, inne usługi nie-HTTP.

Zasada: pomarańczowa dla stron WWW. Szara dla poczty, FTP, SSH i specjalnych usług.

Najczęściej zadawane pytania

Czy Cloudflare zastępuje hosting?

Nie — Cloudflare to warstwa przed hostingiem. Twój serwer nadal jest potrzebny (PHP, baza danych, wp-admin). Cloudflare cache’uje i optymalizuje to, co serwer generuje — ale sam nie hostuje strony (wyjątek: Cloudflare Pages — statyczny hosting).

Czy mogę używać Cloudflare z dowolnym hostingiem?

Tak — Cloudflare działa z każdym hostingiem na świecie. Zmieniasz NS na Cloudflare → gotowe. Nie musisz zmieniać hostingu, konfiguracji serwera ani czegokolwiek po stronie WordPressa.

Czy Cloudflare spowalnia stronę?

Paradoksalnie: przyspiesza (CDN = krótsze trasy, cache = mniej obciążenia serwera). Jedyny scenariusz spowolnienia: „Under Attack Mode” włączony bez potrzeby (dodaje 5-sekundową stronę weryfikacji). Poza tym: szybciej z Cloudflare niż bez.

Jak wyłączyć Cloudflare i wrócić do starego DNS?

Zmień NS z powrotem na nameservery rejestratora/hostingu (te, które miałeś przed Cloudflare). Propagacja: 1–24h. Cloudflare przestaje pośredniczyć. Twoja strona nadal działa — po prostu bez warstwy Cloudflare.

Cloudflare a RODO — czy dane są bezpieczne?

Cloudflare ma datacenter w UE (w tym w Polsce — Warszawa). Oferuje Data Localization Suite (dane przetwarzane tylko w EU) — ale w płatnych planach. W darmowym: dane mogą przechodzić przez serwery globalne. Dla większości stron: Cloudflare jest RODO-compliant (DPA dostępne w panelu). Dla regulowanych branż: sprawdź szczegóły na cloudflare.com/gdpr.

Podsumowanie

Cloudflare to CDN + DNS + DDoS protection + WAF + SSL w jednym — za $0 (darmowy plan bez limitu transferu). Podłączenie: zmień NS domeny na Cloudflare (15 minut). Konfiguracja: SSL Full (strict), Browser Cache 1 miesiąc, Auto Minify ON, Brotli ON. Dla WordPressa: dodaj APO ($5/mc) = TTFB 30–80 ms globalnie. Jedyne ryzyka: ERR_TOO_MANY_REDIRECTS (napraw SSL na Full strict) i blokowanie maila (szara chmurka na MX). Poza tym: nie ma powodu, żeby NIE używać Cloudflare w 2026 roku.