Cloudflare für Ihre Website: 10 Best Practices für Sicherheit und Geschwindigkeit

Cloudflare fungiert als Eingangstor zwischen Ihren Besuchern und Ihrer Website: Es filtert Angriffe, speichert Kopien Ihrer Dateien in der Nähe jedes Besuchers und verwaltet Ihr DNS. Viele aktivieren es, sehen, dass die Website weiterhin funktioniert, und belassen es dabei. Der eigentliche Mehrwert liegt jedoch in der Konfiguration. Dies sind die zehn Praktiken, die wir in realen Projekten umsetzen.

1. Leiten Sie Ihre DNS-Einträge über den Proxy

Im DNS-Bereich sollten die Einträge Ihrer Website (A, AAAA und CNAME) die orange Wolke anzeigen. So sprechen die Besucher mit Cloudflare und nicht mit Ihrem Server, und die echte Adresse Ihres Servers bleibt verborgen. E-Mail-Einträge (MX sowie TXT für SPF oder DKIM) laufen nicht über den Proxy: Das ist normal.

2. Verwenden Sie SSL/TLS im Modus Full (strict)

Der Modus „Flexible“ verschlüsselt nur die Strecke zwischen Besucher und Cloudflare; die Strecke zu Ihrem Server läuft unverschlüsselt. Verwenden Sie „Full (strict)“ mit einem gültigen Zertifikat auf Ihrem Server (das kann ein kostenloses Origin Certificate von Cloudflare sein). Aktivieren Sie außerdem „Always Use HTTPS“ und „Automatic HTTPS Rewrites“ und setzen Sie die minimale TLS-Version auf 1.2.

3. Aktivieren Sie HSTS, aber erst nach dem Testen

HSTS weist den Browser an, Ihre Website niemals ohne HTTPS zu öffnen. Das ist ausgezeichnet, lässt sich aber schwer rückgängig machen, wenn Sie es mit Subdomains aktivieren, die noch kein Zertifikat haben. Beginnen Sie mit einer kurzen Laufzeit, prüfen Sie, dass alles lädt, und erhöhen Sie sie danach.

4. Schützen Sie das DNS mit DNSSEC

DNSSEC signiert Ihre Einträge, damit sie unterwegs niemand fälschen kann. Bei Cloudflare aktivieren Sie es mit einem Klick und schließen die Einrichtung ab, indem Sie bei Ihrem Domain-Registrar einen DS-Eintrag hinzufügen.

5. Schalten Sie die WAF ein und ergänzen Sie eigene Regeln

Die verwalteten Regeln der Web Application Firewall (WAF) blockieren bekannte Angriffe wie SQL-Injection oder XSS. Ergänzen Sie sie durch eigene Regeln: Begrenzen Sie die Anzahl der Versuche beim Kontaktformular und bei der Anmeldung (Rate Limiting) und verlangen Sie eine Überprüfung von allen, die Administrationspfade aufrufen, die Ihre Website gar nicht verwendet.

6. Ersetzen Sie das CAPTCHA durch Turnstile

Turnstile ist die Cloudflare-Prüfung für Formulare: für echte Personen fast immer unsichtbar und kostenlos. Denken Sie daran, dass das Token auf Ihrem Server validiert wird; wenn Sie es nur auf dem Bildschirm anzeigen, kann ein Bot es umgehen.

7. Konfigurieren Sie das Caching gezielt

• Statische Dateien (Bilder, CSS, JavaScript mit eindeutigem Dateinamen): langes Caching, von mehreren Monaten bis zu einem Jahr.
• Öffentliche HTML-Seiten: kurzes Caching oder mit Revalidierung; cachen Sie niemals Seiten mit Daten aus einer Nutzersitzung.
• Nutzen Sie Cache Rules, um Ausnahmen zu definieren, zum Beispiel /admin und /api nicht zu speichern.
• Prüfen Sie den Header cf-cache-status: HIT bedeutet, dass Cloudflare aus seinem Cache geantwortet hat.

8. Fügen Sie Security-Header hinzu

Mit Transform Rules (oder direkt über Ihre eigene Website) ergänzen Sie diese Antwort-Header:

• Strict-Transport-Security: erzwingt die Nutzung von HTTPS.
• X-Content-Type-Options: nosniff, verhindert, dass der Browser Dateitypen errät.
• Referrer-Policy: strict-origin-when-cross-origin, begrenzt, was Sie beim Verlinken weitergeben.
• Permissions-Policy: schaltet Kamera, Mikrofon und Standort ab, wenn Sie sie nicht nutzen.
• Content-Security-Policy: legt fest, woher Skripte geladen werden dürfen. Sie ist die mächtigste und zugleich heikelste; beginnen Sie im Modus „Report-Only“.

9. Schützen Sie Ihre E-Mail über das DNS

Eine Domain ohne SPF, DKIM und DMARC kann gefälscht werden, um im Namen Ihres Unternehmens betrügerische E-Mails zu versenden, und Ihre legitimen Nachrichten landen häufiger im Spam. Veröffentlichen Sie alle drei TXT-Einträge und starten Sie DMARC mit „p=none“, um zu beobachten; wechseln Sie danach zu „quarantine“ und „reject“.

10. Sichern Sie den Zugang zum eigenen Konto

• Aktivieren Sie die Zwei-Faktor-Authentifizierung in Ihrem Cloudflare-Konto.
• Verwenden Sie API-Tokens mit minimalen Berechtigungen statt des Global API Key.
• Schützen Sie Testumgebungen und interne Bereiche mit Cloudflare Access.
• Aktivieren Sie die Benachrichtigungen zu Sicherheitsereignissen und lesen Sie sie auch.

Woran Sie erkennen, dass alles passt

Testen Sie Ihre Domain bei SSL Labs (Verschlüsselung), auf securityheaders.com (Header) und in PageSpeed Insights (Geschwindigkeit). Wenn etwas rot erscheint, wissen Sie, welche Praktik dieser Liste noch fehlt. Bei jedem Projekt von Diskette Studio dokumentieren wir diese Konfiguration und übergeben sie auf Ihren Namen.