Cloudflare ispred vašeg weba daje četiri stvari odjednom: CDN (keš statika blizu korisnika), DDoS zaštitu, WAF pravila i SSL edge. Besplatni plan je dovoljan za 90% klijenata. Ova uputa pokriva kompletno postavljanje, praktične postavke i zamke koje smo vidjeli u praksi.

1. Kreiranje računa i dodavanje domene

Registrirajte se na cloudflare.com.
Add site → unesite domenu (bez www) → odaberite Free plan.
Cloudflare skenira postojeće DNS zapise i predlaže da ih zadrži. Provjerite da su svi A, AAAA, MX, TXT, CNAME zapisi tu. Ako nešto nedostaje, dodajte ručno.
Kopirajte dva Cloudflare nameservera koja dobijete.

2. Promjena nameservera kod registrara

Kod registrara domene (ili na CARNet za .hr) zamijenite postojeće NS-ove s Cloudflare nameserverima. Primjer:

jake.ns.cloudflare.com
lucy.ns.cloudflare.com

Propagacija traje od 5 minuta do 48h (obično <1h). Dok traje propagacija, web radi normalno — dio korisnika ide novim NS-om, dio starim.

3. Proxy (oranges cloud) ili DNS-only

Svaki A / CNAME zapis ima prekidač oblaka:

Narančasta (proxied) — promet ide kroz Cloudflare (CDN, WAF, SSL).
Siva (DNS-only) — Cloudflare samo resolva DNS.

Pravilo: web i www = narančasta. MX zapisi = siva (Cloudflare ne proxy-a SMTP). Specifični subdomeni (ftp, cpanel, webmail) = siva.

4. SSL / TLS postavke

SSL/TLS → Overview:

Flexible — korisnik ↔ CF ima HTTPS, CF ↔ server je HTTP. Ne koristi! Server ne zna da je promet HTTPS → pojavljuju se mixed content i redirect loop.
Full — CF ↔ server je HTTPS, ali ne provjerava valjanost certifikata. Self-signed prolazi. Prihvatljivo za razvoj.
Full (strict) — CF ↔ server mora imati valjani certifikat. Koristite ovo u produkciji.

Edge Certificates:

Always Use HTTPS: On.
HTTP Strict Transport Security (HSTS): uključite nakon što ste sigurni da HTTPS radi 100% (HSTS je teško otkotrljati unatrag).
Minimum TLS Version: 1.2 (ili 1.3 za strože politike).
TLS 1.3: On.

5. Origin certifikat (umjesto Let's Encrypta)

Kad je sve u proxy modu, možete generirati Origin Certificate koji Cloudflare priznaje, traje 15 godina i ne troši Let's Encrypt rate limit.

SSL/TLS → Origin Server → Create Certificate.
Zadržite RSA 2048, istek 15 godina, hostnames: vasadomena.hr i *.vasadomena.hr.
Instalirajte certifikat i ključ na serveru (cPanel: SSL/TLS → Manage SSL Sites).
U Cloudflare: Authenticated Origin Pulls (opcionalno) — server prihvaća SSL connection samo s CF edge-a.

6. Page rules i redirects

Besplatan plan: 3 Page rules. Tipična upotreba:

# forsiraj HTTPS + www
http://*vasadomena.hr/*  → Forwarding URL (301) → https://www.vasadomena.hr/$2

# duži cache za asset folder
www.vasadomena.hr/assets/*  → Cache Level: Cache Everything, Edge Cache TTL: 1 month

# bypass cache za admin
www.vasadomena.hr/admin/*  → Cache Level: Bypass

Moderna alternativa su Rules → Bulk Redirects i Cache Rules — više opcija, iste postavke, fleksibilnije.

7. WAF — osnovno zaključavanje

Security → WAF:

Managed Rules: uključite (na Free planu ograničeno, ali OWASP set je tu).
Rate Limiting: jedno pravilo na Free planu — najbolje potrošiti za /wp-login.php, /admin ili /xmlrpc.php.
Custom Rules: blokirajte poznate TOR exit node-ove, threat score >40, ili geografske regije koje ne koristite.

Primjer Custom Rule: Block requests from "Threat Score" > 40.

8. Performanse

Speed → Optimization:

Auto Minify (HTML/CSS/JS) — ugasite ako koristite vlastiti build pipeline (Vite, webpack). Dvostruki minify ne pomaže, a može razbiti stvari.
Brotli: On.
Early Hints: On (ako vaš server šalje 103 Early Hints).
HTTP/3 (QUIC): On.
Polish (Pro plan) — automatska optimizacija slika.

9. Što se NE keši po defaultu

Cloudflare po defaultu keši samo statičke asete (slike, CSS, JS, fontovi). HTML, PHP output, JSON API, cookie-laden responsa ne idu u keš osim ako eksplicitno uključite Cache Everything. Zato dinamički web ne pati od "staleness" po defaultu.

10. Česte zamke

Redirect loop nakon aktivacije

SSL u Flexible modu a server radi redirect HTTP → HTTPS. Rješenje: Full (strict) + .htaccess bez redirect-a na HTTPS (Cloudflare radi redirect).

IP servera vidi se u DNS historyu

CF skriva origin IP, ali povijest DNS-a (npr. preko securitytrails.com, viewdns.info) pokazuje stari IP. Za pravu zaštitu: promijenite origin IP i ograničite firewall da prihvati samo CF IP range-ove.

Stvarni IP klijenta u log-u

Apache/nginx vidi Cloudflare IP kao klijent. Treba konfigurirati mod_remoteip (Apache) ili real_ip_module (nginx) i dodati CF IP range-ove. Cloudflare objavljuje popis na cloudflare.com/ips.

Mail ne radi nakon promjene NS-a

MX zapisi moraju biti "DNS only" (siva). Ako su narančasti, Cloudflare ih ne proxy-a (SMTP ne ide kroz HTTP proxy) i mail ide u nigdje.

Certifikat ne pokriva subdomenu

Free Universal SSL pokriva root i *.vasadomena.hr, ali ne *.sub.vasadomena.hr. Za to treba Origin Certificate s eksplicitnim hostname-om.

11. Preporuka za ozbiljnije projekte

Pro plan ($20/mj) za image optimization, mobile optimizaciju, više page rules.
Business plan za custom WAF rules i BYO certifikate.
Cloudflare Access za zero-trust admin panele — bez VPN-a, SSO login, granularne policies.

Za klijente s kompleksnijim zahtjevima (e-trgovina, SaaS) obično konfiguriramo Cloudflare zajedno s WMD hostingom — DNS, SSL, WAF, cache rules, real IP konfiguracija na origin serveru. Javite se ako trebate komplet setup ili audit postojećeg Cloudflare accounta.

Cloudflare ispred weba — kompletno postavljanje i tipične zamke