Cloudflare od A do Z: Kompletní průvodce pro WordPress, rychlost, DNS a zabezpečení

Cloudflare patří mezi služby, na které při správě webů narazíte velmi často. Dokáže spravovat DNS, fungovat jako reverzní proxy, ukládat obsah do cache, chránit web před některými útoky, filtrovat provoz a obsluhovat SSL/TLS.

A velkou část základních funkcí můžete využít i bez placeného tarifu.

Jenže po prvním přihlášení může Cloudflare působit poměrně komplikovaně:

DNS, proxy, cache, WAF, SSL/TLS, DNSSEC, Rules, Turnstile, APO, DDoS, Origin CA…

Co všechno tedy skutečně potřebujete?

V tomto průvodci si projdeme Cloudflare od A do Z – od připojení první domény až po rozumné nastavení pro WordPress a WooCommerce.

Cloudflare není klasický webhosting. U běžného WordPress webu zůstává web uložený na vašem původním serveru a Cloudflare funguje jako vrstva mezi návštěvníkem a hostingem. Cloudflare tuto architekturu označuje jako reverse proxy.

☁️ Co je Cloudflare?

Nejjednodušší způsob, jak Cloudflare pochopit, je představit si ho jako prostředníka.

Bez Cloudflare:

Návštěvník
     ↓
Váš hosting
     ↓
WordPress

S Cloudflare:

Návštěvník
     ↓
Cloudflare
     ↓
Váš hosting
     ↓
WordPress

Pokud je DNS záznam nastavený jako Proxied, HTTP/HTTPS požadavky procházejí sítí Cloudflare.

Cloudflare potom může například:

vrátit obsah z cache,
filtrovat podezřelé požadavky,
zmírňovat DDoS útoky,
aplikovat WAF pravidla,
obsloužit HTTPS spojení,
provést redirect,
aplikovat Cache Rules,
analyzovat provoz.

Cloudflare provozuje rozsáhlou globální síť a jeho základní funkcí je kombinovat konektivitu, výkon a zabezpečení webových aplikací.

❓ Je Cloudflare hosting?

U klasického WordPressu většinou ne.

Vaše:

PHP,
MySQL/MariaDB,
WordPress,
pluginy,
obrázky,
databáze

stále běží na vašem hostingu.

Cloudflare stojí před ním.

Proto pokud máte extrémně pomalý server, Cloudflare sice může výrazně pomoci s cachovaným obsahem, ale nezmění pomalý PHP server v kvalitní hosting.

To je důležité pochopit hned na začátku.

🌍 Co je CDN?

Jednou z nejznámějších funkcí Cloudflare je CDN – Content Delivery Network.

Představte si, že váš server je v České republice a návštěvník přijde například z USA.

Bez CDN může obsah cestovat:

USA → ČR → USA

Pokud má Cloudflare daný soubor ve své cache, může jej návštěvníkovi doručit z vhodného bodu své distribuované sítě.

Typicky například:

obrázek,
CSS,
JavaScript,
font,
další statický soubor.

Cloudflare ukládá cachovatelný obsah do geograficky distribuovaných datacenter, což může omezit počet požadavků na původní server a zkrátit cestu obsahu k návštěvníkovi.

🧠 Nejdůležitější pojem: Origin server

V dokumentaci Cloudflare budete často vidět výraz:

origin

Origin je jednoduše váš původní server.

Například:

webcrew.cz
      ↓
Cloudflare
      ↓
SERVER HOSTINGU

Server hostingu = origin server.

Tento výraz budeme používat v celém článku.

📖 DNS: základ celého Cloudflare

Než začnete nastavovat cache nebo firewall, musíte pochopit alespoň základy DNS.

DNS převádí doménu:

webcrew.cz

na IP adresu serveru.

Cloudflare přirovnává DNS k telefonnímu seznamu internetu – doména je čitelný název a DNS ukazuje, kde se konkrétní služba skutečně nachází.

🧩 Nejdůležitější DNS záznamy

A

Směřuje doménu na IPv4 adresu.

Například:

A
webcrew.cz
192.0.2.10

AAAA

Stejný princip, ale pro IPv6.

CNAME

Směřuje název na jiný hostname.

Například:

www → webcrew.cz

MX

Používá se pro e-mailové servery.

Například:

MX
mail.example.cz

TXT

Používá se například pro:

SPF,
DKIM,
DMARC,
ověřování služeb,
doménové verifikace.

A právě tady přichází jedna z nejčastějších chyb při migraci na Cloudflare:

Lidé zkontrolují web, ale zapomenou na e-mailové DNS záznamy.

Výsledkem může být funkční web a nefunkční e-mail.

🟠 Oranžový vs šedý obláček

Tohle je jedna z nejdůležitějších věcí v celé administraci Cloudflare.

U podporovaných záznamů uvidíte stav:

🟠 Proxied

Oranžový obláček.

Provoz jde přes Cloudflare.

Návštěvník
↓
Cloudflare
↓
Origin

Cloudflare může použít například:

cache,
WAF,
DDoS ochranu,
další proxy funkce.

⚪ DNS only

Šedý obláček.

Cloudflare pouze poskytne DNS odpověď a návštěvník se následně připojí přímo k cílovému serveru.

Cloudflare v tomto režimu HTTP/HTTPS provoz neproxyuje.

Proxy lze používat u A, AAAA a CNAME záznamů. MX a TXT jsou DNS-only. Cloudflare doporučuje proxy zapínat u A/AAAA/CNAME záznamů sloužících webovému provozu.

🚀 Jak připojit web ke Cloudflare krok za krokem

Teď prakticky.

Pokud svůj první WordPress teprve připravujete, může se vám hodit také náš kompletní průvodce Jak vytvořit WordPress web od A do Z, který řeší celý proces od domény a hostingu až po spuštění webu.

Krok 1: Vytvořte účet Cloudflare

Vytvořte si účet a přihlaste se do administrace.

Hned na začátku doporučuji zapnout 2FA.

Cloudflare doporučuje dvoufaktorové ověření všem uživatelům a zároveň doporučuje mít nakonfigurovaný více než jeden 2FA faktor a bezpečně uložené záložní kódy.

🔐 Proč řešit zabezpečení účtu hned?

Protože pokud útočník získá Cloudflare účet, může teoreticky měnit například:

DNS,
redirecty,
firewall pravidla,
proxy nastavení,
SSL konfiguraci.

Cloudflare účet je proto podobně důležitý jako:

účet registrátora domény,
hosting,
WordPress administrace.

2. Přidejte doménu

V Cloudflare zvolíte přidání nové domény.

Zadává se základní doména:

example.cz

ne:

www.example.cz

ani:

https://example.cz/

Potom Cloudflare provede kontrolu DNS záznamů.

Cloudflare upozorňuje, že automatický DNS scan nemusí objevit úplně všechny existující záznamy, takže je nutné DNS před aktivací ručně překontrolovat.

⚠️ Tohle nepřeskakujte

Porovnejte DNS u původního poskytovatele s tím, co Cloudflare importoval.

Zkontrolujte hlavně:

A,
AAAA,
CNAME,
MX,
SPF,
DKIM,
DMARC,
subdomény,
verifikační TXT záznamy.

Pokud něco chybí, přidejte to ručně.

3. Pozor na DNSSEC před změnou nameserverů

Pokud už má doména aktivní DNSSEC u současného DNS poskytovatele, věnujte tomu zvláštní pozornost.

Cloudflare při standardním onboardingu doporučuje DNSSEC před změnou nameserverů vypnout, protože jinak může po změně vzniknout problém s dostupností domény. Po aktivaci Cloudflare jej můžete znovu správně zapnout.

4. Změňte nameservery

Cloudflare vám přidělí své autoritativní nameservery.

Například:

alice.ns.cloudflare.com
bob.ns.cloudflare.com

Ty zadáte u registrátora domény místo původních nameserverů.

Cloudflare poté začne fungovat jako autoritativní DNS poskytovatel domény. Změna nameserverů je u běžného full setupu základním krokem aktivace.

📬 Neměním tím hosting?

Ne.

Nameserver není hosting.

Měníte pouze místo, které říká internetu:

„Kam jednotlivé služby této domény směřují?“

Web může dál běžet například u stejného českého hostingu.

5. Zkontrolujte proxy

Typické webové záznamy:

A       @       192.0.2.10
CNAME   www     example.cz

mohou být:

🟠 Proxied

Ale například:

MX
mail
DKIM
SPF
DMARC

se řeší jako DNS záznamy bez HTTP proxy.

🔒 SSL/TLS: velmi důležitá část nastavení

Jakmile Cloudflare stojí mezi návštěvníkem a hostingem, existují dvě spojení:

Návštěvník
    ↓ HTTPS
Cloudflare
    ↓ HTTPS
Origin

A právě proto Cloudflare nabízí několik SSL/TLS Encryption Modes.

❌ Off

Bez šifrování.

Pro moderní běžný web nedává smysl.

Cloudflare tento režim nedoporučuje.

⚠️ Flexible

Spojení:

Návštěvník
↓ HTTPS
Cloudflare
↓ HTTP
Server

Návštěvník má HTTPS, ale spojení Cloudflare → origin šifrované není.

Navíc pokud origin automaticky přesměrovává HTTP na HTTPS, Flexible může způsobit redirect loop. Cloudflare jej také nedoporučuje pro aplikace pracující s citlivými informacemi.

Pro normální WordPress web bych se mu pokud možno vyhnul.

🟡 Full

Návštěvník
↓ HTTPS
Cloudflare
↓ HTTPS
Origin

Komunikace s originem je šifrovaná, ale Cloudflare platnost certifikátu originu striktně neověřuje.

✅ Full (strict)

Pro běžný správně nakonfigurovaný WordPress web je to obvykle moje doporučená varianta.

Návštěvník
↓ HTTPS
Cloudflare
↓ HTTPS + ověřený certifikát
Origin

Origin musí používat platný odpovídající certifikát – například certifikát od veřejné CA nebo Cloudflare Origin CA.

Cloudflare přímo doporučuje Full (strict) jako nejbezpečnější volbu, kdykoliv je její použití možné.

🛡️ Cloudflare Origin CA

Pokud má být origin přístupný primárně přes Cloudflare, můžete použít také Cloudflare Origin CA Certificate.

Ten zabezpečuje spojení:

Cloudflare ↔ origin

a je kompatibilní s Full (strict). Origin CA je dostupný napříč Free, Pro, Business i Enterprise plány.

Pozor ale:

Pokud Cloudflare obejdete a přistoupíte přímo na server s Origin CA certifikátem, běžný prohlížeč jej nemusí považovat za veřejně důvěryhodný.

To je očekávané chování.

🔐 Always Use HTTPS

Další užitečná funkce:

SSL/TLS → Edge Certificates → Always Use HTTPS

Cloudflare potom přesměruje HTTP požadavky na HTTPS.

Například:

http://webcrew.cz

→

https://webcrew.cz

Funkce je dostupná na všech hlavních plánech. Cloudflare zároveň upozorňuje, že vytváření duplicitních HTTPS redirectů zároveň na originu může v některých konfiguracích vést k redirect loopům.

🔧 Automatic HTTPS Rewrites

Cloudflare umí pomoci také s některými případy mixed content.

Například stránka běží přes HTTPS, ale obrázek se načítá:

http://example.cz/image.jpg

Automatic HTTPS Rewrites se může pokusit URL přepsat na HTTPS, pokud je daný zdroj přes HTTPS dostupný.

Není to ale náhrada za opravu špatných URL přímo ve WordPressu.

🔐 DNSSEC

Jakmile je web správně připojený, doporučuji znovu aktivovat DNSSEC.

DNSSEC přidává kryptografické podpisy k DNS datům a pomáhá ověřit, že odpověď skutečně pochází z očekávaného autoritativního zdroje a nebyla cestou změněna.

⚡ Cache: jedna z nejsilnějších funkcí Cloudflare

Cache znamená, že Cloudflare nemusí při každém požadavku sahat až na váš server.

Bez cache:

Návštěvník
↓
Cloudflare
↓
Hosting
↓
Soubor
↓
Cloudflare
↓
Návštěvník

S cache:

Návštěvník
↓
Cloudflare Cache
↓
Návštěvník

To může:

snížit zatížení serveru,
snížit množství přenesených dat,
zrychlit doručování obsahu.

Cloudflare Cache je dostupná na všech plánech a umožňuje také vlastní Cache Rules.

🖼️ Co Cloudflare běžně cachuje?

Typicky statické soubory.

Například:

.jpg
.png
.webp
.css
.js
.svg

Dynamické WordPress HTML má trochu jinou logiku.

A právě zde přichází na řadu například APO nebo vlastní Cache Rules.

📌 Co je Cache Hit?

Pokud uvidíte:

CF-Cache-Status: HIT

znamená to zjednodušeně:

Cloudflare už obsah měl ve své cache.

📌 Co je MISS?

CF-Cache-Status: MISS

Cloudflare jej v daném místě neměl a musel si jej vyžádat.

🧹 Purge Cache

Když změníte obsah a Cloudflare stále vrací starou verzi, můžete cache vyčistit.

Cloudflare umožňuje purge například:

konkrétní URL,
hostname,
prefixu,
tagu,
celé cache.

Cloudflare doporučuje, pokud je to možné, purge konkrétního souboru/URL místo zbytečného vymazání úplně všeho.

🚫 Pozor na „Purge Everything“

Funguje.

Ale neklikejte na něj automaticky pokaždé, když změníte jeden obrázek.

Po vymazání celé cache musí Cloudflare velkou část obsahu znovu získávat z originu.

Když potřebujete aktualizovat například:

https://web.cz/wp-content/uploads/logo.webp

je vhodnější vyčistit přímo daný zdroj.

🏗️ Cache Rules

Cloudflare dnes umožňuje pomocí Cache Rules poměrně přesně řídit:

co se smí cachovat,
co se nesmí cachovat,
Edge Cache TTL,
Browser TTL,
práci s query stringy,
další chování.

Více odpovídajících Cache Rules se může skládat a při konfliktu může rozhodnout později aplikované pravidlo, takže pořadí pravidel je důležité.

🛒 Pozor na WordPress a WooCommerce

Tady už musíme být opatrní.

Nechceme například cachovat personalizovaný obsah:

/wp-admin/
/wp-login.php/

A u WooCommerce například:

/cart/
/checkout/
/my-account/

podle skutečné struktury vašeho e-shopu.

Proč?

Protože košík uživatele A nesmí být obsloužen uživateli B.

Stejně tak nechceme cachovat:

přihlášenou administraci,
zákaznický účet,
checkout,
personalizovaný obsah.

Pokud provozujete e-shop, stejnou pozornost jako cache věnujte také checkoutu a výběru platební brány v ČR, protože platební stránky a návratové URL patří mezi části webu, u kterých je potřeba velmi pečlivě kontrolovat cache, redirecty i zabezpečení.

🚀 Co je Cloudflare APO?

Pro WordPress existuje Automatic Platform Optimization – APO.

Běžný Cloudflare cache systém se zaměřuje především na cachovatelné soubory.

APO jde dál a umí přes edge síť obsluhovat také dynamický WordPress HTML obsah.

Cloudflare uvádí, že APO využívá Workers k inteligentnímu cachování dynamického obsahu a může tak snížit a stabilizovat TTFB. U přihlášených uživatelů a administrátorů cache obchází.

🔌 Cloudflare WordPress plugin

Pro používání APO Cloudflare vyžaduje svůj WordPress plugin.

U Free plánu je APO samostatně dokupovaná funkce, zatímco dokumentace u Pro a vyšších plánů uvádí pokračování přímo aktivací pluginu.

⚠️ APO + caching plugin

Tady vzniká mnoho problémů.

Například:

serverová cache,
LiteSpeed Cache,
WP Rocket,
W3 Total Cache,
Cloudflare APO,

mohou pracovat současně.

To neznamená, že je kombinace vždy špatně.

Ale musíte vědět:

Která vrstva cachuje co.

Cloudflare při prvním nastavování APO doporučuje další caching pluginy nejprve vypnout, ověřit funkčnost APO a teprve potom kombinaci testovat.

⚡ Tiered Cache

U větších nebo globálních projektů můžete narazit na Tiered Cache.

Princip:

Návštěvník
↓
Edge
↓
Upper-tier Cloudflare cache
↓
Origin

Místo toho, aby desítky edge lokalit každá samostatně žádala origin o stejný soubor, mohou dotazy procházet přes vyšší cache vrstvu.

Výsledkem může být méně požadavků na origin server a vyšší cache hit ratio.

🛡️ Cloudflare a zabezpečení

Cloudflare bych rozhodně nevnímal pouze jako CDN.

Velká část platformy se týká bezpečnosti.

🌊 DDoS ochrana

DDoS útok se snaží web nebo službu zahltit obrovským množstvím provozu.

Cloudflare poskytuje automatickou DDoS ochranu napříč svými plány. Jeho dokumentace uvádí standardní neomezenou ochranu proti síťovým i HTTP DDoS útokům na všech plánech.

To je jedna z největších výhod toho, že požadavky nejprve procházejí přes Cloudflare.

🔥 WAF – Web Application Firewall

WAF kontroluje příchozí požadavky podle bezpečnostních pravidel.

Cloudflare WAF může například vyhodnocovat:

IP
↓
URL
↓
HTTP metoda
↓
hlavičky
↓
další vlastnosti požadavku

a rozhodnout například:

ALLOW
BLOCK
CHALLENGE

Cloudflare Free plán má přístup k Cloudflare Free Managed Ruleset, tedy k části spravovaných WAF pravidel.

🎯 Vlastní bezpečnostní pravidla

Velmi užitečná mohou být vlastní pravidla.

Například:

Pokud URL = /wp-login.php
a požadavek vypadá podezřele
→ Managed Challenge

Nebo:

Pokud IP = zakázaná IP
→ Block

Při tvorbě pravidel ale buďte opatrní.

Špatně nastavený firewall může zablokovat:

zákazníka,
API,
webhook,
platební bránu,
monitoring,
vyhledávač,
vlastní administraci.

⏱️ Rate Limiting

Rate limiting umožňuje omezit množství požadavků odpovídajících určité podmínce.

Typickým příkladem je ochrana:

/wp-login.php

před velkým počtem přihlašovacích pokusů.

Cloudflare uvádí rate limiting mimo jiné jako způsob ochrany login endpointu proti brute-force útokům nebo omezení počtu API požadavků jednoho klienta.

🤖 Bot Fight Mode

Další část ochrany se zaměřuje na automatizovaný provoz.

Ne každý bot je samozřejmě škodlivý.

Existují:

✅ vyhledávače
✅ monitoring
✅ legitimní API klienti

ale také:

❌ scraper boti
❌ credential stuffing
❌ automatické útoky
❌ spamovací nástroje

Cloudflare může podle použitého bezpečnostního produktu u podezřelého provozu aplikovat například Managed Challenge.

🧩 Cloudflare Turnstile

Jedna z funkcí, kterou mám pro WordPress formuláře rád, je Cloudflare Turnstile.

Je to alternativa k tradičním CAPTCHA řešením.

Může chránit například:

přihlášení,
registraci,
kontaktní formulář,
komentáře,
vlastní formuláře.

Turnstile nabízí režimy:

Managed,
Non-Interactive,
Invisible.

Cloudflare jako doporučenou výchozí možnost uvádí Managed režim, který podle rizika rozhoduje, zda je potřeba uživatelská interakce.

⚠️ Sitekey nestačí

Při vlastní implementaci Turnstile nestačí pouze zobrazit widget v HTML.

Token je potřeba ověřit na serveru přes Siteverify.

Cloudflare výslovně upozorňuje, že bez serverové validace není implementace dokončená a útočník ji může obejít.

🦠 Zastaví Cloudflare malware?

Tohle je velmi důležité:

Ne nutně.

Cloudflare může pomoci:

blokovat část útoků,
filtrovat provoz,
chránit origin,
omezit boty.

Ale pokud už máte například:

/wp-content/uploads/backdoor.php

Cloudflare není náhradou za:

malware scanner,
kontrolu WordPress souborů,
kontrolu databáze,
aktualizace,
incident response.

Pokud máte podezření, že už byl web kompromitovaný, projděte náš návod Jak rozpoznat malware na webu, kde jsou popsané varovné signály napadeného WordPressu i kontrola souborů, uživatelů a databáze.

🔐 Cloudflare nenahrazuje zabezpečení WordPressu

Ani nejlepší Cloudflare konfigurace nevyřeší:

heslo admin123,
zranitelný plugin,
neaktualizovaný WordPress,
ukradený FTP účet,
škodlivou šablonu.

Cloudflare je další bezpečnostní vrstva.

Ne jediná vrstva.

Kompletní preventivní postup rozebíráme v článku Jak zabezpečit WordPress, kde najdete aktualizace, 2FA, zálohy, ochranu loginu a další opatření.

🕵️ Skryjte a chraňte origin

Cloudflare chrání provoz pouze tehdy, pokud skutečně prochází přes Cloudflare.

Pokud útočník zná původní IP adresu serveru a server přijímá přímé požadavky odkudkoliv, může se pokusit Cloudflare obejít:

Útočník
────────────→ Origin
      X Cloudflare

Cloudflare proto mezi doporučeními pro lepší DDoS ochranu uvádí také omezení přímého veřejného přístupu k originu.

🛡️ Authenticated Origin Pulls

Pokročilejší možností je Authenticated Origin Pulls – AOP.

Pomáhá origin serveru ověřit, že HTTPS požadavek skutečně přišel ze sítě Cloudflare.

AOP funguje jako další vrstva nad Full/Full (strict) a může pomoci zabránit přímému obejití Cloudflare.

Pro běžný sdílený hosting ale nemusíte mít možnost konfiguraci serveru takto upravovat.

🔁 Redirect Rules

Cloudflare můžete použít také pro redirecty.

Například:

www.example.cz
→
example.cz

nebo:

/stary-clanek/
→
/novy-clanek/

Cloudflare dnes doporučuje pro redirecty především Single Redirects a Bulk Redirects podle typu použití.

📦 Bulk Redirects

Pokud například migrujete web a máte stovky či tisíce starých URL:

/stara-1/ → /nova-1/
/stara-2/ → /nova-2/
/stara-3/ → /nova-3/

mohou být Bulk Redirects velmi praktické.

Redirect proběhne na Cloudflare ještě před odesláním požadavku na origin.

🔍 Cloudflare a SEO

Cloudflare vám automaticky nezajistí:

„první místo v Googlu“.

Tak SEO nefunguje.

Může ale pomoci s technickými aspekty, například:

HTTPS,
dostupností,
výkonem,
rychlejším doručováním některého obsahu,
stabilitou při vysokém provozu.

Výkon a technický stav jsou pouze části celého SEO procesu. Pokud chcete web zkontrolovat komplexně, použijte náš kompletní SEO checklist, ve kterém řešíme obsah, technické SEO, interní odkazy, indexaci i UX.

🎨 Cloudflare a UX

Web může být nádherný.

Pokud ale návštěvník:

čeká,
dostává chyby,
vidí nekonečný loading,
narazí na agresivní challenge při každé návštěvě,

výsledná zkušenost nebude dobrá.

Proto nastavení bezpečnosti neplatí:

čím agresivnější, tím lepší.

Musíte hledat rovnováhu mezi:

BEZPEČNOST
     ↕
POUŽITELNOST

Problematiku použitelnosti podrobněji rozebíráme v článku UX chyby, které odrazují návštěvníky, protože i špatně nastavené bezpečnostní prvky mohou vytvořit další překážku před konverzí.

🛒 Cloudflare pro WooCommerce

Cloudflare funguje také s WooCommerce.

Jen je nutné správně zacházet s dynamickými stránkami.

Zvláštní pozornost věnujte:

/cart/
/checkout/
/my-account/

a také:

session cookies,
AJAX požadavkům,
REST API,
platebním webhookům,
callback URL.

💳 Cloudflare a platební brány

Představme si:

WooCommerce
↓
Platební brána
↓
platba
↓
webhook
↓
WooCommerce

Pokud bezpečnostní pravidlo zablokuje webhook platební brány, může nastat situace:

zákazník zaplatil, ale WooCommerce nedostal potvrzení.

Proto po zapnutí nového WAF nebo rate-limit pravidla vždy testujte:

úspěšnou platbu,
neúspěšnou platbu,
webhook,
návratovou URL,
refundaci.

Jak samotné platební řešení vybrat rozebíráme v našem velkém srovnání Platební brány v ČR.

🔌 Cloudflare API

Cloudflare není potřeba spravovat pouze ručně přes dashboard.

Velkou část platformy lze ovládat přes API.

Například:

DNS,
cache purge,
pravidla,
Turnstile,
další nastavení.

Pro nové integrace je lepší používat API Tokens s omezenými oprávněními než legacy Global API Key. Cloudflare samo doporučuje používat API tokeny, kdykoliv je to možné, právě kvůli jemnějšímu řízení oprávnění.

🔑 Nepoužívejte jeden všemocný token na všechno

Pokud automatizace potřebuje pouze:

Purge Cache

nedávejte jí oprávnění:

změnit DNS celého účtu.

Používejte princip minimálních oprávnění.

Například:

Token A
→ DNS pouze webcrew.cz

Token B
→ Cache purge

Token C
→ Read Analytics

Pokud jeden token unikne, minimalizujete rozsah škody.

🤖 Cloudflare + automatizace

API je velmi zajímavé i pro automatizace.

Například:

WordPress
↓
publikace článku
↓
webhook
↓
automatizace
↓
Cloudflare API
↓
vyčistit cache konkrétní URL

Nebo:

monitoring
↓
nalezen problém
↓
Make
↓
Cloudflare API
↓
změnit pravidlo

Pokud vás podobné workflow zajímá, navazuje na náš průvodce Automatizace pomocí Make.com, kde ukazujeme práci s webhooky, API, WordPressem a dalšími službami.

👨‍💻 A kde se hodí JavaScript?

Cloudflare ekosystém nabízí také vývojářské nástroje, kde už se znalost JavaScriptu může velmi hodit.

Pokud teprve začínáte s programováním webových aplikací, můžete si nejprve projít JavaScript od základů a následně lépe pochopíte práci s requesty, response, API a logikou webových aplikací.

🧯 Under Attack Mode

Cloudflare obsahuje také Under Attack Mode.

Není to režim, který bych doporučil nechat bezdůvodně aktivní permanentně.

Je určený hlavně pro situace, kdy web čelí zvýšenému škodlivému provozu a potřebujete rychle zvýšit úroveň ochrany.

Challenge totiž může znamenat další tření pro skutečné návštěvníky.

Používejte ho tedy jako nástroj pro konkrétní situaci, ne jako univerzální „turbo security“.

📊 Security Events

Pokud začnete používat bezpečnostní pravidla, sledujte jejich výsledky.

Nestačí nastavit:

BLOCK

a zapomenout.

Kontrolujte:

co bylo blokováno,
odkud požadavky chodí,
která pravidla reagovala,
zda mezi nimi nejsou legitimní služby.

To je velmi důležité zejména po nasazení:

WAF,
rate limitingu,
vlastních pravidel,
challenge.

📈 Analytics

Cloudflare vám zároveň poskytuje další pohled na provoz webu.

Můžete sledovat například:

provoz,
požadavky,
cache,
bezpečnostní události,
DNS.

Neberte ale Cloudflare Analytics jako automatickou náhradu za všechny ostatní analytické systémy.

Cloudflare vidí provoz z perspektivy své infrastruktury, zatímco nástroj používaný pro marketingovou analytiku může řešit úplně jiné otázky.

⚠️ Nejčastější chyby při nastavování Cloudflare

1. Přepnutí nameserverů bez kontroly DNS

Výsledek:

web funguje, e-mail ne.

2. Flexible SSL na serveru, který vynucuje HTTPS

Typický výsledek:

ERR_TOO_MANY_REDIRECTS

Cloudflare přímo upozorňuje, že tato kombinace může způsobit redirect loop.

3. Cachování úplně všeho

A následně:

problém s košíkem,
problém s přihlášením,
starý obsah,
špatná session.

4. Příliš agresivní WAF

Výsledek:

web je zabezpečený tak dobře, že se na něj nedostane ani zákazník.

5. Zapomenuté platební webhooky

Platba funguje.

Cloudflare ale zablokuje callback.

WooCommerce čeká.

6. Cloudflare jako náhrada backupu

Cloudflare není vaše WordPress záloha.

7. Cloudflare jako náhrada za malware protection

Není.

8. Cloudflare jako náhrada kvalitního hostingu

Ani to není.

9. Používání Global API Key všude

Raději používejte omezené API tokeny.

10. Nezajištěný Cloudflare účet

Zapněte 2FA.

🛠️ Nejčastější problémy a jejich řešení

ERR_TOO_MANY_REDIRECTS

Nejdříve zkontrolujte:

SSL/TLS Encryption Mode

Pokud používáte Flexible a origin vynucuje HTTPS, je to velmi častý kandidát.

Správně nakonfigurovaný WordPress server bych typicky provozoval přes:

Full (strict).

🔴 Error 526

Často souvisí s Full (strict), kdy certifikát originu nesplňuje požadavky.

Cloudflare u Full (strict) vyžaduje například:

neexpirovaný certifikát,
odpovídající hostname,
důvěryhodnou CA nebo Origin CA.

Jinak mohou návštěvníci dostat chybu 526.

🟠 Error 525

Může znamenat problém SSL handshaku mezi Cloudflare a originem.

U Full režimu například origin musí přijímat HTTPS na portu 443 a prezentovat certifikát.

📄 Web ukazuje starou verzi stránky

Podezřelý je caching.

Zkuste:

cache ve WordPress pluginu,
serverovou cache,
Cloudflare cache.

A ne vždy hned:

Purge Everything.

Začněte konkrétní URL.

📧 Po migraci nefunguje e-mail

Vraťte se do:

DNS → Records

a porovnejte:

MX,
SPF,
DKIM,
DMARC,

s nastavením poskytovatele e-mailu.

🧑‍💻 Administrace se chová divně

Prověřte, zda jste omylem nezačali cachovat:

/wp-admin/
/wp-login.php

nebo další dynamické endpointy.

🚀 Moje základní konfigurace Cloudflare pro běžný WordPress

Pokud bych dnes připojoval běžný WordPress web, jako výchozí stav bych chtěl přibližně toto:

DNS

🟢 webové A/CNAME → Proxied
🟢 MX → správně nastavené
🟢 SPF → správně
🟢 DKIM → správně
🟢 DMARC → správně

SSL/TLS

🟢 Full (strict)
🟢 Always Use HTTPS

DNSSEC

🟢 aktivní po dokončení migrace

Security

🟢 DDoS ochrana
🟢 základní WAF
🟢 rozumná ochrana loginu
🟢 Turnstile podle potřeby

Cache

🟢 statické soubory
🟢 správná pravidla
🟢 žádná agresivní cache administrace

Cloudflare účet

🟢 silné heslo
🟢 2FA
🟢 omezené API tokeny

🛒 Moje základní konfigurace pro WooCommerce

Navíc bych důkladně kontroloval:

🟢 cart
🟢 checkout
🟢 my-account
🟢 cookies
🟢 REST API
🟢 AJAX
🟢 platební callbacky
🟢 webhooky
🟢 cache výjimky

A po každé zásadní změně WAF nebo cache pravidel bych provedl testovací objednávku od produktu až po potvrzenou platbu.

🔒 Cloudflare bezpečnostní checklist

⚡ Cloudflare performance checklist

Funguje cache?
Kontrolujeme CF-Cache-Status?
Nečistíme zbytečně celou cache?
Nejsou cachované personalizované stránky?
Je WordPress cache plugin kompatibilní s konfigurací?
Má APO pro náš web smysl?
Není současně aktivních několik konfliktních cache vrstev?
Měříme skutečný výkon před a po změně?

🧪 Před spuštěním vždy testujte

Nestačí:

„Cloudflare je zelený, hotovo.“

Otestujte minimálně:

Homepage

desktop + mobil.

WordPress administraci

přihlášení a odhlášení.

Kontaktní formulář

včetně doručení.

WooCommerce

pokud jej používáte.

Platební bránu

včetně webhooku.

API

pokud web nějaké používá.

Cache

anonymní vs přihlášený návštěvník.

Redirecty

HTTP → HTTPS
www → non-www nebo opačně.

❓ FAQ

Je Cloudflare zdarma?

Cloudflare nabízí Free plán, který obsahuje řadu základních DNS, CDN a bezpečnostních funkcí. Některé pokročilejší funkce nebo vyšší limity jsou dostupné v placených tarifech.

Potřebuji Cloudflare pro každý WordPress?

Ne.

WordPress může fungovat bez Cloudflare.

U řady webů ale Cloudflare nabízí užitečnou kombinaci:

DNS + CDN/cache + SSL + bezpečnostní vrstva + DDoS ochrana.

Zrychlí Cloudflare automaticky WordPress?

Může pomoci, ale výsledek závisí na konfiguraci webu, cache, hostingu a návštěvnosti.

Pokud je problém například v databázi nebo PHP procesu při každém dynamickém requestu, samotná CDN nemusí problém vyřešit.

Je Cloudflare náhrada za bezpečnostní plugin?

Ne úplně.

Obě vrstvy řeší část problémů na jiném místě.

Cloudflare:

před serverem

WordPress security:

uvnitř aplikace

Ideální je vícevrstvá ochrana.

Je Cloudflare náhrada za zálohování?

Ne.

Zálohy potřebujete nezávisle.

Jaký SSL režim nastavit?

Pro správně nakonfigurovaný WordPress:

Full (strict)

pokud origin splňuje požadavky na certifikát.

Mám používat Flexible?

U moderního webu, kde lze nastavit HTTPS přímo na serveru, bych preferoval Full (strict).

Mám zapnout APO?

Záleží na webu.

Pro obsahový WordPress může být velmi zajímavé.

U složitého WooCommerce nebo silně personalizovaného projektu bych nejprve důkladně testoval cache výjimky a celý nákupní proces.

🏁 Závěr

Cloudflare může na první pohled působit jako:

„Služba na DNS a CDN.“

Ve skutečnosti je to mnohem širší platforma.

V jednom systému můžete řešit:

🌍 DNS
⚡ CDN
📦 cache
🔐 SSL/TLS
🛡️ WAF
🌊 DDoS ochranu
🤖 ochranu proti botům
🧩 Turnstile
🔁 redirecty
🔐 DNSSEC
📊 analytiku
🔌 API
🚀 WordPress APO

A právě to dělá Cloudflare tak zajímavým.

Zároveň ale platí:

Cloudflare není tlačítko „zapnout všechno“.

Špatně nastavená cache může rozbít WooCommerce.

Špatný SSL režim může způsobit redirect loop.

Příliš agresivní WAF může zablokovat legitimního zákazníka.

Zapomenutý DNS záznam může vyřadit e-mail.

Nejlepší přístup proto není zapnout maximální množství funkcí.

Je to:

pochopit jednotlivé vrstvy a zapnout jen to, co daný web skutečně potřebuje.

Správně nakonfigurovaný Cloudflare se potom může stát velmi silnou vrstvou mezi internetem a vaším WordPress webem.