Cloudflare se place entre vos visiteurs et le serveur de votre site. Imaginez la réception d’un immeuble de bureaux : chaque visiteur passe devant elle avant de monter. Elle garde à portée de main les documents qu’on lui demande souvent, refuse l’entrée aux indésirables et ne dit à personne à quel étage se trouve votre bureau. Votre site est toujours au même endroit. Simplement, plus personne n’y entre sans passer par l’accueil.
Ce que fait Cloudflare, concrètement
D’abord, Cloudflare devient le carnet d’adresses de votre domaine, le DNS. C’est lui qui répond quand un navigateur demande où se trouve votreentreprise.ca, et qui indique aussi où livrer vos courriels.
Ensuite, il garde des copies des fichiers qui changent peu (images, feuilles de style, scripts, polices) dans son réseau, présent dans plus de 340 villes, dont Montréal et Toronto. Un visiteur de Québec ou de Gaspé reçoit ces fichiers d’un serveur proche, et votre propre serveur a moins de travail. Par défaut, les pages elles-mêmes (le HTML) ne sont pas gardées en copie : elles viennent toujours de votre serveur.
Il protège aussi. Cloudflare absorbe les attaques par déni de service, sans limite de volume, quelle que soit l’offre. Il filtre une partie des robots malveillants, et il cache l’adresse réelle de votre serveur. Il fournit enfin un certificat HTTPS gratuit, et Turnstile, sa protection gratuite pour les formulaires, que nous comparons à celle de Google dans notre article Turnstile ou reCAPTCHA.
Ce que l’offre gratuite couvre
Pour un site de PME, l’offre gratuite fait l’essentiel : DNS, copies des fichiers dans le réseau, HTTPS, protection contre les attaques par déni de service et règles de pare-feu de base. Les offres payantes ajoutent des règles plus fines, de meilleures statistiques et du soutien.
Une option payante mérite d’être connue pour WordPress : Automatic Platform Optimization (APO), à 5 $ US par mois sur l’offre gratuite. Elle garde en copie les pages HTML elles-mêmes, sauf pour les visiteurs connectés. APO demande l’extension Cloudflare pour WordPress. Si votre serveur garde déjà les pages en cache et que vos visiteurs sont surtout au Québec, elle apporte peu : nous nous en passons. Elle se justifie quand l’hébergement n’offre pas de cache de pages, quand les visiteurs viennent de partout dans le monde, ou pour encaisser des pics de trafic.
Ce que Cloudflare ne règle pas
Cloudflare ne rend pas rapide un site lent. Si votre serveur met trois secondes à fabriquer une page, il les met encore, puisque les pages ne sont pas en copie par défaut. Une page lourde de scripts reste lourde. Le problème se règle dans le thème et sur le serveur. Cloudflare est une couche de plus devant un site sain, pas un pansement pour un site malade.
Il ne remplace pas non plus les mises à jour. Une faille dans une extension WordPress s’exploite souvent avec des requêtes qui ressemblent à du trafic normal. Le pare-feu en arrête une partie. Pas toutes.
Les pièges les plus courants
Cloudflare se règle en quelques clics. C’est aussi ce qui le rend facile à mal régler. Voici les erreurs de réglage les plus courantes :
- Le chiffrement « Flexible ». Il chiffre la connexion entre le visiteur et Cloudflare, mais pas celle entre Cloudflare et votre serveur. Si le serveur redirige déjà vers HTTPS, le site tourne en boucle et devient inaccessible. Cloudflare lui-même recommande les modes « Full » ou « Full (strict) ».
- Les optimisations automatiques activées sans test. Rocket Loader, par exemple, change l’ordre de chargement des scripts, et un menu ou un formulaire peut cesser de fonctionner. Cloudflare conseille de le désactiver au moindre problème de JavaScript.
- Une règle qui garde en copie toutes les pages, sans exception. Le panier d’un visiteur, la page de compte ou un formulaire peuvent alors s’afficher avec des données périmées.
- Des enregistrements oubliés au moment de passer le domaine chez Cloudflare. Il suffit d’un enregistrement de courriel manquant pour que les messages n’arrivent plus.
- Un compte au nom d’une ancienne agence ou d’un ancien employé. Le jour où il faut changer un réglage, ou simplement l’adresse du serveur, personne n’a la clé.
Ce dernier piège est le plus courant, et le plus facile à éviter. Le compte Cloudflare doit être à votre nom. Votre prestataire y est invité comme membre, avec les droits dont il a besoin, et il en sort le jour où vous changez de prestataire. Notre détecteur d’hébergement vous dit au passage si votre site est derrière Cloudflare : il le signale au lieu d’afficher l’hébergeur.
Mettre Cloudflare en place, dans l’ordre
Si vous le faites vous-même, l’ordre compte plus que les réglages.
Créez d’abord le compte au nom de l’entreprise, avec une adresse courriel qui ne partira pas avec un employé, et activez la double authentification. Ajoutez ensuite le domaine. Cloudflare importe les enregistrements DNS qu’il trouve, mais pas forcément tous : comparez-les un par un avec ceux de votre fournisseur actuel, en particulier ceux du courriel. Si le DNSSEC est activé chez votre registraire, désactivez-le avant de changer quoi que ce soit, sinon le domaine peut devenir injoignable.
Vient alors la bascule : chez votre registraire, vous remplacez les serveurs de noms par les deux que Cloudflare vous indique. Cloudflare prévient que la mise à jour peut prendre jusqu’à 24 heures. Faites-le en début de semaine, pas un vendredi soir.
Une fois le domaine actif, réglez le chiffrement sur « Full (strict) », forcez le HTTPS, puis testez le site tel quel. Les optimisations viennent ensuite, une à la fois, avec un test des formulaires, des menus et du panier après chacune. Enfin, invitez votre prestataire comme membre du compte plutôt que de lui donner votre mot de passe.
Faut-il mettre Cloudflare devant votre site?
Pour la plupart des sites WordPress de PME, oui : l’offre gratuite apporte une protection et une rapidité qu’on paierait cher autrement. À deux conditions. Quelqu’un qui sait ce qu’il fait le configure et vérifie le site après chaque réglage. Et si votre équipe informatique gère déjà le domaine et les courriels, elle est dans la boucle avant tout changement de DNS.
Quand nous optimisons la vitesse d’un site, nous proposons Cloudflare une fois les correctifs faits à la source, et seulement si votre équipe informatique est d’accord.
