Configurare Cloudflare

Cloudflare è un servizio che protegge i siti web dagli attacchi, accelera il caricamento delle pagine e migliora la sicurezza complessiva.

Funzionalità principali:

• Blocco di bot dannosi, attacchi DDoS e spam
• Caching dei file statici (CSS, JS, immagini) su server in tutto il mondo
• Protezione dalle minacce a livello di rete
• Certificati SSL/TLS gratuiti e molto altro

Elenco completo dei piani e delle funzionalità: Cloudflare Plans & Pricing
Supporto e documentazione: Cloudflare Help Center

Per la massima protezione e le migliori prestazioni, adotta questo approccio a più livelli:
Cloudflare → firewall Fornex → il tuo server

Questa configurazione:

• Filtra le minacce evidenti a livello di Cloudflare
• Limita il traffico in entrata ai soli IP di Cloudflare tramite il firewall Fornex
• Blocca l'accesso diretto al tuo server dall'internet pubblico

Passaggio 1. Creare un account Cloudflare

1. Vai su cloudflare.com e clicca su Sign Up.
2. Scegli un piano (il piano gratuito è sufficiente per iniziare).
3. Inserisci email e password, poi verifica il tuo account.

Registrazione a Cloudflare

Passaggio 2. Aggiungere il dominio

1. Inserisci il nome del dominio e clicca su Continue.
2. Cloudflare analizza i tuoi record DNS esistenti (richiede circa 1–2 minuti).
3. Al termine, clicca su Continue.

Aggiunta del dominio

Passaggio 3. Verificare e configurare i record DNS

Cloudflare importa automaticamente i tuoi record DNS attuali.
Controlla che tutti i record essenziali siano presenti (A, CNAME, MX, TXT, ecc.).

• Aggiungere i record mancanti: clicca su Add record, seleziona il tipo, inserisci nome/valore/TTL e salva.
• Per i sottodomini (es. api.example.com), aggiungi record individuali — il wildcard (*) non garantisce la protezione completa di Cloudflare.
• Modifica o elimina i record direttamente nell'interfaccia.

Quando tutto è corretto, clicca su Continue.

Configurazione DNS

Passaggio 4. Aggiornare i nameserver

Cloudflare fornisce due nuovi nameserver (es. ns1.cloudflare.com e ns2.cloudflare.com).
Accedi al tuo registrar di dominio e sostituisci i nameserver attuali con quelli di Cloudflare.

La propagazione può richiedere fino a 24 ore.
Al termine, lo stato del dominio in Cloudflare cambierà in Active.

Passaggio 5. Configurare la protezione lato server e il firewall Fornex

Per ottenere la massima protezione, configura il filtraggio su tre livelli:

1. Sul tuo server

Chiudi tutte le porte non necessarie. Tieni aperte solo quelle che utilizzi davvero:

• 80 e 443 — HTTP/HTTPS (indispensabili per il sito web)
• 22 — SSH (se lo usi)
• 21 — FTP (se lo usi)
• Porta del pannello di controllo (es. 8443 per HestiaCP, 2083/2087 per cPanel, ecc.) — se utilizzi un pannello

Per VPS: usa il firewall integrato nell'area clienti Fornex (VPS → scheda Firewall).
Per server dedicati: configura manualmente con iptables, ufw o firewalld — non è disponibile un pulsante firewall nella dashboard.

Esempio di configurazione base con ufw (consentire solo gli IP di Cloudflare):

# Consenti HTTP/HTTPS dai range Cloudflare
sudo ufw allow from 173.245.48.0/20 to any port 80,443 proto tcp
sudo ufw allow from 103.21.244.0/22 to any port 80,443 proto tcp
# ... aggiungi tutti i range da https://www.cloudflare.com/ips/

# Consenti SSH/FTP/pannello (se necessario) — preferibilmente solo dal tuo IP o da Cloudflare
sudo ufw allow from YOUR_IP to any port 22 proto tcp
sudo ufw allow from YOUR_IP to any port 21 proto tcp
sudo ufw allow from YOUR_IP to any port 8443 proto tcp  # esempio per HestiaCP

# Nega tutto il resto su queste porte
sudo ufw deny 80,443,22,21,8443
sudo ufw reload

Elenco completo e aggiornato dei range IP di Cloudflare: https://www.cloudflare.com/ips/

2. Su Fornex (solo VPS)

Area clienti → VPS → scheda Firewall:

• Crea regole che consentano il traffico in entrata solo dai range IP di Cloudflare (elenco sopra)
• Consenti le porte necessarie (80, 443, 22, 21, porta del pannello, ecc.)
• Blocca tutto il resto

Questo aggiunge un livello di protezione ulteriore — anche se qualcuno aggira Cloudflare, gli attacchi diretti all'IP del server vengono bloccati.
Sui server dedicati, tutto il filtraggio viene eseguito manualmente sul server stesso (iptables/ufw/firewalld).

3. Su Cloudflare

• Abilita il Proxy status (nuvola arancione) per tutti i record A/CNAME — il traffico passerà così attraverso Cloudflare
• In Security → WAF, abilita le Managed Rules (gratuito)
• Attiva il Bot Fight Mode o il Super Bot Fight Mode
• In SSL/TLS → Edge Certificates, imposta la modalità Full (strict)
• In Caching, abilita il caching dei file statici

Dopo aver configurato tutti e tre i livelli:

• Gli attacchi diretti all'IP del server sono bloccati dal firewall
• Cloudflare filtra la maggior parte delle minacce
• Il tuo server riceve solo traffico pulito e verificato

Verifica

• Invia una richiesta o un'email di test — controlla gli header per i marcatori Cloudflare (CF-Ray, CF-Connecting-IP)
• Prova ad accedere al sito direttamente tramite il suo IP — l'accesso deve essere bloccato
• Testa la velocità di caricamento delle pagine e la consegna delle email