Une boutique rapide et sécurisée avec Cloudflare gratuit

Cloudflare se place entre vos visiteurs et votre serveur. Son offre gratuite rend une boutique PrestaShop ou WooCommerce à la fois plus rapide et mieux protégée: certificat HTTPS, protection contre les attaques DDoS, pare-feu, filtrage des robots, y compris par pays, et cache des images, styles et scripts au plus près des visiteurs. Encore faut-il la régler correctement: quelques mauvais choix suffisent à couper les e-mails ou à bloquer les paiements. Voici la méthode, avec les pièges que je rencontre le plus souvent.

1. Ajouter le domaine et vérifier les DNS

Après avoir créé un compte et ajouté votre domaine (offre Free), Cloudflare importe vos enregistrements DNS. Relisez-les un par un, car c’est là que tout se joue:

• nuage orange (trafic qui passe par Cloudflare) uniquement pour le site lui-même: le domaine principal et www;
• nuage gris (DNS seulement) pour tout le reste: serveur de messagerie (mail), FTP, enregistrements de signature des e-mails (DKIM) et services tiers.

Un serveur de messagerie mis par erreur derrière le nuage orange, et votre logiciel de messagerie ne trouve plus le serveur; une signature DKIM derrière le nuage orange, et vos e-mails risquent de finir en spam. Vérifiez aussi que les enregistrements SPF, DKIM et DMARC ont bien été recopiés, sans doublon.

Ensuite seulement, remplacez les serveurs de noms chez le gestionnaire de votre domaine par ceux indiqués par Cloudflare.

2. Régler le chiffrement

• Mode SSL/TLS Full (strict) si votre hébergeur fournit un certificat valide, ce qui est le cas de la plupart aujourd’hui. Évitez le mode « Flexible »: la liaison entre Cloudflare et le serveur n’est plus chiffrée, et il provoque souvent des pages qui se rechargent en boucle.
• Activez « Always Use HTTPS » et « Automatic HTTPS Rewrites ».
• Côté PrestaShop, vérifiez que le SSL est activé sur tout le site (Paramètres de la boutique › Général).

3. Résister aux attaques DDoS

Une attaque DDoS consiste à inonder un site de requêtes, envoyées par des milliers de machines, jusqu’à ce que le serveur ne réponde plus. Pour une boutique, c’est du chiffre d’affaires perdu tant que dure l’attaque.

• La protection contre les attaques DDoS est incluse dans l’offre gratuite, sans limite de volume. Elle s’applique dès que le site passe par le nuage orange: rien à régler.
• Si une attaque passe quand même, le mode « I’m Under Attack » présente une courte vérification à chaque visiteur, le temps que l’attaque cesse. Désactivez-le ensuite: il ralentit l’arrivée sur le site.
• La protection est d’autant plus efficace que l’adresse IP réelle du serveur reste discrète. Sur un hébergement mutualisé, ce n’est pas toujours possible (la messagerie est souvent sur le même serveur), mais Cloudflare reste un premier rempart très efficace.

4. Bloquer les robots des pays où vous ne vendez pas

Une grande partie des robots qui scannent les boutiques à la recherche d’une faille, testent des mots de passe ou aspirent le catalogue viennent de pays où la plupart des boutiques belges et françaises ne vendent pas, comme la Chine ou la Russie. L’offre gratuite permet de les arrêter avant qu’ils n’atteignent votre serveur, avec une règle personnalisée du pare-feu (WAF):

1. Dans Cloudflare, ouvrez les règles de sécurité du domaine et créez une règle personnalisée.
2. Choisissez le champ Country (pays), l’opérateur is in (fait partie de), puis les pays concernés.
3. Choisissez l’action: Block pour bloquer, ou Managed Challenge pour présenter une vérification. Un vrai visiteur passe la vérification, un robot est arrêté.

Quelques précautions:

• ne bloquez que des pays où vous n’avez ni clients ni fournisseurs; en cas de doute, préférez la vérification au blocage;
• ne bloquez jamais les pays d’où viennent les serveurs de vos prestataires (paiement, transporteurs, marketplaces) ni ceux de Google, en général l’Europe et les États-Unis;
• consultez les journaux de sécurité de Cloudflare les jours suivants: ils montrent ce qui a été arrêté, et permettent de corriger une règle trop large.

5. Protéger les accès sensibles

Les autres règles de l’offre gratuite servent à protéger ce qui intéresse le plus les attaquants:

• présenter une vérification aux visiteurs du dossier d’administration de PrestaShop, ou de la page de connexion de WordPress;
• limiter les tentatives répétées sur les pages de connexion;
• bloquer les requêtes vers des fichiers qui n’existent pas sur votre boutique (par exemple wp-login.php sur une boutique PrestaShop), typiques des robots d’attaque.

6. Attention aux appels de serveur à serveur

Votre boutique ne reçoit pas que des visiteurs. Les prestataires de paiement envoient des notifications de paiement, votre ERP ou vos marketplaces appellent son API, certains modules vérifient leurs licences. Ces appels viennent de robots, et certaines protections anti-robots les bloquent.

Le « Bot Fight Mode » de l’offre gratuite ne permet pas de faire d’exceptions. S’il est activé, testez une vraie commande payée et vérifiez que la commande passe bien au statut « payé ». En cas de doute, laissez-le désactivé: la boutique reste protégée par les autres règles.

7. Gagner en vitesse sans casser la boutique

• Le cache de Cloudflare garde les images, styles et scripts dans plus de 300 villes dans le monde, au plus près de vos visiteurs: il fonctionne dès l’activation, et votre serveur est d’autant soulagé.
• Ne mettez pas en cache tout le HTML avec une règle « tout mettre en cache »: panier, compte client et commande sont des pages personnelles.
• Laissez actives la compression Brotli et HTTP/3: les pages arrivent plus vite, surtout sur mobile.
• Désactivez Rocket Loader: il modifie le chargement des scripts et casse souvent des fonctions du thème, des modules ou du paiement.

8. Faire voir la vraie adresse IP des visiteurs

Derrière Cloudflare, le serveur voit par défaut l’adresse de Cloudflare au lieu de celle du client. Les journaux, la géolocalisation, les outils anti-fraude et les limites de connexion en dépendent. Beaucoup d’hébergeurs restaurent la vraie adresse automatiquement; sinon, demandez-leur d’utiliser l’en-tête CF-Connecting-IP.

9. Vérifier après la mise en place

• le site s’affiche en HTTPS, avec et sans www;
• une commande complète passe, paiement compris, et la confirmation arrive par e-mail;
• vous recevez toujours les e-mails envoyés à votre adresse sur le domaine;
• le back-office fonctionne normalement, imports et exports compris.

En cas de souci grave, l’option « Pause Cloudflare on Site », dans la vue d’ensemble du domaine, fait repasser le trafic directement par votre serveur, le temps de corriger.