Cloudflare – co to jest i co realnie da Twojej firmie (8 rzeczy za darmo)

Większość ludzi poznaje Cloudflare w najgorszym możliwym momencie: kiedy pada. 18 listopada 2025 przez kilka godzin nie działał X, ChatGPT i setki tysięcy zwykłych stron. Cloudflare nazwał to później swoją najpoważniejszą awarią od 2019 roku – po raz pierwszy od ponad sześciu lat przestał płynąć główny ruch przez ich sieć.

I tu jest paradoks. To samo Cloudflare jest jednocześnie najbardziej niedocenianym darmowym narzędziem, jakie może mieć mała firma. Nie dlatego, że „przyspiesza stronę” – to akurat obiecuje każdy. Dlatego, że rozwiązuje konkretne, wkurzające problemy, za które normalnie płaci się abonament albo programiście.

Ten przewodnik nie jest encyklopedią. Jest listą ośmiu rzeczy, które możesz z Cloudflare zrobić – z czego pierwszą zrobisz dziś wieczorem w kwadrans, nie ruszając niczego w swojej stronie. Bo najważniejsza rzecz, której nie powie Ci żaden poradnik zaczynający się od „przenieś nameservery”: część najlepszych funkcji Cloudflare działa bez przenoszenia czegokolwiek.

TL;DR

• Cloudflare stoi między odwiedzającym a Twoim serwerem i po drodze filtruje, przyspiesza i chroni. Darmowy plan wystarcza małej firmie na lata.
• Turnstile (ochrona formularza przed botami) nie wymaga przenoszenia domeny. Wdrożysz go dziś, na dowolnej stronie, nie dotykając hostingu.
• Access daje logowanie do wewnętrznych narzędzi kodem z maila albo kontem Google. Bez VPN-a, bez wymyślania haseł, bez wtyczek.
• Tunnel wystawia usługę z Twojego komputera lub taniego serwera na świat, bez otwierania portów i bez stałego adresu IP.
• Email Routing robi kontakt@twojafirma.pl przekierowany do zwykłego Gmaila.
• Większość pozostałych funkcji wymaga, żeby domena była obsługiwana przez Cloudflare (wyjątek: darmowy hosting Pages i Workers). To decyzja na osobny wieczór – i nie dla każdego.
• Kiedy odpuścić: gdy nie masz komu naprawić poczty, jeśli coś pójdzie nie tak przy przenoszeniu DNS. To jest realne ryzyko tej operacji, nie straszak.

Cloudflare – co to jest i jak to działa

Wyobraź sobie, że Twoja strona to biuro w budynku. Dziś każdy, kto zna adres, wchodzi prosto pod Twoje drzwi: klient, kurier, akwizytor, złodziej i trzydzieści botów skanujących zamek.

Cloudflare to portier, którego stawiasz przed wejściem do budynku. Każdy, kto chce wejść, najpierw trafia do niego. Portier zna klientów i wpuszcza ich od razu. Kurierowi sprawdza dokumenty. Akwizytora zawraca. A pod drzwiami Twojego biura robi się pusto, bo nikt już nie wie, na którym piętrze siedzisz.

Fachowo nazywa się to reverse proxy – ruch do Twojej strony najpierw idzie do sieci Cloudflare, a dopiero potem do Twojego serwera. Z tego jednego faktu wynika wszystko inne:

• Adres Twojego serwera znika z widoku dla zwykłego ruchu. Napastnik widzi Cloudflare, nie Ciebie.
• Cloudflare może odrzucić ruch, zanim dotrze do Ciebie. Twój serwer nie zauważa nawet, że ktoś próbował.
• Kopie zdjęć i plików leżą bliżej odwiedzającego. Ktoś z Berlina nie czeka, aż dane przyjadą z Warszawy.
• Szyfrowanie HTTPS dostajesz przy okazji, bez kupowania certyfikatu.

To jest cała magia. Reszta to funkcje dobudowane wokół tego, że Cloudflare i tak już widzi cały ruch.

Jedno zastrzeżenie od razu, bo to najczęściej powtarzany mit o Cloudflare: ukrycie adresu serwera nie jest szczelne. Adres wycieka przez starą historię DNS, przez rekordy poczty, przez publiczne rejestry certyfikatów i przez skanery, które codziennie przeczesują internet. Dlatego portier to połowa roboty. Drugą połową jest ustawienie serwera tak, żeby przyjmował ruch wyłącznie od Cloudflare – inaczej ktoś po prostu zapuka bezpośrednio i ominie całą ochronę. Wrócę do tego przy zaporze.

Dlaczego akurat oni

Bo są wszędzie. Cloudflare obsługuje ruch ogromnej części internetu i ma serwery w setkach miast, w tym w Warszawie. Z tej skali robi produkt: skoro widzi ataki na miliony stron, to rozpoznaje atak, zanim dotrze do Twojej.

Ta sama skala jest jego największą wadą – wrócimy do tego w sekcji o tym, kiedy Cloudflare jest złym pomysłem.

Czy Cloudflare jest darmowy

Tak, i to nie jest darmowy plan w stylu „możesz kliknąć trzy razy, potem płać”. Dostajesz w nim rzeczy, które u innych dostawców są płatne. Certyfikat HTTPS. Ochronę przed atakami DDoS. Sieć CDN i szybki DNS. Podstawową zaporę. Ochronę formularzy. Narzędzia dostępowe dla małego zespołu. Darmowe przekierowanie poczty.

Płacić zaczynasz w trzech sytuacjach:

1. Rośniesz na tyle, że przekraczasz limity dla małych. Aktualne progi Cloudflare podaje w cenniku. Nie przepisuję ich tutaj, bo się zmieniają – a Ty i tak zobaczysz je w panelu, zanim cokolwiek zatwierdzisz.
2. Potrzebujesz funkcji dla większych. Zaawansowane reguły zapory, dłuższa historia logów, gwarancje w umowie.
3. Budujesz na Cloudflare aplikację, a nie tylko chronisz stronę. Wtedy płacisz za zużycie.

Osiem rzeczy i jedno pytanie, które o nich decyduje

Poniżej jest komplet tego, o czym mówi ten wpis – osiem funkcji, z których każda dostanie za chwilę własną sekcję. Ale zanim cokolwiek włączysz, sprawdź jedną rzecz: czy dana funkcja wymaga, żeby Twoja domena była obsługiwana przez Cloudflare. To dzieli tę listę na dwie części i decyduje, czy zrobisz coś w kwadrans, czy planujesz operację na cały wieczór.

Zapamiętaj pierwszy i ostatni wiersz. To są rzeczy, które możesz wziąć od Cloudflare, nie oddając mu kontroli nad swoją domeną.

Jak podłączyć domenę do Cloudflare – i kiedy tego nie robić

Większość funkcji z tabeli wymaga jednego: żeby zapytania o Twoją domenę obsługiwał Cloudflare. W praktyce oznacza to zmianę tak zwanych nameserwerów – adresów, które mówią światu, kto zna prawdę o Twojej domenie.

Procedura wygląda tak:

Krok, na którym ludzie tracą pocztę

Cloudflare przy dodawaniu domeny robi szybki skan istniejących ustawień. Ten skan bywa niekompletny i producent sam to przyznaje – w dokumentacji przenoszenia domeny stoi wprost, że „szybki skan nie gwarantuje znalezienia wszystkich istniejących rekordów DNS, musisz je przejrzeć”.

Co się dzieje, gdy nie przejrzysz? Najczęściej nie pada strona. Pada poczta.

Poczta chodzi po osobnych wpisach (rekordy MX i kilka pomocniczych). Jeśli skan ich nie przepisze, a Ty przełączysz nameserwery, to strona będzie działać jak gdyby nigdy nic, a maile zaczną znikać. I – co gorsze – zauważysz to po dwóch dniach, gdy klient zadzwoni z pytaniem, czemu nie odpisujesz.

Pomarańczowa chmurka, czyli proxy włączone czy wyłączone

Przy każdym wpisie DNS w Cloudflare jest ikona chmurki. Pomarańczowa znaczy „ruch idzie przez Cloudflare” (filtrowanie, cache, ukryty adres serwera). Szara znaczy „Cloudflare tylko mówi, gdzie jest Twój serwer, i się nie wtrąca”.

Domyślnie włączaj pomarańczową dla strony. Zostaw szarą dla rzeczy, które muszą łączyć się bezpośrednio – na przykład dla adresu, pod którym Twój program pocztowy odbiera maile.

Kiedy nie przenosić domeny

Są trzy sytuacje, w których lepiej odpuścić:

• Nie masz komu tego naprawić. Jeśli coś pójdzie nie tak z pocztą w środę o dziewiątej, a Ty nie wiesz, gdzie szukać – ryzyko jest większe niż zysk. Weź sam Turnstile.
• Hosting sam robi już to samo. Część polskich hostingów ma własne CDN, certyfikaty i ochronę. Dokładasz wtedy warstwę, która potrafi wejść w konflikt z tamtą.
• Masz nietypową konfigurację poczty lub integracji, której nie Ty stawiałeś. Najpierw znajdź osobę, która ją stawiała.

Koniec ze spamem w formularzu – Turnstile

To jest sekcja, od której warto zacząć, bo daje największy efekt przy najmniejszym ryzyku.

Problem znasz, jeśli masz na stronie jakikolwiek formularz. Zapytania od „firm”, które chcą Ci zrobić SEO. Zapisy na newsletter z adresów, które nie istnieją. Fałszywe leady, które zaśmiecają CRM tak, że przestajesz ufać własnym liczbom. I najgorsze: prawdziwe zapytanie od klienta, które ginie w tym szumie.

Turnstile to alternatywa dla CAPTCHY – tej irytującej siatki ze światłami i przejściami dla pieszych. Różnica jest taka, że Turnstile w większości przypadków nie każe użytkownikowi nic robić. Sprawdza w tle, jak zachowuje się przeglądarka, i przepuszcza człowieka dalej.

Dlaczego to działa na każdej stronie

Najważniejszy fakt o Turnstile: nie musisz przenosić domeny do Cloudflare. Dokumentacja mówi to wprost – Turnstile „może być osadzony na dowolnej stronie bez przepuszczania ruchu przez Cloudflare”.

To rzadkość. Dostajesz konkretne narzędzie od dużego dostawcy i nie oddajesz mu w zamian kontroli nad swoją infrastrukturą. Twoja strona zostaje tam, gdzie jest.

Trzy tryby – wybierz świadomie

Cloudflare daje trzy warianty widgetu i różnią się tym, co widzi użytkownik:

• Managed (zalecany) – sam decyduje, czy pokazać okienko do kliknięcia. Interakcji żąda tylko wtedy, gdy potrzebuje dodatkowego potwierdzenia, że to człowiek.
• Non-interactive – pokazuje widget z kręcącym się kółkiem, ale użytkownik nigdy nic nie klika.
• Invisible – działa całkowicie w tle, bez żadnego widocznego elementu.

Dla zwykłego formularza kontaktowego wybierz Managed. Invisible kusi, ale gdy coś pójdzie nie tak, użytkownik nie zobaczy żadnej informacji – po prostu formularz mu nie zadziała, a Ty nie będziesz wiedział dlaczego.

Błąd, który psuje całe zabezpieczenie

Wdrożenie ma dwie części i druga jest obowiązkowa:

1. Widget na stronie – to, co widzi użytkownik. Wklejasz fragment kodu do formularza.
2. Sprawdzenie po stronie serwera – Twój serwer pyta Cloudflare: „dostałem taki żetonik, jest prawdziwy?”.

Jeśli zrobisz tylko pierwsze, zabezpieczenie jest atrapą. Bot nie musi wypełniać Twojego formularza w przeglądarce – wysyła dane prosto do Twojego serwera, omijając widget. Dokumentacja Cloudflare nie owija tego w bawełnę: „weryfikacja po stronie serwera jest obowiązkowa”.

Dwa szczegóły, które ratują przed godziną szukania błędu: żetonik od Turnstile jest ważny pięć minut i można go użyć tylko raz. Jeśli użytkownik otworzył formularz, poszedł na kawę i wrócił – dostanie błąd. Dlatego formularz powinien umieć odświeżyć widget zamiast pokazywać czerwony komunikat bez wyjścia.

Jak to zrobić u siebie, zależnie od tego, na czym stoi strona

W tym miejscu większość poradników zostawia czytelnika ze zdaniem „wklej kod do formularza”, co osobie bez zaplecza technicznego nie mówi nic. Więc konkretnie, dwie ścieżki:

Masz WordPressa. To najprostszy przypadek i faktycznie kwadrans. Popularne wtyczki do formularzy albo mają obsługę Turnstile wbudowaną, albo dokłada się ją osobną, darmową wtyczką. Wpisujesz dwa klucze z panelu Cloudflare – jeden publiczny do widgetu, drugi tajny do sprawdzania – i to wszystko. Wtyczka robi weryfikację po stronie serwera za Ciebie, więc nie wpadasz w pułapkę z poprzedniego akapitu.

Masz stronę pisaną ręcznie albo zrobioną przez agencję. Wtedy to nie jest zadanie na wieczór dla Ciebie, tylko dwudziestominutowe zadanie dla osoby, która robiła Ci stronę. Wyślij jej jedno zdanie: „chcę Turnstile na formularzu kontaktowym, z weryfikacją tokenu po stronie serwera”. Dla programisty to komplet informacji.

Jak sprawdzić, że działa. Otwórz formularz w oknie prywatnym przeglądarki i wyślij testową wiadomość – powinna dojść. Potem zajrzyj w panel Cloudflare: przy widgecie zobaczysz statystyki rozwiązanych wyzwań. Jeśli licznik stoi na zerze mimo wysłanych zgłoszeń, widget nie jest podpięty tam, gdzie myślisz.

Czym to się różni od reCAPTCHY

Trzema rzeczami, z których dwie są praktyczne, a jedna prawna:

• Użytkownik zwykle nic nie klika. Mniej porzuconych formularzy.
• Działa niezależnie od Google. Jeśli budujesz stronę dla klienta, który konsekwentnie ogranicza usługi Google'a, to argument sam w sobie.
• Turnstile nie śledzi użytkowników na potrzeby reklam. Wymienić go w polityce prywatności i tak trzeba – ale nie dokładasz sobie przy okazji narzędzia reklamowego obcej firmy.

Logowanie bez hasła i bez VPN-a – Access

Ta sekcja rozwiązuje problem, o którym mało kto myśli, dopóki nie zrobi się nieprzyjemnie.

W każdej firmie jest kilka rzeczy, które powinny być dostępne dla trzech osób, a stoją otworem dla całego internetu. Panel do zarządzania stroną. Dashboard ze sprzedażą. Wersja testowa nowego sklepu, którą pokazujesz klientowi. Narzędzie do automatyzacji, które ktoś postawił „na chwilę” i zostało na rok.

Klasyczne rozwiązania tego problemu są albo trudne, albo upierdliwe. VPN wymaga instalowania czegoś na każdym komputerze i tłumaczenia ludziom, co mają klikać. Hasło współdzielone przez zespół zawsze kończy się na kartce, w Messengerze albo w pliku „hasła.xlsx”. Przy niektórych projektach stawiamy zwykłą prostą ochronę hasłem na poziomie serwera – działa, ale jest topornie: nie wiesz, kto wszedł, a odebranie dostępu jednej osobie oznacza zmianę hasła wszystkim.

Cloudflare Access robi to inaczej: bramkuje adres, a nie serwer. Wpisujesz adres wewnętrznego narzędzia, a zanim zobaczysz cokolwiek, dostajesz ekran logowania Cloudflare. Potwierdzasz, że to Ty, i dopiero wtedy wchodzisz.

Dlaczego to jest łatwe także dla nietechnicznych

To jest sedno. Nie musisz rozumieć sieci, certyfikatów ani tego, czym jest token. Cała konfiguracja to trzy decyzje w panelu, zadane po ludzku:

Wariant z kodem na maila jest tu bohaterem. Użytkownik podaje swój adres, dostaje sześciocyfrowy kod, wpisuje go i jest w środku. Nie ma hasła do wymyślenia, zapomnienia ani do wycieku. Osoba, która nie chce nic instalować i nie chce niczego rozumieć, przejdzie przez to bez pytania.

Druga rzecz, która zdejmuje ciężar z głowy: wszystko jest domyślnie zamknięte. W dokumentacji Cloudflare stoi, że aplikacje chronione przez Access są „deny by default” – użytkownik musi pasować do reguły wpuszczającej, żeby wejść. Nie ma sytuacji, w której zapomniałeś czegoś zablokować i dlatego jest otwarte. Jest odwrotnie: dopóki nikogo nie wpiszesz, nie wejdzie nikt, łącznie z Tobą.

Co można w ten sposób zamknąć

Kilka przykładów, od najbardziej oczywistych:

• Wersja testowa strony albo sklepu, której nie chcesz pokazywać ani klientom, ani Google.
• Makieta lub demo dla konkretnego klienta – wpuszczasz trzy adresy mailowe z jego firmy i nikogo więcej.
• Wewnętrzny dashboard z liczbami, raportami albo narzędzie do automatyzacji.
• Panel administracyjny strony. Jeśli masz WordPressa, to jest miejsce, w które boty walą nieustannie. Access potrafi postawić przed nim bramkę, ale traktuj to jako jeden z możliwych przykładów, a nie jako powód sam w sobie – są też prostsze sposoby na ochronę logowania i wrócimy do nich przy zaporze.

Przy wszystkich tych przykładach obowiązuje jeden warunek, który wynika wprost z tego, że Access bramkuje adres, a nie serwer: serwer musi przyjmować ruch wyłącznie od Cloudflare. Jeśli panel da się otworzyć, wpisując bezpośrednio adres serwera, to bramka stoi obok drzwi, a nie w nich. Jak to domknąć, opisuję przy zaporze.

Odbieranie dostępu, czyli test dojrzałości

Prawdziwą różnicę widać dopiero wtedy, gdy ktoś odchodzi z firmy albo kończy się współpraca z podwykonawcą.

Przy wspólnym haśle: zmieniasz hasło i rozsyłasz nowe wszystkim pozostałym. Przy VPN-ie: ktoś musi pamiętać, żeby usunąć konto. Przy Access: usuwasz jeden adres mailowy z reguły i ta osoba nie zaloguje się ponownie. Do tego widzisz w historii, kto i kiedy wchodził.

Jest tu jednak drugi krok, o którym większość poradników milczy, a bez którego cała operacja jest połowiczna. Usunięcie z reguły blokuje kolejne logowanie, ale nie zamyka sesji już otwartej. Ktoś, kto ma zalogowaną kartę w przeglądarce, zostaje w środku do czasu jej wygaśnięcia. Żeby odciąć naprawdę natychmiast, trzeba dodatkowo unieważnić aktywne sesje tej osoby – w panelu Cloudflare jest do tego osobna opcja przy użytkowniku i przy aplikacji.

Zapamiętaj to jako dwa ruchy, nie jeden: wypisz z reguły i unieważnij sesję. Przy kończeniu współpracy z podwykonawcą to jest różnica między „nie wejdzie” a „już nie jest w środku”.

Wystawienie usługi bez otwierania portów – Tunnel

Ten problem ma każdy, kto kiedykolwiek postawił coś u siebie: na komputerze, na serwerze w biurze, na tanim serwerze (VPS) za kilkanaście złotych miesięcznie.

Masz działającą rzecz. Widzisz ją pod adresem localhost. I teraz potrzebujesz, żeby zobaczył ją ktoś z zewnątrz – klient, na którego czeka demo, albo system, który ma wysłać powiadomienie do Twojej automatyzacji. Zaczyna się grzebanie w routerze, szukanie publicznego adresu IP, przekierowania portów i pytanie do operatora, czemu to nie działa.

Tunnel odwraca kierunek. Zamiast otwierać drzwi od zewnątrz, Twój serwer sam nawiązuje połączenie z Cloudflare i utrzymuje je. Dokumentacja opisuje to jako „połączenia wychodzące” do sieci Cloudflare, dzięki czemu podłączasz zasób „bez wystawiania publicznego adresu IP”.

Praktyczne konsekwencje:

• Nie otwierasz żadnego portu. Z zewnątrz Twoja sieć wygląda tak samo szczelnie jak wcześniej.
• Nie potrzebujesz stałego adresu IP. Działa na domowym łączu, gdzie adres zmienia się co jakiś czas.
• Dostajesz normalny adres z HTTPS, a nie losowy ciąg znaków, który jutro będzie inny.

Ten ostatni punkt to różnica wobec narzędzi typu ngrok, po które wszyscy sięgają na start. Ngrok jest świetny do sprawdzenia czegoś przez dziesięć minut. Problem zaczyna się, gdy adres ma być stały: podajesz go klientowi, wpisujesz w konfigurację innego systemu i nie chcesz, żeby przestał działać po restarcie.

Kombinacja, o którą chodzi

Tunnel i Access są zaprojektowane, żeby działać razem, i dopiero razem robią robotę:

Tunnel sprawia, że usługa z Twojego serwera jest osiągalna z internetu. Access sprawia, że osiągalna jest wyłącznie dla ludzi z Twojej listy.

Efekt: rzecz stojąca na komputerze pod biurkiem albo na najtańszym serwerze, dostępna z dowolnego miejsca na świecie, ale tylko dla trzech osób, które wskazałeś – i bez jednego otwartego portu.

Poczta na własnej domenie za darmo – Email Routing

Mała rzecz, która robi dużą różnicę w tym, jak firma wygląda na zewnątrz.

Jeśli wystawiasz faktury z adresu w stylu jan.kowalski.firma@gmail.com, to zostawiasz na stole trochę wiarygodności. Ale osobna skrzynka pocztowa na własnej domenie oznacza abonament i kolejne hasło, a często też kolejną aplikację, w którą trzeba zaglądać.

Email Routing rozwiązuje to inaczej: nie zakłada Ci skrzynki, tylko przekierowuje. Tworzysz adres kontakt@twojafirma.pl, wskazujesz, że ma trafiać do Twojego istniejącego Gmaila, i tyle. Klient pisze na firmowy adres, a wiadomość ląduje tam, gdzie i tak patrzysz. Usługa jest dostępna zarówno w planie darmowym, jak i płatnym.

Co z tym realnie robią małe firmy:

• Adresy tematyczne bez zakładania kont: faktury@, rodo@, praca@, wspolpraca@. Wszystkie do jednej skrzynki, ale każdy da się odfiltrować do osobnego folderu.
• Adresy jednorazowe do kampanii albo do partnerów. Wiesz, skąd przyszedł kontakt, bez pytania „gdzie nas Pan znalazł”.
• Porządek przy zmianach w zespole. Kiedy ktoś odchodzi, przekierowanie zmieniasz w minutę, bez migracji skrzynki.

Ochrona strony: zapora, limity i DDoS

Tu wchodzimy w rzeczy, które dzieją się w tle i których nie zauważysz – dopóki nie zajrzysz w statystyki i nie zobaczysz, ile ruchu na Twoją stronę nigdy nie było ruchem od ludzi.

Trzy warstwy, w kolejności od najbardziej automatycznej:

Ochrona przed DDoS działa sama, bez konfiguracji. Gdy ktoś próbuje zalać Twoją stronę ruchem tak, żeby przestała odpowiadać, Cloudflare odsiewa go po drodze. To jest ta rzecz, za którą w innym modelu płaci się najwięcej, a tutaj jest włączona domyślnie.

Zapora aplikacyjna (WAF) filtruje zapytania, które wyglądają na próbę włamania: nietypowe znaki w adresie, próby wstrzyknięcia kodu, znane wzorce ataków na popularne systemy. Darmowy plan daje zestaw reguł przygotowanych przez Cloudflare oraz możliwość dopisania własnych.

Limity zapytań pilnują tempa. Jeśli ktoś w minutę próbuje zalogować się czterdzieści razy, to nie jest klient, który zapomniał hasła.

Trzy reguły, które warto włączyć pierwszego dnia

Zamiast czytać dokumentację zapory od deski do deski, zrób trzy rzeczy:

1. Ogranicz tempo prób logowania na adresie panelu. To najczęstszy cel automatów. Na darmowym planie dostajesz jedną taką regułę i krótkie okno zliczania – to nie jest pełna ochrona i automat wróci po chwili, ale ścina te, które walą bez przerwy. Jeśli panel ma być naprawdę zamknięty, bramka z poprzedniej sekcji jest skuteczniejsza.
2. Zablokuj ruch z kierunków, w których nie działasz. Jeśli prowadzisz lokalną firmę i nie sprzedajesz za granicę, ruch z drugiego końca świata to w Twoim przypadku niemal wyłącznie skanery. Rób to świadomie i z głową – klient na wakacjach też jest „za granicą”.
3. Włącz powiadomienia. Żeby dowiedzieć się o nietypowym ruchu z maila, a nie z telefonu od klienta, że strona nie działa.

Bez tego kroku cała zapora jest do obejścia

To jest rzecz, której nie znajdziesz w poradnikach „skonfiguruj Cloudflare w cztery kroki”, a która decyduje o tym, czy zapora w ogóle działa.

Cloudflare filtruje ruch, który przez niego przechodzi. Jeśli ktoś pozna adres Twojego serwera – a jak pisałem na początku, da się go wyłuskać – może wysłać zapytanie prosto do niego, z pominięciem całej ochrony. Zapora, limity i ochrona przed DDoS są wtedy dekoracją.

Lekarstwo jest jedno i trzeba o nie poprosić osobę od hostingu: serwer ma przyjmować ruch z sieci Cloudflare i odrzucać resztę. Cloudflare publikuje listę swoich adresów właśnie po to. To jedna zmiana w konfiguracji, po której ochrona przestaje być opcjonalna dla napastnika.

Szybsza strona: CDN i cache

Obietnica „przyspieszymy Twoją stronę” jest najczęściej nadużywanym argumentem za Cloudflare, więc powiedzmy uczciwie, co przyspiesza, a co nie.

Przyspiesza: zdjęcia, pliki stylów, skrypty i inne rzeczy, które dla wszystkich wyglądają tak samo. Cloudflare trzyma ich kopie blisko odwiedzającego, więc nie muszą lecieć przez pół Europy. Jeśli masz dużo grafik, różnica jest odczuwalna.

Nie przyspiesza samo z siebie: strony, którą Twój serwer składa od nowa przy każdym wejściu. Sklep z koszykiem, panel po zalogowaniu, strona z treścią zależną od użytkownika. Tu Cloudflare musi zapytać Twój serwer, więc jeśli serwer jest wolny, strona dalej będzie wolna.

Stąd bierze się najczęstsze rozczarowanie: „włączyłem Cloudflare i nic się nie zmieniło”. Zwykle znaczy to, że wolne było to, czego cache nie dotyczy. Wtedy odpowiedzią nie jest kolejne narzędzie, tylko szybszy hosting albo naprawienie tego, co spowalnia stronę u źródła.

Jedyna rzecz z tej sekcji, którą na pewno będziesz musiał zrobić

Poprawiasz cennik na stronie, odświeżasz i widzisz starą wersję. Albo, gorzej, klient widzi starą, a Ty nową. To nie awaria, tylko cache: Cloudflare trzyma kopię poprzedniej wersji pliku.

Lekarstwo jest jednym przyciskiem w panelu – wyczyszczenie pamięci podręcznej (w panelu: sekcja Caching, opcja czyszczenia). Można wyczyścić wszystko albo pojedynczy adres. A jeśli akurat przebudowujesz stronę i zmieniasz coś co pięć minut, włącz na ten czas tryb deweloperski, który wyłącza cache na kilka godzin i sam się potem wyłącza.

Darmowy hosting strony i drobnych usług: Pages i Workers

Dwie rzeczy, które przydają się rzadziej niż poprzednie, ale gdy się przydają, to zastępują płatną usługę.

Workers to dziś podstawowa platforma Cloudflare do uruchamiania własnych rzeczy: hostuje stronę i obsługuje drobną logikę. Jest też starszy Pages, przeznaczony do hostowania prostych stron – robi to dobrze, ale sam Cloudflare kieruje nowe projekty do Workers, więc od tego zacznij.

Do czego to się przydaje małej firmie: strona-wizytówka, strona wydarzenia, portfolio albo landing pod kampanię, czyli wszystko, co nie potrzebuje bazy danych. Wrzucasz pliki (albo podpinasz miejsce, w którym trzymany jest kod strony) i dostajesz adres z HTTPS.

Druga rola to małe fragmenty logiki działające bez Twojego serwera. Brzmi abstrakcyjnie, więc konkretnie – tym się najczęściej łata dziury między systemami:

• przekierowanie starych adresów na nowe po zmianie strony,
• prosty pośrednik, który odbiera powiadomienie z jednego systemu, przerabia je i podaje dalej do drugiego,
• ukrycie klucza do zewnętrznej usługi, żeby nie leżał w kodzie strony widocznym dla każdego.

To jest ten moment, w którym Cloudflare przestaje być tarczą przed stroną, a staje się miejscem, gdzie coś działa. Dla większości małych firm to sekcja „dobrze wiedzieć, że jest”, a nie „zrób to w ten weekend”.

Boty AI: kto ma prawo czytać Twoją stronę

Zacznę od werdyktu, żebyś nie czytał tego z niepokojem: jeśli prowadzisz zwykłą stronę firmową bez reklam, domyślne ustawienia się dla Ciebie nie zmieniają. Możesz potraktować tę sekcję jako ciekawostkę – z jednym wyjątkiem na końcu, który dotyczy każdego, kto buduje automatyzacje. Jeśli natomiast wyświetlasz reklamy albo żyjesz z publikowania treści, to jest Twoja decyzja do podjęcia.

Przez ostatnie lata ruch na stronach zmienił skład. Obok ludzi i wyszukiwarek pojawiły się automaty zbierające treści dla modeli AI. Cloudflare postanowił to uporządkować i rozróżnia trzy rodzaje takich botów:

• Search – zbiera i indeksuje treść, żeby później umieć odpowiadać na pytania o nią.
• Agent – działa w czasie rzeczywistym w czyimś imieniu. To automat, który wchodzi na stronę, bo ktoś właśnie o coś poprosił.
• Training – pobiera treść, żeby wytrenować albo dostroić model.

W lipcu 2026 Cloudflare zapowiedział zmianę domyślnych ustawień, która weszła w życie 15 września 2026. Na stronach wyświetlających reklamy kategorie Training i Agent są domyślnie blokowane, a Search zostaje przepuszczany. Zmiana obejmuje nowe domeny podłączane do Cloudflare – jeśli podłączasz domenę teraz, te domyślne ustawienia możesz od razu zmienić w panelu.

Co to znaczy dla Ciebie jako właściciela strony

Musisz odpowiedzieć sobie na pytanie, które jeszcze dwa lata temu nie istniało: chcesz być widoczny w odpowiedziach AI czy chcesz, żeby Twoje treści nie zasilały cudzych modeli?

To są sprzeczne cele i nie da się mieć obu naraz. Jeśli zarabiasz na tym, że ludzie znajdują Twoje teksty, blokowanie wszystkiego, co ma w nazwie AI, odetnie Cię od kanału, z którego coraz częściej przychodzą pytania. Jeśli Twoją wartością są unikalne treści, za które ludzie płacą, decyzja jest odwrotna.

Cloudflare daje do tego osobne narzędzie, które pozwala podejrzeć, jakie boty AI wchodzą na stronę, i ustawić reguły dla każdego z osobna. Jest tam też sprawdzanie, czy dany automat w ogóle respektuje Twoje wytyczne, oraz mechanizm pobierania opłat za dostęp – ten ostatni na razie w ograniczonym wydaniu.

Druga strona medalu, o której nikt nie mówi

Jeśli budujesz automatyzacje, to ta zmiana dotyczy Cię podwójnie. Twój automat też jest botem – i to najczęściej w kategorii Agent, czyli tej domyślnie blokowanej.

W praktyce oznacza to, że automat, który „przez rok wchodził na stronę i pobierał dane”, nagle dostaje odmowę. Zanim uznasz, że coś się zepsuło po Twojej stronie, sprawdź, czy przypadkiem nie trafiłeś na taką bramkę.

Co z tym zrobić uczciwie – w tej kolejności:

1. Sprawdź, czy jest oficjalne API – czyli udostępniony przez właściciela sposób pobierania danych wprost, bez czytania strony. Prawie zawsze istnieje, prawie zawsze jest stabilniejsze i prawie zawsze właściciel woli, żebyś z niego korzystał.
2. Zapytaj właściciela. Przy współpracy B2B to jest jeden mail, nie projekt.
3. Uszanuj wytyczne strony. Jeśli właściciel jasno mówi „nie zbieraj stąd danych”, to obchodzenie tego jest problemem prawnym, a nie technicznym.

Nie ma tu drogi na skróty i to jest dobra wiadomość: automatyzacje budowane na uzgodnionych źródłach nie psują się w noc po zmianie ustawień u dostawcy.

Kiedy Cloudflare nie jest dobrym pomysłem

Żaden poradnik nie jest uczciwy, jeśli nie mówi, kiedy odpuścić. Są cztery takie sytuacje.

Bo to jeden punkt, przez który przechodzi wszystko. Gdy Cloudflare ma awarię, Twoja strona przestaje działać, nawet jeśli Twój serwer ma się świetnie. 18 listopada 2025 zdarzyło się dokładnie to: błąd w jednym pliku konfiguracyjnym położył główny ruch przez ich sieć, a razem z nim panel, Turnstile i logowanie przez Access. Nie da się tego obejść inaczej niż decyzją, czy akceptujesz tę wymianę: większe bezpieczeństwo na co dzień za ryzyko, że raz na kilka lat padniesz razem z dużą częścią sieci.

Warto przy tym zachować proporcje, bo prasa rzadko to robi. Kolejna głośna awaria, z lutego 2026, brzmiała groźnie w nagłówkach, a dotyczyła wąskiej grupy klientów korzystających z usługi dla dużych firm. Nie każda awaria Cloudflare jest Twoją awarią.

Bo potrafi zablokować Twoich klientów. Filtry czasem mylą się w drugą stronę i pokazują stronę weryfikacji komuś, kto po prostu chciał kupić. Zwykle to jest kwestia ustawień, ale trzeba wiedzieć, gdzie szukać, gdy klient dzwoni z pretensją.

Bo dokładasz warstwę, którą trzeba rozumieć. Gdy coś przestaje działać, masz teraz dwa miejsca do sprawdzenia zamiast jednego: swój serwer i ustawienia Cloudflare. Dla firmy bez osoby technicznej to realny koszt.

Bo poczta. To najczęstszy sposób, w jaki ta operacja kończy się źle.

Jak się wycofać

Dobra wiadomość: wyjście jest równie proste jak wejście. Wracasz do rejestratora domeny i przywracasz poprzednie nameserwery. Ruch przestaje iść przez Cloudflare.

Zanim to zrobisz, sprawdź dwie rzeczy. Czy Twój hosting nadal ma ważny certyfikat HTTPS – bo jeśli przez ostatni rok korzystałeś z certyfikatu Cloudflare, to po wyłączeniu strona może zacząć straszyć ostrzeżeniem. I czy nie zostawiasz za sobą usług, które działały tylko dzięki Cloudflare: przekierowań poczty, bramek dostępu, tuneli.

FAQ

Czy Cloudflare jest bezpieczny?

Tak, w tym sensie, że to jeden z największych dostawców ochrony na świecie i standardowe wdrożenie podnosi bezpieczeństwo strony. Jest jedno „ale” do świadomego przyjęcia: skoro ruch idzie przez ich sieć, to oni ten ruch widzą. Dla zwykłej strony firmowej to nie jest problem. Jeśli przez Twoją stronę przechodzą dane szczególnie wrażliwe, to jest temat na rozmowę o zgodności, a nie decyzja do podjęcia przy okazji.

Ile kosztuje Cloudflare?

Dla małej firmy zwykle zero. Darmowy plan obejmuje ochronę, certyfikat, CDN, DNS i podstawowe narzędzia dostępowe. Płatne plany zaczynają się tam, gdzie kończą się limity dla małych albo gdzie potrzebujesz funkcji dla większych organizacji. Aktualne progi sprawdzisz w cenniku Cloudflare – zmieniają się na tyle często, że nie ma sensu przepisywać ich tutaj.

Jak włączyć Cloudflare?

Zakładasz konto, dodajesz domenę, sprawdzasz przepisane wpisy DNS i zmieniasz nameserwery u rejestratora domeny. Cała operacja to kilkanaście minut pracy i od kilkunastu minut do doby czekania. Najważniejszy jest krok trzeci, czyli sprawdzenie wpisów – opisałem go wyżej.

Jak wyłączyć Cloudflare?

Przywracasz stare nameserwery u rejestratora. Jeśli chcesz tylko chwilowo wyłączyć filtrowanie bez rezygnacji z konta, przestaw chmurkę przy wpisie DNS z pomarańczowej na szarą – wtedy ruch idzie prosto do Twojego serwera.

Dlaczego widzę stronę Cloudflare zamiast strony, którą chciałem otworzyć?

Jesteś po drugiej stronie tego mechanizmu: właściciel strony ma włączoną ochronę, a Twoje połączenie wydało się jej podejrzane. Najczęstsze przyczyny to VPN, nietypowe ustawienia przeglądarki, rozszerzenia blokujące skrypty albo adres IP, z którego wcześniej szedł niechciany ruch. Zwykle pomaga wyłączenie VPN-a i odświeżenie strony.

Czy muszę przenosić domenę, żeby chronić formularz przed spamem?

Nie. Turnstile działa na dowolnej stronie, niezależnie od tego, kto obsługuje Twoją domenę. To jedyna funkcja ochronna z tego przewodnika, która nie wymaga żadnych zmian w DNS – i dlatego właśnie od niej warto zacząć. Bez zmian w DNS obejdą się jeszcze Pages i Workers, ale to już hosting, a nie ochrona tego, co masz.

Czy Cloudflare jest zgodny z RODO?

To pierwsze pytanie, które zadaje polski przedsiębiorca, i zasługuje na konkret zamiast wymijającej odpowiedzi. Puszczając ruch przez Cloudflare, powierzasz mu przetwarzanie danych – więc potrzebujesz z nim umowy powierzenia. Cloudflare taką umowę udostępnia i akceptuje się ją w panelu, bez negocjacji i bez prawnika. Dla zwykłej strony firmowej standardowy komplet to: zaakceptowana umowa powierzenia, wpis w rejestrze czynności przetwarzania i wzmianka w polityce prywatności.

Osobna sprawa to miejsce przetwarzania. Jeśli Twoja branża wymaga, żeby ruch nie opuszczał Unii, Cloudflare ma do tego osobną, płatną opcję – wtedy przestaje to być decyzja „przy okazji” i warto ją omówić z osobą od zgodności.

A co z 1.1.1.1 i aplikacją WARP?

To inne produkty tej samej firmy i najczęstsze źródło zamieszania. 1.1.1.1 to publiczny serwer DNS, a WARP to aplikacja na telefon i komputer – oba są dla Ciebie jako użytkownika internetu, nie jako właściciela strony. Nie mają związku z niczym, co opisuję w tym wpisie, i nie trzeba ich mieć, żeby korzystać z pozostałych funkcji.

Czy Cloudflare przyspieszy mój sklep?

Częściowo. Przyspieszy ładowanie zdjęć i plików, które dla wszystkich wyglądają tak samo. Nie przyspieszy generowania stron z koszykiem, kontem klienta i stanami magazynowymi – te muszą powstać na Twoim serwerze. Jeśli sklep jest wolny „w środku”, odpowiedzią jest szybszy hosting, a nie kolejna warstwa przed nim.

Podsumowanie: trzy rzeczy na dziś wieczór

Zanim przejdziemy do działania, jedno zdanie domknięcia. Osiem rzeczy, które Cloudflare daje małej firmie za darmo, to: (1) ochrona formularza przed botami, (2) logowanie do wewnętrznych narzędzi bez VPN-a, (3) wystawienie usługi bez otwierania portów, (4) poczta na własnej domenie, (5) zapora i limity zapytań, (6) przyspieszenie strony przez cache, (7) kontrola nad tym, które boty AI czytają Twoje treści, (8) hosting prostej strony i drobnej logiki. Pierwsza i ostatnia nie wymagają ruszania domeny.

Jeśli masz przeczytać ten tekst i nic nie zrobić, to szkoda Twojego czasu. Więc konkretnie, w kolejności rosnącego ryzyka:

Dziś, kwadrans, zero ryzyka: włącz Turnstile na formularzu kontaktowym. Nie ruszasz domeny ani hostingu. Pamiętaj o sprawdzeniu po stronie serwera – bez niego to atrapa.

W ten weekend, godzina, małe ryzyko: zrób zrzut ekranu wszystkich swoich wpisów DNS i zapisz go w bezpiecznym miejscu. Nawet jeśli nigdy nie przeniesiesz domeny do Cloudflare, ten jeden plik uratuje Cię przy każdej przyszłej migracji.

Gdy będziesz miał spokojne popołudnie, większe ryzyko i największy zysk: przenieś domenę i zamknij przez Access te dwa czy trzy adresy, które od zawsze stoją otworem, choć nie powinny.

I jedna rzecz na koniec, która jest właściwą lekcją z tego wpisu. Cloudflare jest pomyślany tak, żebyś oddał mu wszystko: ruch, domenę, pocztę, hosting. Nie musisz. Możesz wziąć z niego dokładnie te dwie czy trzy rzeczy, które rozwiązują Twój problem, i zostawić resztę u siebie – tak też da się z niego korzystać przez lata.