Артём Савельев 
Cloudflare для сайта с аудиторией в России: как работает и что учесть
Cloudflare — самый популярный «щит» интернета: CDN, защита от DDoS и DNS в одном флаконе, с щедрым бесплатным тарифом. Но для сайта, чья аудитория живёт в России, у этой медали есть вторая сторона — от рекомендаций Роскомнадзора до тонкостей мониторинга сайта, спрятанного за прокси. Разбираем без агитации в обе стороны: как это устроено, что реально происходит и как жить, если вы уже за Cloudflare.
Как работает Cloudflare: прокси между миром и вашим сервером
Технически Cloudflare — обратный прокси. Вы переводите DNS домена на его серверы, включаете «оранжевое облачко» — и весь трафик начинает идти через сеть Cloudflare: посетитель соединяется с ближайшим её узлом, а уже узел ходит к вашему настоящему серверу (origin). Отсюда все плюсы: статика отдаётся с ближайшего к посетителю узла (классическая логика CDN, которую мы разбирали в статье про CDN), DDoS-атаки принимает на себя сеть, а не ваш VPS, реальный IP сервера скрыт от сканеров, SSL-сертификат выпускается автоматически.
И отсюда же все особенности: между вами и посетителем появляется посредник, которого вы не контролируете. Ошибки посредника становятся вашими ошибками (у Cloudflare для них отдельная серия кодов 52x — например, 521 «origin недоступен» и 524 «origin не ответил за ~100 секунд», близкий родственник 504). А доступность сайта теперь зависит от доступности сети Cloudflare для конкретного посетителя — и вот здесь начинается российская специфика.
Российская специфика: факты без паники
| Факт | Что это значит на практике |
|---|---|
| Ноябрь 2024: РКН рекомендовал владельцам ресурсов отказаться от Cloudflare из-за включённого по умолчанию расширения TLS ECH | ECH скрывает имя запрашиваемого сайта внутри TLS; такие соединения ограничиваются на сетевом оборудовании — у части пользователей сайты за Cloudflare с ECH перестают открываться |
| ECH можно выключить в настройках Cloudflare | Владельцы сайтов с российской аудиторией массово отключают ECH, чтобы вернуть доступность; это первый пункт проверки при жалобах «не открывается без VPN» |
| По сообщениям СМИ, трафик Cloudflare в России заметно снизился после рекомендаций РКН | Тренд налицо: часть рунет-проектов мигрирует на российские CDN/анти-DDoS или убирает прокси-режим, оставляя только DNS |
| Оплата платных тарифов российскими картами напрямую недоступна | Реалистичный сценарий для РФ — бесплатный тариф; расширенные функции (тонкий WAF, load balancing) остаются за бортом |
Итоговая честная формула: Cloudflare остаётся отличным инструментом для глобальной аудитории, но для трафика из России превращается в источник специфических рисков, которыми нужно управлять — как минимум знать про ECH и постоянно видеть, как сайт открывается из российских сетей.
Главная слепая зона: вы видите не то, что видит посетитель
Сайт за Cloudflare — это две независимые системы доступности: «посетитель → узел Cloudflare» и «Cloudflare → ваш origin». Ломаться они умеют по отдельности. Origin жив, но узел Cloudflare недоступен из сети конкретного оператора — посетители этого оператора сайт не видят, а вы (и ваш пинг до origin) не видите проблемы. Или наоборот: Cloudflare прекрасно отвечает всему миру закэшированной статикой, а origin давно лежит — и вы узнаёте об этом, только когда кто-то пытается оформить заказ. Диагностика усложняется ровно на один слой: к вопросу «работает ли сайт» добавляется вопрос «на каком из двух плеч сломалось».
Первое: проверяйте сайт через публичный домен (как посетитель), из тех стран и сетей, где живёт аудитория, — только так видно проблемы плеча «посетитель → Cloudflare». Второе: отдельно проверяйте origin напрямую (по служебному поддомену в обход прокси) — так видно второе плечо. Третье: внесите адреса своего мониторинга в исключения файрвола Cloudflare, иначе его защита от ботов однажды начнёт резать ваши же проверки — по сценарию, знакомому из статьи про WAF.
Шпаргалка: ошибки Cloudflare 52x и кто их чинит
У сайтов за Cloudflare своя серия ошибок — 52x. Посетители присылают их скриншотами, и по номеру сразу понятно, на каком плече проблема:
| Код | Что означает | Чья зона ответственности |
|---|---|---|
| 520 | Origin вернул неожиданный/пустой ответ | Ваш сервер (логи origin) |
| 521 | Origin отказал в соединении — веб-сервер лежит или файрвол режет адреса Cloudflare | Ваш сервер / файрвол |
| 522 | Таймаут TCP-соединения с origin | Сеть/файрвол origin |
| 523 | Origin недостижим (маршрут) | Хостинг/DNS origin |
| 524 | Origin не ответил за ~100 секунд — родня 504 | Медленный запрос на вашем сервере |
| 525 / 526 | Проблемы SSL-рукопожатия с origin / невалидный сертификат origin | Сертификат и SSL-настройки origin |
Общий паттерн читается сразу: почти вся серия 52x — про второе плечо, «Cloudflare → ваш сервер». То есть даже за самым надёжным прокси состояние собственного origin остаётся вашей заботой — и его надо проверять отдельно, напрямую.
Частые ошибки конфигурации
Открытый origin. Cloudflare скрывает IP сервера, но если origin отвечает любому, кто знает адрес, — злоумышленнику достаточно найти IP (по истории DNS, по почтовым заголовкам), чтобы бить в обход всей защиты. Правильно — разрешить на файрволе origin входящие только с опубликованных диапазонов Cloudflare.
Режим SSL «Flexible». Соблазнительная настройка: до Cloudflare — HTTPS, от Cloudflare до origin — открытый HTTP. Замок в браузере есть, шифрования на второй половине пути нет. Правильный режим — Full (strict) с сертификатом на origin, благо он бесплатный.
Кэш маскирует умерший origin. Статика отдаётся из кэша, главная «работает» — а всё живое (корзина, формы, кабинет) лежит вместе с origin. Проверка одной главной страницы для сайта за CDN неинформативна по определению: проверять нужно динамические страницы, которые кэш не спасёт.
Пруфен проверяет сайт из 13 точек — 11 в России, Минск и Испания, — то есть ровно из тех сетей, где у сайтов за Cloudflare и возникают региональные проблемы: разницу «в одних сетях открывается, в других нет» видно по карте проверок сразу. Адреса точек опубликованы на странице серверов мониторинга — их можно внести в исключения файрвола, а HTTP-проверки настроить и на публичный домен, и на origin напрямую, закрыв оба плеча.
Частые вопросы
Cloudflare заблокирован в России? Нет. Сервис не заблокирован; речь о рекомендации РКН отказаться от него и об ограничении соединений с расширением TLS ECH. Сайты за Cloudflare в целом открываются, но с оговорками, описанными выше, — и с риском, что регуляторная ситуация изменится.
У меня сайт за Cloudflare «не открывается без VPN». С чего начать? С отключения ECH в настройках SSL/TLS. Затем — проверить доступность из нескольких российских сетей: если проблема сохраняется у отдельных операторов, смотреть, какие узлы и маршруты им достаются.
Чем заменить Cloudflare для российской аудитории? По ролям: CDN и анти-DDoS дают российские провайдеры этих услуг, DNS — любой надёжный DNS-хостинг, автоматический SSL — Let's Encrypt напрямую. Единого «всё в одном» уровня Cloudflare на рынке РФ нет — чаще собирают из двух-трёх сервисов.
Можно ли оставить у Cloudflare только DNS, без прокси? Да — «серое облачко»: DNS обслуживает Cloudflare, а трафик идёт к вам напрямую. Уходят и плюсы (защита, кэш, скрытие IP), и минусы прокси-режима. Для многих проектов с российской аудиторией это разумный компромисс.