Cloudflare Nedir? Web Sitesi Güvenliği için Kurulum Rehberi

Web sitenizin önüne yerleştireceğiniz bir katman; siteyi hızlandırabilir, ücretsiz SSL sağlayabilir, kötü niyetli trafiği süzebilir ve saldırı anında sunucunuzu koruyabilir. Cloudflare bu katmanın en bilinen örneğidir ve temel özelliklerinin önemli bir kısmı ücretsiz plan ile kullanılabilir. Bu yazıda Cloudflare'in ne olduğunu, nasıl çalıştığını ve bir KOBİ web sitesi için adım adım güvenli bir kurulumun nasıl yapılacağını anlatıyoruz.

Kısa cevap: Cloudflare, sitenizin önünde çalışan bir CDN ve güvenlik katmanıdır; ücretsiz planda CDN, Universal SSL, DDoS koruması, temel WAF kuralları ve Turnstile sunar. Güvenli kurulumun kritik adımları: SSL modunu Full (strict) yapmak, sunucuyu sadece Cloudflare IP'lerine açmak, yönetim paneline ek kural koymak ve DNS kayıtlarını eksiksiz taşımaktır.

Cloudflare nedir, nasıl çalışır?

Cloudflare, sitenizin DNS'ini yöneten ve ziyaretçi ile sunucunuz arasına giren bir ters vekil sunucu (reverse proxy) ağıdır. Alan adınızın ad sunucularını Cloudflare'e yönlendirdiğinizde, proxy'lenen kayıtlara gelen trafik önce Cloudflare'in dünya genelindeki veri merkezlerinden geçer. Bu sayede:

• Önbellekleme (CDN): Görsel, CSS ve JS gibi statik dosyalar ziyaretçiye yakın veri merkezinden sunulur; sunucunuzun yükü azalır.
• Gizlenen sunucu IP'si: Ziyaretçiler sunucunuzun gerçek IP'sini değil, Cloudflare'in IP'lerini görür (bunun işe yaraması için ek önlemler gerekir, aşağıda anlatıyoruz).
• Filtreleme: Kötü niyetli istekler sunucunuza ulaşmadan engellenebilir.

Ücretsiz planda neler var?

Cloudflare'in plan içerikleri zaman içinde değişebilir; güncel listeyi resmî plan sayfasından kontrol edin. Yazının yazıldığı dönemde ücretsiz planın öne çıkan özellikleri şunlardır:

Adım adım güvenli kurulum

1. Siteyi ekleyin ve DNS kayıtlarını kontrol edin

Cloudflare'e alan adınızı eklediğinizde mevcut DNS kayıtlarınız taranır. Bu taramada eksik kalan kayıt olabilir; özellikle e-posta (MX, SPF, DKIM, DMARC) kayıtlarını mevcut sağlayıcınızla karşılaştırın. Örneğin Google Workspace kullanıyorsanız e-posta kayıtlarının eksiksiz taşındığından emin olun.

2. Ad sunucularını değiştirin

Alan adını aldığınız firmanın panelinden ad sunucularını Cloudflare'in verdiği adreslerle değiştirin. Yayılım genellikle kısa sürer, ancak birkaç saat sürebilir.

3. Proxy durumunu doğru ayarlayın

Web sitesi kayıtları (A, AAAA, CNAME) için turuncu bulut (proxied) açık olmalıdır. E-posta sunucusu gibi web dışı hizmetlere işaret eden kayıtlar ise genellikle sadece DNS (gri bulut) olarak kalmalıdır.

4. SSL/TLS modunu "Full (strict)" yapın

Bu en kritik ayardır. "Flexible" modda ziyaretçi ile Cloudflare arası şifreli olur, ama Cloudflare ile sunucunuz arası şifresiz kalabilir. Sunucunuzda geçerli bir sertifika kurup (Let's Encrypt veya Cloudflare Origin sertifikası) modu Full (strict) olarak ayarlayın. Ardından "Always Use HTTPS" seçeneğini açın.

5. Sunucu IP'sini koruyun

Saldırgan sunucunuzun gerçek IP'sini bilirse Cloudflare'i atlayarak doğrudan sunucuya saldırabilir. Bunu önlemek için:

• Sunucu güvenlik duvarında web portlarını (80/443) sadece Cloudflare IP aralıklarına açın.
• Eski DNS kayıtları, e-posta başlıkları veya alt alan adları üzerinden IP'nin sızmadığını kontrol edin.

6. Yönetim panellerini koruyun

Özel güvenlik kurallarıyla yönetim yollarına (örneğin /admin veya /wp-admin) erişimi belirli IP'lerle sınırlayabilir, ek doğrulama isteyebilir veya bu yollar için hız sınırlaması uygulayabilirsiniz.

7. Formlara Turnstile ekleyin

İletişim ve teklif formları spam botlarının ilk hedefidir. Turnstile, kullanıcıyı resim seçtirmeden bot doğrulaması yapar. Doğrulama sonucunu mutlaka sunucu tarafında da kontrol edin.

8. Önbellek kurallarını gözden geçirin

Statik dosyalar için uzun önbellek süresi verin; ancak yönetim paneli, sepet, ödeme ve üye alanları gibi kişiye özel sayfaların önbelleğe alınmadığından emin olun. Hız tarafındaki etkisi için Core Web Vitals rehberimize bakabilirsiniz.

Kurulum sonrası kontrol listesi

• Site http:// ile açıldığında https:// adresine yönleniyor mu?
• SSL modu Full (strict) mı ve tarayıcıda sertifika uyarısı yok mu?
• E-posta gönderme ve alma sorunsuz çalışıyor mu?
• Sunucu, Cloudflare dışından gelen web isteklerini reddediyor mu?
• Yönetim paneli için ek koruma kuralı aktif mi?
• Formlarda bot doğrulaması çalışıyor mu?
• Kişiye özel sayfalar önbelleğe alınmıyor mu?

Cloudflare her şeyi çözmez

Cloudflare güçlü bir ön kalkandır, ama sitenizin kendi güvenliğinin yerini tutmaz. Güncel olmayan bir eklenti, zayıf bir yönetici şifresi veya güvensiz bir dosya yükleme özelliği hâlâ risk oluşturur. Sunucu güncellemeleri, yedekleme, güçlü şifreler ve iki adımlı doğrulama gibi temel önlemler için KOBİ siber güvenlik kontrol listemizi okuyun.

DNS taşıma sırasında dikkat edilmesi gerekenler

Cloudflare'e geçişte en sık yaşanan sorunlar web sitesinde değil, e-posta ve yan hizmetlerde ortaya çıkar. Geçişten önce şu hazırlığı yapın:

1. Mevcut kayıtları dışa aktarın: Eski DNS sağlayıcınızdaki tüm kayıtların ekran görüntüsünü veya dışa aktarımını alın.
2. Karşılaştırın: Cloudflare'in taradığı kayıtları bu listeyle satır satır karşılaştırın.
3. Alt alan adlarını unutmayın: Yönetim paneli, test ortamı, e-posta istemci ayarları (autodiscover gibi) ve doğrulama kayıtları (TXT) eksik kalabilir.
4. TTL'yi önceden düşürün: Geçişten bir gün önce eski sağlayıcıda TTL değerlerini kısaltmak, olası düzeltmelerin daha hızlı yayılmasını sağlar.
5. DNSSEC: Eski sağlayıcıda DNSSEC açıksa, geçiş öncesinde kapatılması ve Cloudflare'de yeniden yapılandırılması gerekebilir; aksi hâlde alan adı çözümlenemeyebilir.

Güvenlik kuralları için örnek senaryolar

Kuralları önce "izle" veya "zorla (challenge)" modunda deneyin; gerçek kullanıcıları engellemediğinden emin olduktan sonra "engelle" moduna geçin.

Saldırı anında ne yapmalı?

Sitenize anormal trafik geliyorsa veya site yavaşladıysa:

1. Güvenlik olaylarını inceleyin: Cloudflare panelindeki olay günlüklerinden trafiğin nereden ve hangi yollara geldiğini görün.
2. "Under Attack" modunu değerlendirin: Bu mod tüm ziyaretçilere kısa bir tarayıcı doğrulaması uygular; geçici olarak kullanılmalıdır.
3. Hedefli kural yazın: Saldırının yoğunlaştığı yol veya kaynak için özel bir engelleme ya da hız sınırlaması kuralı ekleyin.
4. Sunucuyu kontrol edin: Sunucu IP'si sızmışsa saldırı Cloudflare'i atlıyor olabilir; güvenlik duvarı kurallarını gözden geçirin.
5. Kayıt tutun: Olayın zamanını, etkisini ve alınan önlemleri not edin; olay sonrası değerlendirmede işinize yarar.

Performans ayarları

• Önbellek seviyesi: Statik dosyalar için standart önbellek; HTML önbelleklemeyi sadece kişiye özel içerik olmayan sayfalarda değerlendirin.
• Tarayıcı önbellek süresi: Sürümlenmiş statik dosyalar için uzun süre verin.
• Sıkıştırma: Brotli genellikle varsayılan olarak etkindir; kontrol edin.
• HTTP/3: Destekleyen tarayıcılarda bağlantı kurulumunu hızlandırabilir.
• Önbelleği temizleme: Site güncellemesinden sonra değişen dosyaların önbelleğini temizlemeyi bir yayın adımı hâline getirin.

Kimler için uygun, kimler için dikkat gerektirir?

Kurumsal tanıtım siteleri, bloglar, e-ticaret siteleri ve API'ler Cloudflare'den genellikle fayda sağlar. Buna karşın gerçek zamanlı oyun sunucuları, özel portlarda çalışan uygulamalar veya çok büyük dosya dağıtımı gibi senaryolar ek yapılandırma ya da farklı ürünler gerektirebilir. Altyapınızın ayrıntılarına göre karar vermek için bir uzmanla değerlendirme yapmak faydalıdır. KVKK açısından, trafiğin yurt dışındaki veri merkezlerinden geçebileceğini veri envanterinizde belirtmeyi unutmayın (KVKK kontrol listemiz).

Cloudflare'in işletmeler için diğer kullanışlı araçları

Web sitesi korumasının yanında Cloudflare, küçük işletmelerin işine yarayabilecek başka araçlar da sunar. Kapsamları ve ücretlendirmeleri değişebileceği için kullanmadan önce güncel dokümantasyonu kontrol edin.

• Zero Trust / Access: İç uygulamaları (yönetim paneli, test ortamı) herkese açık bırakmadan, kimlik doğrulaması arkasında yayınlamaya yarar. Küçük ekipler için ücretsiz katman sunulmaktadır.
• Email Routing: Alan adınıza gelen e-postaları mevcut bir kutuya yönlendirme imkânı sağlar; tam bir e-posta hizmeti değildir.
• Pages: Statik siteleri ve ön yüz projelerini barındırmak için kullanılabilir.
• Web Analytics: Çerez kullanmadan temel ziyaretçi istatistikleri sunan, gizlilik odaklı bir analiz aracıdır.
• Kayıt operatörü (Registrar): Desteklenen uzantılarda alan adlarını Cloudflare üzerinden yönetmek mümkündür; Türkiye'ye özgü .com.tr gibi uzantılar için kurallar farklıdır.

Kurulum için örnek zaman planı

Adımları bu sırayla uygulamak, bir sorun çıktığında hangi değişikliğin buna neden olduğunu bulmayı kolaylaştırır. Özellikle sunucu güvenlik duvarını kilitleme adımında, Cloudflare IP aralıklarının güncel listesini kullandığınızdan ve bu listeyi periyodik olarak kontrol ettiğinizden emin olun.

Cloudflare ile ilgili yaygın yanlış bilinenler

• "Cloudflare kurunca site hacklenmez." Cloudflare ağ seviyesinde ve bilinen saldırı kalıplarına karşı koruma sağlar; ancak zayıf bir yönetici şifresi veya güncellenmemiş bir eklenti üzerinden yapılan saldırıları her zaman engelleyemez.
• "Turuncu bulut her kayıtta açık olmalı." Web dışı servisler (e-posta sunucusu, bazı uzak erişim servisleri) proxy üzerinden çalışmaz; bu kayıtlar sadece DNS olarak kalmalıdır.
• "Ücretsiz SSL yeterli, sunucuda sertifikaya gerek yok." Bu yaklaşım Flexible moda yol açar. Uçtan uca güvenlik için sunucuda da geçerli bir sertifika gerekir.
• "Önbellek her şeyi hızlandırır." Yanlış yapılandırılmış önbellek, bir kullanıcının sepet veya hesap bilgisinin başka bir kullanıcıya görünmesi gibi ciddi sorunlara yol açabilir. Kişiye özel sayfalar önbelleğe alınmamalıdır.
• "Bir kez kurulur, unutulur." Güvenlik olaylarını ara ara incelemek, kuralları ihtiyaçlara göre güncellemek ve sunucu tarafındaki IP izin listesini güncel tutmak gerekir.

Bu noktalara dikkat ederek kurulan bir Cloudflare yapılandırması, küçük ve orta ölçekli işletmeler için güçlü, ekonomik ve yönetilebilir bir güvenlik ve performans katmanı sunar.

Terimler sözlüğü

• CDN (İçerik Dağıtım Ağı): Statik dosyaları dünya genelindeki sunuculardan, ziyaretçiye en yakın noktadan sunan ağ.
• Reverse proxy (ters vekil sunucu): Ziyaretçi ile asıl sunucu arasında duran, istekleri karşılayıp ileten ara katman.
• WAF (Web Uygulama Güvenlik Duvarı): HTTP isteklerini kurallara göre inceleyip kötü niyetli olanları engelleyen filtre.
• DDoS: Çok sayıda kaynaktan gönderilen yoğun trafikle bir hizmeti erişilemez hâle getirme saldırısı.
• Origin sunucu: Sitenizin gerçekten barındırıldığı, Cloudflare'in arkasındaki sunucu.
• TTL: Bir DNS kaydının ne kadar süre önbellekte tutulacağını belirten değer.
• Rate limiting (hız sınırlama): Belirli bir süre içinde aynı kaynaktan gelebilecek istek sayısını sınırlama.
• DNSSEC: DNS yanıtlarının sahte olmadığını kriptografik olarak doğrulayan güvenlik uzantısı.

Özetle: akılda kalması gerekenler

• DNS kayıtlarını, özellikle e-posta kayıtlarını eksiksiz taşıyın ve geçişten sonra test edin.
• SSL modunu Full (strict) yapın, Always Use HTTPS seçeneğini açın.
• Sunucunuzu yalnızca Cloudflare IP aralıklarından gelen web trafiğine açın.
• Yönetim paneli ve formlar için ek kurallar, hız sınırlaması ve Turnstile kullanın.
• Kişiye özel sayfaları önbelleğe almayın; güvenlik olaylarını düzenli inceleyin.

Sık Sorulan Sorular

Cloudflare sitemi yavaşlatır mı?

Doğru yapılandırıldığında genellikle hızlandırır, çünkü statik içerik ziyaretçiye yakın noktalardan sunulur. Yanlış önbellek kuralları ise sorun çıkarabilir; kurulumdan sonra test edin.

Cloudflare kullanırsam hosting'e gerek kalır mı?

Evet, kalır. Cloudflare sitenizin önünde çalışan bir katmandır; sitenin kendisi yine bir sunucuda barındırılır (statik siteler için Cloudflare'in kendi barındırma ürünleri ayrıca değerlendirilebilir).

"Flexible" SSL neden önerilmiyor?

Bu modda Cloudflare ile sunucunuz arasındaki trafik şifresiz olabilir ve yönlendirme döngüleri gibi sorunlar yaşanabilir. Full (strict), uçtan uca şifreleme ve sertifika doğrulaması sağlar.

Ücretli plana ne zaman geçmeliyim?

Daha gelişmiş WAF kurallarına, görsel optimizasyon özelliklerine veya daha fazla kurala ihtiyaç duyduğunuzda. Çoğu kurumsal tanıtım sitesi için ücretsiz plan iyi bir başlangıçtır.

Cloudflare e-postalarımı etkiler mi?

MX ve e-posta ile ilgili kayıtlar doğru taşınır ve proxy'lenmezse etkilemez. Geçiş sonrası e-posta gönderip almayı mutlaka test edin.

Cloudflare'i kaldırmak istersem ne olur?

Ad sunucularını tekrar eski sağlayıcınıza çevirip DNS kayıtlarını orada yeniden oluşturmanız yeterlidir. Kaldırmadan önce sunucu sertifikanızın ve güvenlik duvarı kurallarınızın doğrudan erişime uygun olduğundan emin olun.

Turnstile KVKK açısından sorun yaratır mı?

Turnstile, bot tespiti için tarayıcı sinyallerini işler. Bunu aydınlatma metninizde ve veri envanterinizde belirtmeniz, yurt dışına aktarım konusunu da değerlendirmeniz gerekir.

Sonuç

Cloudflare, birkaç saatlik doğru bir kurulumla sitenize hız, ücretsiz SSL ve önemli bir güvenlik katmanı kazandırır. Kritik nokta, SSL modunu Full (strict) yapmak, sunucu IP'sini korumak ve yönetim alanlarını ek kurallarla sınırlamaktır. Sitenizin altyapısını ve güvenliğini birlikte gözden geçirmek isterseniz IT hizmetlerimizi inceleyebilir ve bizimle iletişime geçebilirsiniz.

Kaynaklar

• Cloudflare – Planlar
• Cloudflare Docs – Full (strict) SSL modu
• Cloudflare – IP aralıkları
• Cloudflare Docs – Turnstile
• Cloudflare Docs – WAF