Cloudflare sitzt zwischen deinen Besuchern und deinem Server und kann unerwünschten Traffic abfangen, bevor er WordPress und WooCommerce erreicht.
Wichtig: Cloudflare ist ein Dienst eines Drittanbieters. Für die Einrichtung, Konfiguration und Fehlersuche bei Cloudflare bieten wir keinen Support.
Die folgenden Hinweise sind eine allgemeine Orientierung. Menüpunkte und Funktionsumfang ändern sich bei Cloudflare gelegentlich, prüfe sie daher im Zweifel in der aktuellen Cloudflare-Dokumentation.
Allgemeine Einrichtung (Free-Version)
Für den Einstieg genügt der kostenlose Free-Plan. So gehst du grundsätzlich vor:
Lege auf cloudflare.com ein kostenloses Konto an.
Füge deine Domain hinzu und wähle den Free-Plan.
Cloudflare liest die bestehenden DNS-Einträge deiner Domain automatisch aus. Prüfe die Liste sorgfältig auf Vollständigkeit (A-, AAAA-, CNAME-, MX- und TXT-Einträge, etwa für SPF, DKIM und DMARC).
Sofern deine Domain von uns verwaltet wird, kannst du die Einträge mit deiner aktuellen DNS-Verwaltung abgleichen: DNS Verwaltung: Einträge bearbeiten oder ergänzen. | WPspace Help CenterÄndere anschließend die Nameserver deiner Domain auf die von Cloudflare vorgegeben Einträge. Somit läuft die DNS-Verwaltung absofort über Cloudflare und nicht mehr über WPspace. Mehr dazu findest du im nächsten Abschnitt.
Der Free-Plan bietet unter anderem DDoS-Schutz, einen CDN-Cache für statische Dateien, grundlegende Sicherheitsfunktionen sowie eine begrenzte Anzahl eigener Firewall-Regeln.
DNS-Umstellung: Nameserver auf Cloudflare abändern
Damit der Datenverkehr über Cloudflare läuft, muss die Domain auf die Nameserver von Cloudflare zeigen.
Was sind Nameserver? Nameserver bestimmen, welcher Dienst für die DNS-Auflösung deiner Domain zuständig ist. Sie beantworten die Frage, unter welcher IP-Adresse deine Website, deine E-Mail-Server und andere Dienste erreichbar sind.
So läuft die Umstellung ab:
Cloudflare zeigt dir nach dem Hinzufügen der Domain zwei eigene Nameserver an.
Trage diese in deiner DNS-Verwaltung ein und ergänze sie mit den aktuell hinterlegten Einträgen.
Warte, bis Cloudflare die Umstellung erkennt. Das dauert meist einige Minuten bis Stunden, in Einzelfällen bis zu 24 bis 48 Stunden.
Darauf solltest du achten:
Ab der Umstellung verwaltet Cloudflare alle DNS-Einträge. Nimmst du also Änderungen an der DNS-Verwaltung vor, passiert dies nun über Cloudflare.
Fehlende Einträge führen schnell zu Problemen. Besonders kritisch sind MX- und TXT-Einträge, denn ohne sie kann der E-Mail-Empfang oder -Versand ausfallen.
Stelle also sicher, dass im Vorfeld wirklich alle notwendigen Einträge übernommen wurden.
Proxy-Modus
Bei jedem DNS-Eintrag, der auf eine Website verweist, kannst du in Cloudflare zwischen zwei Zuständen wählen:
Proxied (orange Wolke): Der Datenverkehr läuft über Cloudflare. Deine echte Server-IP wird verborgen, und Schutzfunktionen wie DDoS-Schutz, Firewall-Regeln und Bot-Schutz greifen.
DNS only (graue Wolke): Cloudflare löst nur den DNS-Eintrag auf. Der Datenverkehr geht direkt an deinen Server, es greift kein Schutz.
Damit die Schutzmechanismen wirken, müssen die Einträge für deine Website (meist die Domain selbst und www) auf Proxied stehen. Einträge für E-Mail (zum Beispiel mail) und andere Dienste wie FTP oder SSH müssen dagegen auf DNS only bleiben, denn Cloudflare proxyt nur Webverkehr.
Beachte außerdem:
Der Schutz greift nur für Anfragen, die über Cloudflare laufen. Wer deine Server-IP kennt, kann Cloudflare theoretisch umgehen.
Bot Fight Mode
Der Bot Fight Mode ist eine kostenlose Funktion, die du unter Security → Bots aktivierst. Cloudflare erkennt damit automatisierten Datenverkehr anhand bekannter Muster und stellt verdächtige Anfragen auf die Probe, etwa mit einer Challenge. Bekannte, seriöse Bots wie die von Suchmaschinen bleiben in der Regel unberührt.
Für Shops mit Filter-URLs ist das eine einfache und wirkungsvolle erste Maßnahme. Sie ersetzt aber keine sauber konfigurierte Filternavigation.
Beachte dabei:
In der Free-Version lassen sich Ausnahmen nur eingeschränkt festlegen.
Legitime automatisierte Zugriffe können blockiert werden, zum Beispiel Zahlungs-Callbacks (Webhooks von PayPal, Stripe usw.), REST-API-Zugriffe, Schnittstellen zu Warenwirtschaft oder Versanddienstleistern sowie Monitoring-Dienste.
Teste nach der Aktivierung den kompletten Bestellvorgang inklusive Zahlung.
Kontrolliere in den Cloudflare-Ereignissen (Security → Events), was blockiert oder challenged wurde, und deaktiviere die Funktion, falls legitime Zugriffe betroffen sind.
Ergänzend kannst du eine eigene Firewall-Regel anlegen, die Anfragen mit Filterparametern in der URL mit einer Managed Challenge prüft. Echte Besucher bestehen diese Prüfung meist unbemerkt, einfache Bots scheitern daran. Hier gilt dasselbe wie bei serverseitigen Regeln: Direkte Aufrufe gefilterter URLs, etwa aus Newslettern oder Werbekampagnen, können davon betroffen sein.
AI Bot Protection
Einen wachsenden Teil des automatisierten Traffics machen KI-Crawler aus. Sie sammeln Inhalte zum Beispiel für das Training von KI-Modellen oder für KI-gestützte Suchen und rufen dabei oft sehr viele Seiten ab, darunter auch Filter-URLs.
Cloudflare bietet dafür eigene Einstellungen, die du ebenfalls unter Security → Bots findest:
Block AI bots: Bekannte KI-Crawler werden blockiert. In der Free-Version lässt sich meist wählen, ob das auf allen Seiten oder nur eingeschränkt gelten soll.
Verwaltete robots.txt: Cloudflare kann deiner robots.txt automatisch Regeln hinzufügen, die KI-Crawler ausschließen. Wie bei jeder robots.txt halten sich nur Crawler daran, die sie respektieren.