Cloudflare cho website doanh nghiệp: có nên dùng

Chủ website thường nghe tới Cloudflare khi website bị tấn công, chạy chậm, hoặc khi đơn vị làm web khuyên “đưa lên Cloudflare cho an toàn”. Cloudflare hữu ích thật, nhưng cài sai một chỗ là website báo lỗi hoặc email công ty ngừng nhận thư. Bài này giải thích Cloudflare là gì, gói miễn phí làm được gì, khi nào nên dùng và những chỗ cần kiểm trước khi bật.

Cloudflare là gì: lớp đứng giữa khách và website

Bình thường, khách gõ tên miền và trình duyệt đi thẳng tới máy chủ đặt website của bạn. Khi dùng Cloudflare, khách đi qua mạng máy chủ của Cloudflare trước, rồi Cloudflare mới lấy nội dung từ máy chủ của bạn. Đứng ở giữa như vậy, Cloudflare làm được ba việc: chặn bớt lưu lượng xấu trước khi nó chạm tới máy chủ, giữ sẵn bản sao ảnh và tệp giao diện ở máy chủ gần khách, và cấp chứng chỉ bảo mật để website chạy https.

Để làm được việc đó, cách phổ biến là đổi máy chủ tên miền (nameserver) sang Cloudflare tại nơi bạn đăng ký tên miền. Theo tài liệu của Cloudflare, đây là cách thiết lập duy nhất cho gói Free và Pro. Nghĩa là từ lúc đổi, toàn bộ bản ghi tên miền, kể cả bản ghi email, được quản lý ở Cloudflare. Vì vậy trước khi đổi, hãy chắc rằng tên miền đứng tên công ty và bạn đăng nhập được, như bài Tên miền và hosting: chủ doanh nghiệp cần nắm gì đã hướng dẫn.

Gói miễn phí làm được gì cho website doanh nghiệp

Theo bảng gói trên trang của Cloudflare, gói Free có giá 0 đồng và đã gồm ba thứ một website doanh nghiệp cần nhất:

• Chống tấn công từ chối dịch vụ (DDoS) không giới hạn lưu lượng: khi kẻ xấu dồn hàng loạt truy cập giả để làm sập web, phần lớn bị chặn ở Cloudflare.
• Chứng chỉ SSL miễn phí: website có ổ khoá https mà không phải mua chứng chỉ riêng.
• Mạng phân phối nội dung (CDN): ảnh, tệp CSS, JS được giữ bản sao ở nhiều nơi, máy chủ của bạn đỡ phải trả lời từng lượt.

Gói trả phí bắt đầu từ Pro, 20 USD mỗi tháng nếu trả theo năm (25 USD nếu trả theo tháng), mở thêm các tính năng bảo mật và tối ưu nâng cao. Với phần lớn website giới thiệu và website bán hàng nhỏ, gói Free là đủ để bắt đầu.

Một điều nên biết: mặc định Cloudflare chỉ lưu đệm tệp tĩnh như ảnh, CSS, JS, không lưu đệm trang HTML. Tức là bật Cloudflare không tự làm trang WordPress nhanh lên nếu máy chủ gốc chậm. Nguyên nhân chậm thường nằm ở hosting, ảnh và plugin, xem bài Website chậm vì đâu: 6 nguyên nhân hay gặp. Ngoài ra, khách ở Việt Nam không phải lúc nào cũng được phục vụ từ máy chủ Cloudflare đặt trong nước; tuỳ nhà mạng, đường đi có thể vòng ra nước ngoài. Vì vậy hãy đo tốc độ trước và sau khi bật, đừng mặc định là nhanh hơn.

Khi nào nên dùng, khi nào chưa cần

Tình huống	Nên bật Cloudflare?	Lý do
Website hay bị tấn công, đăng nhập dò mật khẩu, lượt truy cập ảo	Nên	Chặn bớt từ ngoài, máy chủ đỡ quá tải
Hosting chia sẻ không có SSL miễn phí	Nên	Có https mà không mua chứng chỉ
Khách ở nhiều nước (website song ngữ, xuất khẩu)	Nên	Ảnh và tệp được phục vụ gần khách hơn
Website chậm vì hosting yếu hoặc ảnh quá nặng	Chưa giải quyết được	Trang HTML vẫn phải chờ máy chủ gốc; sửa gốc trước
Không ai nắm tài khoản tên miền	Chưa nên	Đổi nameserver cần quyền chủ tên miền; lấy lại quyền trước
Máy chủ đã có tường lửa và bộ nhớ đệm do đơn vị bảo trì quản lý	Hỏi đơn vị trước	Hai lớp lưu đệm chồng nhau dễ hiện nội dung cũ

Ba chỗ hay cài sai

1. Chọn chế độ SSL “Flexible”. Trong mục SSL/TLS, Cloudflare có các chế độ Off, Flexible, Full, Full (strict). Flexible nghĩa là Cloudflare nói chuyện với máy chủ của bạn bằng http không mã hoá. Nếu máy chủ lại tự chuyển mọi lượt http sang https (WordPress thường vậy), hai bên đẩy nhau vòng tròn và trình duyệt báo lỗi chuyển hướng quá nhiều lần. Tài liệu của Cloudflare khuyên dùng Full hoặc Full (strict), kèm chứng chỉ trên máy chủ gốc.

2. Làm mất bản ghi email. Khi đổi nameserver, Cloudflare tự quét bản ghi cũ nhưng có thể sót. Thiếu bản ghi MX hoặc bản ghi xác thực email là thư gửi tới công ty bị trả về. Bản ghi MX luôn ở trạng thái “DNS only” (đám mây xám), không đi qua lớp bảo vệ, đó là bình thường.

3. Để lộ địa chỉ máy chủ. Chỉ bản ghi ở trạng thái “Proxied” (đám mây cam) mới được Cloudflare che địa chỉ máy chủ. Một bản ghi phụ để “DNS only” trỏ cùng máy chủ là đủ để kẻ xấu đi vòng qua Cloudflare, đánh thẳng vào máy chủ. Rà lại toàn bộ bản ghi sau khi chuyển.

Trước khi bật: danh sách việc cần làm

• Chụp lại toàn bộ bản ghi tên miền hiện tại, đặc biệt bản ghi email, để đối chiếu sau khi chuyển.
• Tạo tài khoản Cloudflare bằng email của công ty, không dùng email cá nhân của người làm web.
• Đo tốc độ trang chủ trên điện thoại trước khi bật, theo cách trong bài 7 việc nâng điểm PageSpeed, để có số so sánh.
• Sau khi chuyển: thử gửi và nhận email, mở website bằng https, đăng nhập trang quản trị, gửi thử biểu mẫu liên hệ.
• Ghi ngày hết hạn tên miền vào lịch. Cloudflare không gia hạn tên miền thay bạn nếu bạn mua tên miền ở nơi khác; xem thêm Tên miền hết hạn: mất gì và cách tránh.

Nếu website của bạn đang do chúng tôi lưu trữ và bảo trì, việc bật hay không bật Cloudflare được quyết định cùng với cấu hình máy chủ, để hai lớp bảo vệ không giẫm chân nhau. Nội dung gói xem tại trang Lưu trữ và bảo trì website.