Wat Cloudflare doet en hoe het platform werkt
Cloudflare is een cloudconnectiviteitsbedrijf. Het wereldwijde platform biedt diensten voor websitelevering, beveiliging, betrouwbaarheid, netwerken, toegang voor medewerkers en applicatieontwikkeling. Een bedrijf kan één Cloudflare-dienst gebruiken zonder het hele platform in te voeren.
cloudflare.com is de officiële website van Cloudflare. Hierop worden de producten, documentatie, ondersteuning, het bedrijf en informatie over vertrouwen toegelicht. De website moet niet worden verward met het platform zelf of met een website van een klant die toevallig Cloudflare gebruikt.
Waarvoor Cloudflare wordt gebruikt
Cloudflare is actief in verschillende delen van de internetinfrastructuur. Door het alleen een content delivery network, DNS-provider of DDoS-dienst te noemen, blijven belangrijke onderdelen van het platform buiten beschouwing.
Een website of organisatie kan Cloudflare gebruiken om:
- Autoritatieve DNS-records te publiceren
- Openbaar webverkeer via een reverse proxy te routeren
- Geschikte content dichter bij bezoekers te cachen
- Aanvallen en ongewenste verzoeken te filteren
- Verkeer te verdelen of netwerkroutering te verbeteren
- De toegang van medewerkers tot privéapplicaties te beheren
- Applicatiecode uit te voeren en gegevens op te slaan
- Grotere netwerken en internetverbindingen te beschermen
Dit zijn mogelijke toepassingen, geen functies die automatisch voor iedere klant worden ingeschakeld. De eigenaar kiest producten en instellingen voor elk domein, elke applicatie, gebruikersgroep of elk netwerk.
Hoe de reverse proxy werkt
Voor een website die via een proxy loopt, volgt een vereenvoudigd verzoek dit pad:
- Een bezoeker vraagt een pagina op.
- DNS retourneert een adres dat aan het netwerk van Cloudflare is gekoppeld.
- De browser maakt verbinding met Cloudflare in plaats van rechtstreeks met de originserver.
- Cloudflare past de diensten toe die voor dat verkeer zijn geconfigureerd.
- Cloudflare neemt contact op met de origin wanneer het een antwoord nodig heeft dat het niet zelf kan leveren.
- Het antwoord keert via Cloudflare terug naar de bezoeker.
Deze opzet wordt een reverse proxy genoemd omdat de proxy namens de originapplicatie verzoeken ontvangt. Hierdoor kan Cloudflare werkzaamheden in het verkeerspad uitvoeren, zoals HTTPS beëindigen, beveiligingsregels toepassen of gecachte content aanbieden.
Het model bewijst niet dat elk antwoord werd gecachet of door elk beveiligingsproduct werd geïnspecteerd. Het bewijst ook niet dat de origin niet via een ander adres bereikbaar is. Die uitkomsten zijn afhankelijk van de configuratie van de klant.
Cloudflare gebruikt gedeelde IP-adressen en Anycast-routering. Met Anycast kan hetzelfde adresbereik vanaf veel netwerklocaties worden aangekondigd, zodat verkeer een nabijgelegen Cloudflare-locatie kan bereiken. Een Cloudflare-adres identificeert daarom het openbare netwerkpad. Het identificeert doorgaans niet de originhost van de klant.
DNS-only- en proxied-records
Cloudflare kan autoritatieve DNS aanbieden zonder het verkeer van een website via een proxy te leiden. Dit is een van de redenen waarom de uitdrukking “gebruikt Cloudflare” context vereist.
| Instelling | Wat er gebeurt | Wat dit niet bewijst |
|---|---|---|
| DNS-only | Cloudflare beantwoordt DNS met de bestemming die door de domeineigenaar is geconfigureerd | Normaal webverkeer loopt niet automatisch via de HTTP-proxy van Cloudflare |
| Proxied | DNS retourneert een Cloudflare-adres en ondersteund verkeer bereikt eerst Cloudflare | Niet elk antwoord wordt automatisch gecachet en niet elk optioneel product is automatisch actief |
| Afzonderlijk platformproduct | De klant gebruikt die dienst volgens de eigen architectuur ervan | De rest van de catalogus van Cloudflare is niet noodzakelijkerwijs in gebruik |
Een domein kan deze benaderingen combineren. De hoofdwebsite kan via een proxy lopen, een mailrecord kan DNS-only blijven en een afzonderlijke applicatie kan op het ontwikkelaarsplatform draaien.
Belangrijkste onderdelen van het platform
Cloudflare groepeert producten rond verschillende taken. De grenzen helpen het platform uit te leggen zonder het als één grote schakelaar te behandelen.
Applicatieprestaties en -beveiliging
Deze diensten werken met openbare websites, API's en applicaties. Ze omvatten DNS, contentlevering, load balancing, HTTPS, DDoS-bescherming, controles voor web application firewalls, rate limiting, botcontroles en aanverwante producten.
Elk product lost een ander probleem op. Een domein dat via een proxy loopt, bewijst niet automatisch dat een web application firewall, botproduct of aangepaste rate limit is ingeschakeld. Een site-eigenaar moet de controles die voor de applicatie van belang zijn configureren en testen.
Zero Trust en SASE
Cloudflare biedt ook diensten die beheren hoe medewerkers, apparaten en netwerken toegang krijgen tot privéapplicaties, het openbare internet en softwarediensten. Dit gebied wordt doorgaans omschreven met termen als Zero Trust, security service edge of SASE.
Dit verschilt van het plaatsen van een openbare website achter een reverse proxy. Een bedrijf kan zijn medewerkers beschermen zonder zijn openbare site op het ontwikkelaarsplatform te hosten, en het kan een website via een proxy leiden zonder producten voor medewerkerstoegang te gebruiken.
Netwerkdiensten
Sommige producten werken op bredere netwerklagen in plaats van alleen op de webapplicatielaag. Ze kunnen netwerken beschermen of verbinden, verkeer routeren of protocollen ondersteunen die verder gaan dan een normaal browserverzoek.
Daarom kan één verkeersdiagram niet elke Cloudflare-dienst beschrijven. Een webverzoek via een proxy, een medewerker die een privéapplicatie gebruikt en een organisatie die een IP-netwerk beschermt, volgen verschillende paden.
Ontwikkelaarsplatform
Met het ontwikkelaarsplatform van Cloudflare kunnen teams code uitvoeren en beheerde datadiensten op het netwerk gebruiken. Veelgebruikte onderdelen zijn onder meer:
| Product | Rol in gewone taal |
|---|---|
| Workers | Voert applicatiecode uit zonder een conventionele server voor die code te beheren |
| D1 | Biedt beheerde SQL-opslag |
| R2 | Slaat bestanden en andere objecten op |
| KV | Slaat waarden op die met sleutels worden geadresseerd |
| Durable Objects | Combineert status met gecoördineerde rekenkracht |
| Queues and Workflows | Ondersteunt achtergrondberichten en taken met meerdere stappen |
Deze producten kunnen worden gecombineerd, maar zijn niet onderling uitwisselbaar. Een relationele applicatie kan SQL nodig hebben, een afbeeldingenbibliotheek kan objectopslag nodig hebben en een samenwerkingssessie kan een gecoördineerde status nodig hebben.
Het bestaan van deze diensten betekent niet dat elke site achter Cloudflare met Workers is gebouwd of gegevens in D1 opslaat. Veel klanten behouden hun applicatie bij een andere host en gebruiken Cloudflare alleen ervoor.
Is Cloudflare een hostingprovider?
Het kan applicatiecode en gegevens hosten via zijn ontwikkelaarsproducten, maar een Cloudflare-IP-adres alleen laat niet zien waar de origin van een site draait.
In een reverse-proxyopstelling zien bezoekers het openbare adres van de proxy. De origin kan zich in een privédatacenter of bij een andere cloud- of hostingprovider bevinden. Gedeelde proxyadressen verbergen dat detail bewust voor een eenvoudige zoekopdracht.
Gebruik preciezere bewoordingen:
- “Het openbare verkeer van de site loopt via Cloudflare” wanneer bewijs van de proxy dit ondersteunt.
- “Het domein gebruikt autoritatieve DNS van Cloudflare” wanneer bewijs van de nameserver dit ondersteunt.
- “De applicatie draait op Workers” alleen wanneer rechtstreeks bewijs die conclusie ondersteunt.
Cachet Cloudflare elke pagina?
Nee. Cloudflare biedt controles voor caching en contentlevering, maar het daadwerkelijke gedrag is afhankelijk van het verzoek, het antwoord, de cacheregels, het product en de configuratie van de klant.
Dynamische of gepersonaliseerde antwoorden zijn mogelijk niet geschikt voor gedeelde caching. Een klant kan de cache voor geselecteerde paden omzeilen of wijzigen hoelang geschikte content wordt opgeslagen. Eén Cloudflare-antwoord stelt daarom niet het cachebeleid voor de hele site vast.
Dezelfde voorzichtigheid geldt voor beveiliging. Cloudflare biedt veel controles, maar aanwezigheid op het netwerk bewijst niet dat elke optie is aangeschaft, ingeschakeld of correct geconfigureerd.
Afwegingen rond privacy, beveiliging en bedrijfsvoering
Wanneer Cloudflare een reverse proxy is, bereikt verkeer het netwerk ervan voordat het de origin bereikt. Die positie maakt prestatie- en beveiligingsfuncties mogelijk en maakt gegevensverwerking en toegangsbeheer ook tot belangrijke evaluatieonderwerpen.
Cloudflare publiceert een privacybeleid en vertrouwenscentrum met actuele informatie over gegevensbescherming, beveiliging en naleving. Een site-eigenaar moet die documenten beoordelen voor de producten en regio's die hij van plan is te gebruiken.
De site-eigenaar blijft verantwoordelijkheden houden. Cloudflare zorgt er niet standaard voor dat applicatiecode correct is, machtigingen beperkt zijn, gegevensverzameling noodzakelijk is of een origin beveiligd is. Teams moeten het volgende beoordelen:
- Welke records en applicaties via een proxy lopen
- Welke verzoek- en antwoordgegevens door de dienst gaan
- Of de origin onbedoeld rechtstreeks verkeer accepteert
- Hoe certificaten, geheimen en beheerderstoegang worden beheerd
- Welke beveiligingsregels zijn ingeschakeld en getest
- Hoelang logs worden bewaard en wie er toegang toe heeft
- Wat er gebeurt tijdens een configuratiefout of dienststoring
Een gelaagde dienst kan risico's verminderen en tegelijkertijd een operationele afhankelijkheid worden. Teams hebben wijzigingsbeheer, monitoring, back-ups en een herstelplan nodig die passend zijn voor de applicatie.
Hoe Cloudflare te evalueren
Begin met het probleem in plaats van met de productlijst. Een kleine website, een interne applicatie, een wereldwijd netwerk en een serverless workload hebben verschillende vereisten.
Vraag:
- Hebben we autoritatieve DNS, proxying of beide nodig?
- Welke hostnames en verkeerstypen moet Cloudflare afhandelen?
- Welk prestatie- of beveiligingsprobleem proberen we op te lossen?
- Gaat de taak over een openbare applicatie, medewerkerstoegang of een netwerk?
- Past de workload bij Workers en de beschikbare datadiensten?
- Welke informatie zal de dienst verwerken?
- Welke functies, limieten en ondersteuningsopties gelden voor het beoogde abonnement?
- Hoe gaan we wijzigingen testen en herstellen van fouten?
Bouw vervolgens een representatieve proefopstelling. Meet echte pagina's en verzoeken, test het cache- en beveiligingsgedrag, verifieer het originpad en documenteer de resulterende configuratie. Actuele productdocumentatie is betrouwbaarder dan een algemene checklist, omdat abonnementen en mogelijkheden veranderen.
Cloudflare kan het beste worden begrepen als een breed connectiviteitsplatform. Het kan voorzien in één gerichte behoefte, zoals autoritatieve DNS, of meerdere diensten voor applicaties en netwerken combineren. De juiste beschrijving voor een klant hangt af van wat die klant daadwerkelijk heeft geconfigureerd, niet van de volledige lijst met producten die Cloudflare aanbiedt.
Een geslaagde reactie is geen veiligheidsgarantie. Metingen beschrijven één waarneming op een bepaald moment.