Installer Cloudflare sur son site : le guide 2026

Installer Cloudflare sur son site consiste à faire passer le trafic de votre domaine par le réseau de Cloudflare avant qu’il n’atteigne votre serveur, sans changer d’hébergeur. Vous créez un compte, vous ajoutez votre domaine, vous vérifiez les enregistrements DNS importés, puis vous remplacez les serveurs de noms chez votre registrar (OVH, Gandi, Ionos). La manipulation active prend environ 30 minutes ; le statut du domaine passe de « Pending » à « Active » une fois les serveurs de noms propagés, généralement sous 24 heures. L’offre gratuite (0 EUR) suffit pour la plupart des sites vitrines et blogs. Ce guide couvre l’installation pas à pas, le choix du proxy et du mode SSL, le dépannage des erreurs classiques et la désinstallation.

Qu’est-ce qu’installer Cloudflare, et faut-il changer d’hébergeur ?

Non, installer Cloudflare ne change pas votre hébergeur. Cloudflare se place comme un reverse proxy (un intermédiaire) entre vos visiteurs et votre serveur d’origine : le trafic transite par son réseau, qui filtre, met en cache et chiffre, puis transmet les requêtes légitimes à votre hébergement existant. Votre site reste chez OVH, o2switch, Kinsta ou tout autre prestataire.

Cette interposition apporte plusieurs briques d’un coup : un CDN (cache des fichiers statiques sur des serveurs proches du visiteur), un pare-feu applicatif (WAF), une protection anti-DDoS, une gestion DNS et un certificat TLS. Toute la bascule repose sur une seule action de fond : pointer les serveurs de noms du domaine vers Cloudflare. C’est aussi sa contrainte sur l’offre gratuite : Cloudflare impose ce mode d’activation par serveurs de noms (pas de configuration par simple CNAME, réservée aux offres entreprise).

Cloudflare met en avant le fait de protéger une part importante des sites web mondiaux et de bloquer chaque jour des dizaines de milliards de cybermenaces. Ces affirmations sont des données communiquées par l’éditeur lui-même, à lire comme un argument commercial et non comme une mesure indépendante.

Si la sécurité de votre site est votre porte d’entrée vers Cloudflare, comprendre les menaces aide à dimensionner le besoin : notre guide sur les exemples de logiciels malveillants replace le pare-feu dans le décor plus large des attaques qui ciblent les sites professionnels.

Comment créer un compte et ajouter son site à Cloudflare ?

Pour ajouter un site à Cloudflare, créez un compte avec une adresse e-mail professionnelle, activez l’authentification à deux facteurs (2FA) dès l’inscription, puis saisissez votre domaine racine sous la forme exemple.fr (sans www, sans https://). Cloudflare lance alors un scan automatique de vos enregistrements DNS existants et vous propose de choisir une offre, dont l’offre gratuite.

L’activation de la 2FA dès le départ n’est pas un détail : le tableau de bord Cloudflare pilote l’ensemble de votre DNS. Si ce compte est compromis, un attaquant peut rediriger tout votre trafic. C’est la première mesure de sécurisation, avant même la configuration technique.

Le scan automatique importe les enregistrements que Cloudflare détecte, mais il n’est jamais exhaustif. C’est précisément l’étape où se jouent la majorité des pannes post-installation. Vérifier manuellement la zone DNS importée est l’action la plus importante de toute l’opération.

Quels enregistrements DNS vérifier avant de basculer ?

Avant de basculer, vérifiez impérativement la présence des enregistrements A et AAAA (le serveur web), CNAME (alias et sous-domaines), MX (la messagerie) et TXT (les enregistrements SPF, DKIM et DMARC qui authentifient vos e-mails). L’oubli des enregistrements MX est la cause numéro un de la panne la plus redoutée : la messagerie qui tombe après la bascule.

Le scan automatique de Cloudflare rate régulièrement des sous-domaines peu courants et des enregistrements de messagerie. Comparez ligne à ligne la zone importée par Cloudflare avec votre zone DNS d’origine, encore visible chez votre hébergeur tant que vous n’avez pas changé les serveurs de noms.

Checklist anti-casse à faire AVANT de toucher aux serveurs de noms

1. Exportez la zone DNS complète depuis votre hébergeur actuel (la plupart proposent un export au format BIND ou un copier-coller de la zone). C’est votre filet de sécurité.
2. Capturez vos enregistrements MX et TXT (capture d’écran ou copie texte) : ce sont les plus souvent oubliés.
3. Vérifiez l’état de DNSSEC chez votre registrar : s’il est actif, il doit être désactivé avant le changement de serveurs de noms, puis réactivé côté Cloudflare une fois le domaine actif (étape officielle de la documentation Cloudflare).
4. Choisissez une fenêtre horaire creuse (nuit, week-end) pour limiter l’impact d’une coupure pendant la propagation.
5. Notez vos anciens serveurs de noms : ce sont eux qu’il faudra remettre pour revenir en arrière (plan de rollback, voir plus bas).

Nuage orange ou nuage gris : quel proxy choisir pour chaque enregistrement ?

Le nuage orange signifie que le trafic de l’enregistrement passe par Cloudflare (proxy actif : cache, WAF, masquage de l’IP d’origine). Le nuage gris signifie que Cloudflare gère seulement le DNS, sans faire transiter le trafic. La règle tient en une phrase : orange pour le web, gris pour le reste.

• Nuage orange (proxy actif) : enregistrement racine (exemple.fr) et www. C’est là que vous voulez le cache, le pare-feu et la protection anti-DDoS.
• Nuage gris (DNS seul) : messagerie (mail), FTP, panneau d’administration (cpanel). Mettre la messagerie en orange casse l’envoi et la réception des e-mails.

Mettre un enregistrement de messagerie en nuage orange est une erreur fréquente qui provoque l’arrêt des e-mails : Cloudflare ne proxifie pas le trafic SMTP/IMAP sur l’offre gratuite. Laissez ces enregistrements en gris.

Comment modifier les serveurs de noms chez son registrar ?

Pour activer Cloudflare, remplacez les serveurs de noms (NS) actuels de votre domaine par les deux serveurs de noms que Cloudflare vous attribue, dans l’interface de votre registrar (OVH, Gandi, Ionos, GoDaddy, Namecheap). Cette modification se fait chez l’entité qui gère votre nom de domaine, pas chez Cloudflare.

Une fois les serveurs de noms changés, la propagation se déclenche. La documentation Cloudflare indique d’attendre jusqu’à 24 heures pendant que le registrar met à jour les serveurs de noms ; le délai peut s’étirer davantage selon le cache de certains résolveurs ou registrars. Pendant ce temps, le statut du domaine dans le tableau de bord Cloudflare reste « Pending » (en attente), puis bascule en « Active » (actif), confirmé par un e-mail. Tant qu’il est « Pending », ne désinstallez rien et ne modifiez pas les serveurs de noms à nouveau.

Le site reste accessible pendant la propagation : les visiteurs sont servis soit par l’ancienne configuration, soit par Cloudflare, sans interruption visible si la zone DNS a été correctement recopiée.

Quel mode SSL/TLS choisir sur Cloudflare ?

Le mode SSL/TLS recommandé en production est Full (strict). Cloudflare propose quatre modes : Off (aucun chiffrement, à proscrire), Flexible (chiffré entre le visiteur et Cloudflare seulement), Full (chiffré de bout en bout mais sans validation du certificat d’origine) et Full (strict) (chiffré de bout en bout avec validation stricte du certificat à l’origine).

Le mode Flexible est le piège classique sur WordPress : si votre serveur d’origine possède déjà un certificat (cas quasi systématique aujourd’hui), Flexible crée une boucle de redirection infinie. La documentation Cloudflare et le consensus des guides techniques convergent vers Full (strict) en production.

Activez ensuite trois réglages complémentaires :

• Always Use HTTPS : force toutes les requêtes en HTTPS.
• Automatic HTTPS Rewrites : réécrit les liens internes en HTTPS pour éviter le contenu mixte.
• HSTS : à activer en dernier seulement, une fois que tout fonctionne, car il rend le HTTPS obligatoire pendant une durée que le navigateur mémorise (revenir en arrière devient alors difficile).

L’installation complète en un tableau

Voici l’opération étape par étape, avec sa durée, le risque en cas d’erreur et l’endroit où agir :

Comptez environ 30 minutes de manipulation active, puis jusqu’à 24 heures de propagation avant que tout soit pleinement actif.

Faut-il payer ? Que couvre l’offre gratuite ?

Pour la grande majorité des sites vitrines et blogs, l’offre gratuite (0 EUR) suffit : elle inclut le CDN à bande passante non mesurée, un pare-feu de base, une protection anti-DDoS sans limite de débit, la gestion DNS et un certificat SSL universel. C’est ce que confirme la page d’offre gratuite de Cloudflare, qui facture 0 dollar ce niveau de service. Le passage à une offre payante se justifie pour les sites transactionnels (e-commerce), les sites régulés (santé, finance, données sensibles) ou ceux qui reçoivent un trafic élevé et veulent un WAF géré, des règles personnalisées ou un support prioritaire.

Cloudflare structure son catalogue en plusieurs niveaux (Free, Pro, Business, Enterprise). Les tarifs des offres payantes évoluent régulièrement et se règlent au mois ou à l’année : vérifiez toujours le montant exact sur la page tarifaire officielle de Cloudflare avant de souscrire.

Certains services s’ajoutent à la carte, indépendamment de l’offre choisie (équilibrage de charge, optimisation de routage, gestionnaire de certificats avancé). Leur tarification est facturée séparément et doit être consultée sur le site de l’éditeur. Avant de payer, posez la vraie question : votre site manipule-t-il des paiements ou des données personnelles sensibles ? Si oui, ne restez pas en Free.

Pour situer Cloudflare dans une stratégie d’infrastructure plus globale, le service s’inscrit dans la logique d’une entreprise digitale qui externalise une partie de sa couche technique vers des services en ligne mutualisés.

Cloudflare et la confidentialité des données : quelles implications ?

Cloudflare est une société américaine, et faire transiter le trafic de son site par son réseau implique un passage par une infrastructure soumise au droit américain. Pour une entreprise française ou européenne qui manipule des données personnelles, c’est un point à intégrer honnêtement dans son analyse de risque, au même titre que tout sous-traitant non-UE.

Le débat est réel : des acteurs associatifs français comme FDN (French Data Network) rappellent que confier son DNS ou son trafic à un opérateur américain concentre une dépendance. Pour le volet résolveur DNS personnel, FDN propose d’ailleurs ses propres serveurs ouverts comme alternative souveraine.

Pour un site, la question n’est pas binaire : Cloudflare apporte une protection réelle, mais son usage doit être documenté dans votre registre des traitements si vous êtes soumis au RGPD. Cartographier précisément vos sous-traitants et leurs transferts de données hors UE fait partie des fondamentaux de la conformité, au même titre que le choix d’un logiciel RH ou d’un logiciel de messagerie électronique hébergés hors d’Europe.

Comment désinstaller Cloudflare et revenir en arrière ?

Pour désinstaller Cloudflare, remettez chez votre registrar les serveurs de noms d’origine de votre hébergeur (ceux que vous aviez notés avant la bascule), puis vérifiez que vos enregistrements DNS pointent bien vers votre serveur d’origine.

1. Récupérez chez votre hébergeur ses serveurs de noms par défaut (souvent du type dns.hebergeur.fr et ns.hebergeur.fr).
2. Dans l’interface du registrar, remplacez les serveurs de noms Cloudflare par ceux de l’hébergeur.
3. Vérifiez que la zone DNS chez l’hébergeur contient bien tous vos enregistrements (A, MX, TXT) : recréez-les si la zone a été vidée.
4. Attendez la propagation (jusqu’à 24 heures), puis supprimez le site du tableau de bord Cloudflare une fois le trafic confirmé hors Cloudflare.

Le rollback repose entièrement sur la sauvegarde faite en amont (la checklist anti-casse). Sans export de la zone d’origine, la désinstallation devient une reconstruction manuelle, longue et exposée aux oublis.

Quelles erreurs corriger après l’installation ?

Quatre problèmes reviennent presque systématiquement après une bascule, et chacun a une cause précise et une correction rapide.

L’erreur ERR_TOO_MANY_REDIRECTS

L’erreur ERR_TOO_MANY_REDIRECTS (trop de redirections) survient quand le mode SSL est réglé sur Flexible alors qu’un certificat existe déjà sur le serveur d’origine. La solution : passer le mode SSL/TLS en Full ou Full (strict) dans l’onglet SSL/TLS.

La messagerie ne fonctionne plus

Si les e-mails ne partent plus ou n’arrivent plus après la bascule, vérifiez deux choses : les enregistrements MX sont-ils présents dans la zone Cloudflare, et sont-ils bien en nuage gris (DNS seul) ? Le proxy orange casse le trafic de messagerie.

Le pare-feu bloque des visiteurs légitimes

Le WAF peut bloquer des visiteurs légitimes ou des outils (paiement, API, plugins). Surveillez l’onglet Security > Events les premiers jours et créez des règles d’exception (allowlist) pour les services concernés. Activez Bot Fight Mode avec prudence sur un site e-commerce.

Le cas WordPress

Sur WordPress, installez le plugin officiel Cloudflare : il purge automatiquement le cache à chaque mise à jour, corrige l’affichage des vraies IP dans les commentaires et applique un réglage adapté qui évite les boucles de redirection. Après installation, videz le cache (plugin et tableau de bord Cloudflare).

Le cas d’un site statique, Shopify ou mutualisé change-t-il quelque chose ?

L’installation de Cloudflare est identique quel que soit le type de site, car elle agit au niveau du DNS, pas du code. Quelques nuances selon votre configuration :

• Site vitrine statique : installation directe, l’offre Free est largement suffisante. Le CDN améliore nettement les temps de chargement.
• Shopify : Shopify embarque déjà son propre CDN et son SSL. Mettre Cloudflare devant Shopify est possible mais réclame une configuration spécifique et n’apporte pas toujours de gain ; à réserver aux besoins WAF avancés.
• Hébergement mutualisé chez OVH ou o2switch : cas le plus courant pour une PME française. Le changement de serveurs de noms se fait dans l’espace client de l’hébergeur ; pensez à conserver les enregistrements MX de la messagerie qu’il vous fournit.

La bascule reste une opération technique : si elle vous dépasse, mieux vaut la déléguer plutôt que risquer une coupure en production. En interne, c’est souvent le rôle d’un profil outillé comme un logiciel informaticien dédié à l’administration système.

FAQ