Comment configurer Cloudflare WAF pour WordPress
Guide étape par étape pour configurer le pare-feu applicatif web Cloudflare pour protéger votre site WordPress des attaques.
Le WAF de Cloudflare offre une excellente protection pour les sites WordPress contre les attaques courantes comme l'injection SQL, le cross-site scripting (XSS), et les attaques par force brute sur la connexion.
Ce guide vous accompagne dans le processus complet de configuration, de l'ajout de votre domaine à Cloudflare à la configuration des règles de sécurité spécifiques à WordPress.
Prérequis
- Un site WordPress hébergé sur n'importe quel serveur web
- Accès à votre registrar de domaine pour changer les serveurs de noms
- Un compte Cloudflare (l'offre gratuite fonctionne) En savoir plus
Guide étape par étape
Ajouter votre domaine à Cloudflare
Connectez-vous à votre tableau de bord Cloudflare et cliquez sur "Ajouter un site". Entrez votre nom de domaine (sans www) et cliquez sur "Ajouter le site".
Cloudflare analysera vos enregistrements DNS existants. Vérifiez-les pour vous assurer que tous vos sous-domaines et enregistrements mail sont inclus.
Mettre à jour vos serveurs de noms
Cloudflare vous fournira deux serveurs de noms. Connectez-vous à votre registrar de domaine et remplacez vos serveurs de noms actuels par ceux de Cloudflare.
La propagation DNS peut prendre jusqu'à 24 heures, mais se termine généralement en quelques heures.
Activer le WAF Cloudflare
Une fois votre domaine actif sur Cloudflare :
- Allez dans Sécurité > WAF dans votre tableau de bord Cloudflare
- Activez l'ensemble de règles gérées Cloudflare
- Activez l'ensemble de règles OWASP Core
Configurer des règles spécifiques WordPress
Créez des règles personnalisées pour protéger les endpoints spécifiques à WordPress :
- Allez dans Sécurité > WAF > Règles personnalisées
- Créez une règle pour protéger wp-login.php des attaques par force brute
- Envisagez de bloquer l'accès à xmlrpc.php si non utilisé
# Bloquer xmlrpc.php (si vous ne l'utilisez pas)
Nom de la règle: Bloquer XML-RPC
Expression: (http.request.uri.path eq "/xmlrpc.php")
Action: Bloquer
Installer le plugin Cloudflare (Optionnel)
Installez le plugin officiel Cloudflare pour WordPress pour une meilleure intégration :
- Allez dans Extensions > Ajouter dans WordPress
- Recherchez "Cloudflare"
- Installez et activez le plugin officiel Cloudflare
- Connectez-le avec votre token API Cloudflare
Tester votre configuration
Après la configuration, testez que votre site fonctionne correctement :
- Visitez votre site et vérifiez qu'il se charge correctement
- Testez la connexion à l'administration WordPress
- Vérifiez que les commentaires et formulaires fonctionnent toujours
- Surveillez le tableau de bord Cloudflare pour les requêtes bloquées
Conclusion et étapes suivantes
Votre site WordPress est maintenant protégé par le WAF de Cloudflare. Les ensembles de règles gérées bloqueront automatiquement la plupart des attaques courantes, et vos règles personnalisées fournissent une protection supplémentaire spécifique à WordPress.
Prochaines étapes :
- Surveillez régulièrement la page Sécurité > Événements pour examiner les menaces bloquées
- Envisagez de passer à Cloudflare Pro pour des fonctionnalités WAF supplémentaires
- Activez le mode Bot Fight pour une protection supplémentaire contre les bots
Dépannage
Le site affiche des erreurs SSL
Dans les paramètres SSL/TLS de Cloudflare, définissez le mode de chiffrement sur "Complet" si votre origine a un certificat SSL, ou "Flexible" si ce n'est pas le cas.
Formulaires ou connexion ne fonctionnent pas
Vérifiez Sécurité > Événements pour les requêtes bloquées. Vous devrez peut-être créer une règle d'exception pour le trafic légitime.
Le site est lent après la configuration
Activez les fonctionnalités de mise en cache de Cloudflare et envisagez d'activer Rocket Loader pour l'optimisation JavaScript.
Questions fréquentes
Le WAF Cloudflare est-il gratuit ?
Oui, le WAF Cloudflare de base est inclus dans l'offre gratuite. Il comprend des ensembles de règles gérées qui protègent contre les attaques courantes. Des fonctionnalités plus avancées comme les règles de pare-feu personnalisées et les analyses détaillées sont disponibles sur les forfaits payants.
Cloudflare va-t-il ralentir mon site WordPress ?
Non, Cloudflare accélère généralement les sites WordPress en mettant en cache le contenu statique et en le servant depuis des emplacements edge plus proches de vos visiteurs. L'inspection WAF ajoute une latence minimale (généralement moins de 1ms).