Cloudflare-Einstellungen, die der Advisor prüft

Der Security Advisor prüft nicht nur deine DNS-Einträge — wenn deine Zone bei Cloudflare gehostet ist, liest er auch einige von Cloudflares eigenen Einstellungen und sagt dir in klaren Worten, wenn eine davon deine Besucher ungeschützt lässt. Dieser Artikel richtet sich an alle, die InfraNest mit einer bei Cloudflare gehosteten Zone nutzen.

Übersicht

• DNS-Einträge sagen, wo deine Website liegt. Cloudflares Einstellungen entscheiden, wie sie ausgeliefert wird — und eine Website mit perfekten Einträgen kann trotzdem unverschlüsselten Traffic versenden.
• Diese Prüfungen erscheinen im Security Advisor zusammen mit den Eintragsprüfungen, jede mit einer Schaltfläche In Cloudflare öffnen, die dich direkt zur Seite bringt, auf der die Einstellung geändert wird.
• InfraNest liest diese Einstellungen nur. Es wird nie etwas für dich geändert.

SSL-Modus prüfen

Dies ist die Einstellung, die am häufigsten falsch gelassen wird, und sie entscheidet, wie Cloudflare mit deinem eigenen Server spricht.

1. Finde im Security Advisor die Prüfung SSL mode für deine Zone.
2. Verstehe, was jeder Wert bedeutet:
   • Flexible — Cloudflare verschlüsselt die Verbindung zu deinen Besuchern, spricht aber mit deinem Server über eine gewöhnliche, unverschlüsselte Verbindung. Besucher sehen ein Schloss-Symbol, aber es erzählt nur die halbe Geschichte. Dies wird als Fehler gemeldet.
   • Off — die Website wird ganz ohne Verschlüsselung ausgeliefert.
   • Full — die Verbindung zu deinem Server ist verschlüsselt, aber Cloudflare prüft nicht, wer antwortet.
   • Full (strict) — auf dem ganzen Weg verschlüsselt, mit Prüfung des Zertifikats deines Servers. Das ist, was du willst.
3. Wähle In Cloudflare öffnen, um direkt zu SSL/TLS → Overview zu gelangen.
4. Wähle Full (strict).
5. Falls das Zertifikat deines Servers selbstsigniert ist und Full (strict) die Website lahmlegt, wähle stattdessen Full und behebe das Zertifikat — ein kostenloses von Let's Encrypt reicht aus.

Die minimale TLS-Version korrigieren

TLS 1.0 und 1.1 sind ausgemustert und gelten nicht mehr als sicher. Cloudflare erlaubt sie trotzdem, solange du nichts anderes festlegst — meist eine Standardeinstellung, die niemand geändert hat.

1. Finde im Security Advisor die Prüfung TLS version.
2. Wähle In Cloudflare öffnen, um zu SSL/TLS → Edge Certificates zu gelangen.
3. Setze Minimum TLS Version auf 1.2.

Always Use HTTPS einschalten

Jemand, der deine Adresse ohne https:// eingibt oder einem alten Link folgt, sollte automatisch zur sicheren Version weitergeleitet werden. Ist dies ausgeschaltet, bleibt die Person einfach auf der unverschlüsselten Version.

1. Finde im Security Advisor die Prüfung HTTPS redirect.
2. Wähle In Cloudflare öffnen, um zu SSL/TLS → Edge Certificates zu gelangen.
3. Schalte Always Use HTTPS ein.

HSTS einschalten

HSTS weist Browser an, deine Website über eine unverschlüsselte Verbindung grundsätzlich abzulehnen — und schließt damit die Lücke schon bei der allerersten Anfrage eines Besuchers, bevor eine Weiterleitung überhaupt helfen könnte.

WarningSchalte dies erst ein, wenn jede Subdomain HTTPS anbietet. Browser merken sich die Anweisung so lange, wie du es ihnen sagst, und ein erneutes Ausschalten lässt sie das nicht vergessen — alles, was kein HTTPS anbietet, ist für wiederkehrende Besucher bis zum Ablauf dieser Zeit nicht erreichbar. Deshalb meldet der Advisor dies als Information und nicht als Warnung.

1. Finde im Security Advisor die Prüfung HSTS.
2. Wähle In Cloudflare öffnen, um zu SSL/TLS → Edge Certificates → HTTP Strict Transport Security zu gelangen.
3. Schalte es ein.

Development mode ausschalten

Der Development mode schaltet Cloudflares Cache aus, damit du Änderungen sofort sehen kannst. Solange er eingeschaltet ist, geht jede Anfrage direkt an deinen eigenen Server: Die Website ist für Besucher langsamer, und dein Server trägt die volle Last. Cloudflare schaltet ihn drei Stunden nach dem Einschalten von selbst wieder aus, und der Advisor meldet ihn nicht mehr, sobald diese Zeit abgelaufen ist.

1. Finde im Security Advisor die Prüfung Development mode.
2. Wähle In Cloudflare öffnen, um zu Overview zu gelangen.
3. Schalte Development Mode aus.

Fehlerbehebung

Einige Prüfungen fehlen. Wenn deine Cloudflare-Verbindung vor August 2026 eingerichtet wurde, wurde ihr API-Schlüssel nie um die Berechtigung gebeten, diese Einstellungen zu lesen, und Cloudflare lehnt die Anfrage ab. Der Advisor zeigt dann nur die Eintragsprüfungen und einen Hinweis zur Erklärung an — er markiert die fehlenden Prüfungen nicht als bestanden. Dein DNS ist davon nicht betroffen und funktioniert genau wie zuvor weiter.

So bekommst du die Prüfungen zurück:

1. Öffne Integrationen in der Seitenleiste.
2. Wähle deine Cloudflare-Verbindung aus.
3. Erstelle ein neues API-Token über den Verbindungsbildschirm — der Link dort wählt bereits alle Berechtigungen vor, die InfraNest benötigt — oder verbinde dich erneut über Connect with Cloudflare.

Tipps

NoteDiese Prüfungen erscheinen nur für Zonen, die bei Cloudflare gehostet sind. Andere DNS-Anbieter stellen solche Einstellungen nicht bereit, daher ändert sich für sie nichts.

• Du kannst eine Prüfung stummschalten, die du bewusst gewählt hast. Wenn Flexible eine bewusste Entscheidung ist, verwende Ignore bei der Prüfung, dann zählt sie nicht mehr in den Sicherheitsstatus der Zone ein, wie jede andere auch.
• Die Zonenliste zeigt das Ergebnis. Das Schild-Symbol neben jeder Zone spiegelt auch diese Prüfungen wider, sodass eine Zone mit unverschlüsseltem Traffic in der Übersicht nicht mehr grün erscheint.