Cloudflare-instellingen die de adviseur controleert

De Security Advisor controleert niet alleen je DNS-records — als je zone bij Cloudflare wordt gehost, leest hij ook een aantal van Cloudflares eigen instellingen en laat je in gewone taal weten wanneer een daarvan je bezoekers stilletjes onbeschermd laat. Dit artikel is bedoeld voor iedereen die InfraNest gebruikt met een bij Cloudflare gehoste zone.

Overzicht

• DNS-records bepalen waar je site staat. Cloudflares instellingen bepalen hoe die wordt geserveerd — en een site met perfecte records kan nog steeds onversleuteld verkeer versturen.
• Deze controles verschijnen in de Security Advisor naast de recordcontroles, elk met een knop Openen in Cloudflare die je direct naar de pagina brengt waar je dit kunt wijzigen.
• InfraNest leest deze instellingen alleen. Er wordt nooit iets voor je gewijzigd.

SSL-modus controleren

Dit is de instelling die het vaakst verkeerd blijft staan, en bepaalt hoe Cloudflare met je eigen server communiceert.

1. Zoek in de Security Advisor de controle SSL mode voor je zone.
2. Begrijp wat elke waarde betekent:
   • Flexible — Cloudflare versleutelt de verbinding naar je bezoekers, maar communiceert met je server via een gewone, onversleutelde verbinding. Bezoekers zien een hangslotje, maar dat vertelt maar het halve verhaal. Dit wordt als fout gemarkeerd.
   • Off — de site wordt helemaal zonder versleuteling geserveerd.
   • Full — de verbinding met je server is versleuteld, maar Cloudflare controleert niet wie er antwoordt.
   • Full (strict) — over de hele route versleuteld, met controle van het certificaat van je server. Dit is wat je wilt.
3. Selecteer Openen in Cloudflare om direct naar SSL/TLS → Overview te gaan.
4. Kies Full (strict).
5. Als het certificaat van je server zelfondertekend is en Full (strict) de site stuk maakt, kies dan Full en los het certificaat op — een gratis certificaat van Let's Encrypt volstaat.

De minimale TLS-versie herstellen

TLS 1.0 en 1.1 zijn uitgefaseerd en worden niet langer als veilig beschouwd. Cloudflare staat ze nog steeds toe tenzij je anders aangeeft, dus dit is meestal een standaardinstelling die niemand heeft gewijzigd.

1. Zoek in de Security Advisor de controle TLS version.
2. Selecteer Openen in Cloudflare om naar SSL/TLS → Edge Certificates te gaan.
3. Zet Minimum TLS Version op 1.2.

Always Use HTTPS inschakelen

Iemand die je adres zonder https:// intypt, of een oude link volgt, moet automatisch naar de beveiligde versie worden doorgestuurd. Als dit uitstaat, blijft diegene gewoon op de onversleutelde versie.

1. Zoek in de Security Advisor de controle HTTPS redirect.
2. Selecteer Openen in Cloudflare om naar SSL/TLS → Edge Certificates te gaan.
3. Zet Always Use HTTPS aan.

HSTS inschakelen

HSTS vertelt browsers om je site helemaal niet via een onversleutelde verbinding te accepteren — zo wordt het gat gedicht bij het allereerste verzoek van een bezoeker, nog voordat een omleiding kan helpen.

WarningZet dit pas aan zodra elk subdomein HTTPS serveert. Browsers onthouden deze instructie zo lang als je ze opdraagt, en het weer uitzetten laat ze dit niet vergeten — alles wat geen HTTPS serveert, is voor terugkerende bezoekers onbereikbaar totdat die termijn is verstreken. Daarom meldt de adviseur dit als informatie en niet als waarschuwing.

1. Zoek in de Security Advisor de controle HSTS.
2. Selecteer Openen in Cloudflare om naar SSL/TLS → Edge Certificates → HTTP Strict Transport Security te gaan.
3. Zet het aan.

Development mode uitschakelen

Development mode zet Cloudflares cache uit, zodat je wijzigingen direct ziet. Zolang dit aanstaat, gaat elk verzoek rechtstreeks naar je eigen server: de site wordt trager voor bezoekers en je server draagt de volledige belasting. Cloudflare zet dit drie uur na inschakeling automatisch weer uit, en de adviseur stopt met rapporteren zodra die tijd is verstreken.

1. Zoek in de Security Advisor de controle Development mode.
2. Selecteer Openen in Cloudflare om naar Overview te gaan.
3. Zet Development Mode uit.

Problemen oplossen

Sommige controles ontbreken. Als je Cloudflare-verbinding is ingesteld vóór augustus 2026, is aan de API-sleutel ervan nooit toestemming gevraagd om deze instellingen te lezen, en weigert Cloudflare het verzoek. De adviseur toont dan alleen de recordcontroles met een toelichting waarom — hij markeert de ontbrekende controles niet als geslaagd. Je DNS blijft onaangetast en werkt precies zoals voorheen.

Om de controles terug te krijgen:

1. Open Integraties in de zijbalk.
2. Selecteer je Cloudflare-verbinding.
3. Maak een nieuw API-token aan vanuit het koppelscherm — de link daar selecteert automatisch alle permissies die InfraNest nodig heeft — of maak opnieuw verbinding via Connect with Cloudflare.

Tips

NoteDeze controles verschijnen alleen voor zones die bij Cloudflare worden gehost. Andere DNS-providers geven dit soort instellingen niet vrij, dus voor hen verandert er niets.

• Je kunt een controle die je bewust hebt gekozen laten verstommen. Als Flexible een bewuste keuze is, gebruik dan Negeren op de controle en deze telt niet langer mee voor de beveiligingsstatus van de zone, net als elke andere.
• De zonelijst toont het resultaat. Het schild naast elke zone weerspiegelt ook deze controles, dus een zone die onversleuteld verkeer serveert, ziet er in het overzicht niet langer groen uit.