Cloudflare-Einstellungen, die der Advisor prüft

Wenn das DNS deiner Website bei Cloudflare gehostet wird, erklärt dieser Artikel die zusätzlichen Sicherheitsprüfungen, die InfraNest an deinen Cloudflare-Einstellungen durchführt — nützlich für alle, die wollen, dass ihre Website wirklich so sicher ist, wie sie aussieht.

#Überblick

• Deine DNS-Einträge sagen, wo deine Website liegt, aber Cloudflares eigene Einstellungen entscheiden, wie sie ausgeliefert wird — und diese Einstellungen können Besucher unbemerkt ungeschützt lassen, selbst wenn deine Einträge in Ordnung aussehen.
• Der Security Advisor liest diese Einstellungen aus und meldet sie zusammen mit deinen üblichen Eintragsprüfungen.
• InfraNest ändert niemals eine dieser Einstellungen für dich — es teilt dir nur mit, was gefunden wurde, mit einem Button In Cloudflare öffnen, der dich direkt zur richtigen Seite führt, um es zu beheben.

#Die Prüfungen verstehen

1. SSL-Modus — das ist die Einstellung, die am häufigsten falsch eingestellt bleibt, und sie ist am wichtigsten. Sie legt fest, wie Cloudflare mit deinem eigenen Server spricht.

• Flexible verschlüsselt den Datenverkehr zu deinen Besuchern, spricht aber unverschlüsselt mit deinem Server — wird als Fehler markiert.
• Off liefert die Website völlig unverschlüsselt aus.
• Full verschlüsselt die Verbindung zu deinem Server, prüft aber nicht, wer antwortet.
• Full (strict) ist auf dem ganzen Weg verschlüsselt, und das Zertifikat deines Servers wird geprüft — das ist, was du willst.
• So änderst du es: Öffne in Cloudflare SSL/TLS → Overview und wähle Full (strict). Wenn dein Server ein selbstsigniertes Zertifikat verwendet und dies die Website zerstört, wähle stattdessen Full und besorge dir ein kostenloses Zertifikat von Let's Encrypt.

2. Minimum TLS version — TLS 1.0 und 1.1 sind ausgemustert und nicht mehr sicher, aber Cloudflare lässt sie trotzdem zu, sofern du nichts anderes angibst.

   • So änderst du es: Gehe zu SSL/TLS → Edge Certificates und setze Minimum TLS Version auf 1.2.

3. Always Use HTTPS — ohne das bleibt jeder, der deine Adresse ohne https:// eingibt oder einem alten Link folgt, auf der unverschlüsselten Version, statt zur sicheren Version weitergeleitet zu werden.

   • So änderst du es: Gehe zu SSL/TLS → Edge Certificates und schalte Always Use HTTPS ein.

4. HSTS — weist Browser an, deine Website über eine unverschlüsselte Verbindung komplett zu verweigern, und schließt so die Lücke bereits bei der allerersten Anfrage eines Besuchers.

   WarningSchalte das erst ein, wenn jede Subdomain HTTPS ausliefert. Browser merken sich diese Anweisung so lange, wie du es ihnen sagst, und sie wieder auszuschalten lässt sie das nicht vergessen — alles, was kein HTTPS ausliefert, wird für wiederkehrende Besucher bis dahin unerreichbar. Deshalb meldet der Advisor das als Information und nicht als Warnung.

   • So änderst du es: Gehe zu SSL/TLS → Edge Certificates → HTTP Strict Transport Security.

5. Development mode — schaltet Cloudflares Cache aus, damit du Änderungen sofort siehst, aber solange das aktiv ist, geht jede Anfrage direkt an deinen eigenen Server, was die Website langsamer macht und die volle Last auf deinen Server legt. Cloudflare schaltet es nach drei Stunden automatisch aus, und der Advisor meldet es nicht mehr, sobald diese Zeit abgelaufen ist.

• So änderst du es: Öffne Overview in Cloudflare und schalte Development Mode aus.

#Eine fehlende Prüfung beheben

1. Wenn deine Cloudflare-Verbindung vor August 2026 eingerichtet wurde, wurde ihr API-Schlüssel nie um die Berechtigung gebeten, diese Einstellungen zu lesen, sodass Cloudflare die Anfrage ablehnt. In diesem Fall zeigt der Advisor nur die Eintragsprüfungen und einen erklärenden Hinweis — er markiert die fehlenden Prüfungen niemals als bestanden.
2. Dein DNS ist davon nicht betroffen und funktioniert genau wie zuvor weiter.
3. Um die Prüfungen zurückzubekommen, öffne Integrations in der Seitenleiste und dann deine Cloudflare-Verbindung.
4. Erstelle ein neues API-Token über den Verbindungsbildschirm — der dortige Link wählt bereits jede Berechtigung vor, die InfraNest braucht — oder verbinde dich erneut über Connect with Cloudflare.

#Tipps

• Diese Prüfungen erscheinen nur für Zonen, die bei Cloudflare gehostet werden. Andere DNS-Anbieter legen solche Einstellungen nicht offen, daher ändert sich für sie nichts.
• Wenn der Flexible-SSL-Modus eine bewusste Entscheidung ist, kannst du bei dieser Prüfung Ignore verwenden, damit sie nicht mehr in den Sicherheitsstatus der Zone einfließt, genau wie bei jeder anderen Prüfung.

NoteDas Schild-Symbol neben jeder Zone in deiner Zonenliste spiegelt diese Prüfungen ebenfalls wider, sodass eine Zone mit unverschlüsseltem Datenverkehr in der Übersicht nicht mehr grün erscheint.