Paramètres Cloudflare vérifiés par le conseiller

Si le DNS de votre site web est hébergé sur Cloudflare, cet article explique les contrôles de sécurité supplémentaires qu’InfraNest effectue sur vos paramètres Cloudflare — utile pour quiconque souhaite que son site soit réellement aussi sécurisé qu’il en a l’air.

#Vue d’ensemble

• Vos enregistrements DNS indiquent où se trouve votre site, mais ce sont les paramètres propres à Cloudflare qui déterminent comment il est servi — et ces paramètres peuvent discrètement laisser les visiteurs sans protection même lorsque vos enregistrements semblent corrects.
• Le Security Advisor lit ces paramètres et les signale en complément de vos contrôles habituels sur les enregistrements.
• InfraNest ne modifie jamais ces paramètres à votre place — il vous indique simplement ce qu’il a constaté, avec un bouton Open in Cloudflare qui vous amène directement à la bonne page pour corriger le problème.

#Comprendre les contrôles

1. SSL mode — c’est le paramètre le plus souvent mal configuré, et c’est aussi le plus important. Il détermine comment Cloudflare communique avec votre propre serveur.

• Flexible chiffre le trafic vers vos visiteurs mais communique en clair avec votre serveur — signalé comme une erreur.
• Off sert le site sans aucun chiffrement.
• Full chiffre la connexion vers votre serveur, mais ne vérifie pas qui répond.
• Full (strict) est chiffré de bout en bout, avec vérification du certificat de votre serveur — c’est ce qu’il vous faut.
• Pour le modifier : dans Cloudflare, ouvrez SSL/TLS → Overview et choisissez Full (strict). Si votre serveur utilise un certificat auto-signé et que cela casse le site, choisissez Full et obtenez plutôt un certificat gratuit auprès de Let's Encrypt.

2. Minimum TLS version — TLS 1.0 et 1.1 sont obsolètes et ne sont plus sécurisés, mais Cloudflare les autorise encore sauf indication contraire de votre part.

   • Pour le modifier : allez dans SSL/TLS → Edge Certificates et réglez Minimum TLS Version sur 1.2.

3. Always Use HTTPS — sans ce réglage, quiconque saisit votre adresse sans https://, ou suit un ancien lien, reste sur la version non chiffrée au lieu d’être redirigé vers la version sécurisée.

   • Pour le modifier : allez dans SSL/TLS → Edge Certificates et activez Always Use HTTPS.

4. HSTS — indique aux navigateurs de refuser entièrement votre site via une connexion non chiffrée, comblant ainsi la faille dès la toute première requête d’un visiteur.

   WarningN’activez ceci qu’une fois que chaque sous-domaine sert du HTTPS. Les navigateurs mémorisent cette consigne aussi longtemps que vous le leur indiquez, et la désactiver ensuite ne leur fait pas oublier cette instruction — tout ce qui ne sert pas de HTTPS devient alors injoignable pour les visiteurs récurrents jusqu’à l’expiration de ce délai. C’est pourquoi le conseiller le signale comme information plutôt que comme avertissement.

   • Pour le modifier : allez dans SSL/TLS → Edge Certificates → HTTP Strict Transport Security.

5. Development mode — désactive le cache de Cloudflare afin que vous puissiez voir vos modifications immédiatement, mais tant qu’il est actif, chaque requête va directement vers votre propre serveur, ce qui ralentit le site et fait porter toute la charge sur votre serveur. Cloudflare le désactive automatiquement au bout de trois heures, et le conseiller cesse de le signaler une fois ce délai écoulé.

• Pour le modifier : ouvrez Overview dans Cloudflare et désactivez Development Mode.

#Corriger un contrôle manquant

1. Si votre connexion Cloudflare a été configurée avant août 2026, sa clé API n’a jamais reçu l’autorisation de lire ces paramètres, et Cloudflare refuse donc la requête. Dans ce cas, le conseiller n’affiche que les contrôles sur les enregistrements accompagnés d’une note explicative — il ne marque jamais les contrôles manquants comme réussis.
2. Votre DNS n’est pas affecté et continue de fonctionner exactement comme avant.
3. Pour récupérer ces contrôles, ouvrez Intégrations dans le menu latéral, puis ouvrez votre connexion Cloudflare.
4. Créez un nouveau jeton API depuis l’écran de connexion — le lien présent présélectionne toutes les autorisations dont InfraNest a besoin — ou reconnectez-vous via Connect with Cloudflare.

#Astuces

• Ces contrôles n’apparaissent que pour les zones hébergées chez Cloudflare. Les autres fournisseurs DNS n’exposent pas ce type de paramètres, donc rien ne change pour eux.
• Si le mode SSL Flexible est un choix délibéré, vous pouvez utiliser Ignorer sur ce contrôle afin qu’il ne compte plus dans le statut de sécurité de la zone, comme pour tout autre contrôle.

NoteLe bouclier affiché à côté de chaque zone dans votre liste de zones reflète également ces contrôles, de sorte qu’une zone servant du trafic non chiffré n’apparaît plus en vert depuis la vue d’ensemble.