Cloudflare-instellingen die de adviseur controleert

Als de DNS van je website bij Cloudflare wordt gehost, legt dit artikel de extra beveiligingscontroles uit die InfraNest uitvoert op je Cloudflare-instellingen — nuttig voor iedereen die wil dat hun site ook écht zo veilig is als ze eruitziet.

#Overzicht

• Je DNS-records bepalen waar je site zich bevindt, maar de eigen instellingen van Cloudflare bepalen hoe die wordt geleverd — en die instellingen kunnen bezoekers in stilte onbeschermd laten, zelfs als je records er prima uitzien.
• De Security Advisor leest deze instellingen uit en rapporteert erover, naast je gebruikelijke recordcontroles.
• InfraNest wijzigt nooit een van deze instellingen voor je — het meldt alleen wat er is gevonden, met een knop Openen in Cloudflare die je direct naar de juiste pagina brengt om het te verhelpen.

#De controles begrijpen

1. SSL-modus — dit is de instelling die het vaakst fout staat, en die het meest doorslaggevend is. Deze bepaalt hoe Cloudflare communiceert met je eigen server.

• Flexible versleutelt het verkeer naar je bezoekers, maar communiceert onversleuteld met je server — dit wordt gemarkeerd als fout.
• Off levert de site helemaal zonder versleuteling.
• Full versleutelt de verbinding naar je server, maar controleert niet wie er antwoordt.
• Full (strict) is over de hele route versleuteld, met controle van het certificaat van je server — dit is wat je wilt.
• Om dit te wijzigen: open in Cloudflare SSL/TLS → Overview en kies Full (strict). Als je server een zelfondertekend certificaat gebruikt en dit de site breekt, kies dan Full en haal in plaats daarvan een gratis certificaat bij Let's Encrypt.

2. Minimum TLS version — TLS 1.0 en 1.1 zijn uitgefaseerd en niet meer veilig, maar Cloudflare staat ze nog steeds toe, tenzij je dit zelf uitschakelt.

   • Om dit te wijzigen: ga naar SSL/TLS → Edge Certificates en stel Minimum TLS Version in op 1.2.

3. Always Use HTTPS — zonder dit blijft iedereen die je adres zonder https:// intypt, of een oude link volgt, op de onversleutelde versie in plaats van te worden doorgestuurd naar de beveiligde versie.

   • Om dit te wijzigen: ga naar SSL/TLS → Edge Certificates en zet Always Use HTTPS aan.

4. HSTS — vertelt browsers om je site helemaal te weigeren over een onversleutelde verbinding, waardoor ook het allereerste verzoek van een bezoeker wordt afgedekt.

   WarningZet dit pas aan zodra elk subdomein HTTPS aanbiedt. Browsers onthouden deze instructie zo lang als jij aangeeft, en het later weer uitzetten zorgt er niet voor dat ze het vergeten — alles wat geen HTTPS aanbiedt, wordt tot die tijd onbereikbaar voor terugkerende bezoekers. Daarom rapporteert de adviseur dit als informatie en niet als waarschuwing.

   • Om dit te wijzigen: ga naar SSL/TLS → Edge Certificates → HTTP Strict Transport Security.

5. Development mode — schakelt de cache van Cloudflare uit zodat je wijzigingen direct ziet, maar zolang dit aanstaat, gaat elk verzoek rechtstreeks naar je eigen server, waardoor de site trager wordt en de volledige belasting op je server terechtkomt. Cloudflare schakelt dit automatisch na drie uur uit, en de adviseur rapporteert het niet meer zodra die tijd is verstreken.

• Om dit te wijzigen: open Overview in Cloudflare en zet Development Mode uit.

#Een ontbrekende controle oplossen

1. Als je Cloudflare-verbinding is ingesteld vóór augustus 2026, is er bij het aanmaken van de API-sleutel nooit toestemming gevraagd om deze instellingen te lezen, waardoor Cloudflare het verzoek weigert. In dat geval toont de adviseur alleen de recordcontroles met een notitie die dit uitlegt — de ontbrekende controles worden nooit als geslaagd gemarkeerd.
2. Je DNS wordt hierdoor niet beïnvloed en blijft precies zo werken als voorheen.
3. Om de controles terug te krijgen, open je Integrations in de zijbalk en vervolgens je Cloudflare-verbinding.
4. Maak een nieuw API-token aan vanaf het koppelscherm — de link daar selecteert alle machtigingen die InfraNest nodig heeft vooraf — of koppel opnieuw met Connect with Cloudflare.

#Tips

• Deze controles verschijnen alleen voor zones die bij Cloudflare worden gehost. Andere DNS-providers bieden dit soort instellingen niet aan, dus voor hen verandert er niets.
• Als de Flexible SSL-modus een bewuste keuze is, kun je Ignore gebruiken bij die controle, zodat deze niet meer meetelt voor de beveiligingsstatus van de zone, net als bij elke andere controle.

NoteHet schild dat naast elke zone in je zonelijst wordt getoond, weerspiegelt ook deze controles, dus een zone die onversleuteld verkeer aflevert, ziet er vanuit het overzicht niet langer groen uit.