Comment installer Cloudflare sur un site Web WordPress (2026): Guide étape par étape - FR

La moitié des didacticiels Cloudflare pour WordPress en ligne vous disent toujours d'activer la réduction automatique. Ce commutateur n'existe plus. Cloudflare retired it on août 5, 2024, et la bonne façon de connecter les deux a changé avec cela: you now link the plugin with an API token, not the old email-and-API-key combo. This walkthrough uses the current dashboard, the current plugin (version 4.14.3), and the settings that still matter in 2026.

Réponse rapide: Create a free Cloudflare account, add your domain, et changez vos serveurs de noms chez votre registraire vers les deux que Cloudflare vous propose. Ensemble SSL/TLS vers complet (strict), activer Toujours utiliser HTTPS, puis installez le plugin officiel Cloudflare dans WordPress et connectez-le avec un Jeton API de modèle WordPress. Appliquer les paramètres recommandés, activez APO si vous voulez que le HTML soit mis en cache au bord, et tu as fini. La plupart des sites finissent en dessous 30 minutes, moins la propagation DNS.

Dernière révision: juin 2026. Étapes vérifiées par rapport au tableau de bord Cloudflare actuel et au plugin Cloudflare WordPress v4.14.3 (testé jusqu'à WordPress 6.9).

Ce qui distingue ce guide des guides obsolètes: il ignore les conseils obsolètes d'Auto Minify, utilise la connexion basée sur un jeton (la méthode email-plus-API-key est l'ancien chemin), et vous indique de quel forfait vous avez réellement besoin au lieu de vous pousser vers Pro. Tu peux courir vite, site WordPress protégé uniquement sur le niveau gratuit.

Ce que Cloudflare fait réellement pour un site WordPress

Deux emplois, vraiment. Première, c'est un réseau de diffusion de contenu. Cloudflare copie vos fichiers statiques (images, CSS, Javascript) aux centres de données du monde entier, donc un visiteur à Sydney les extrait d'un serveur à proximité au lieu de votre hôte d'origine à, dire, Dallas. Cela réduit la latence. Si vous voulez une explication plus longue sur la façon dont un CDN améliore les temps de chargement, nous y couvrons la mécanique.

Deuxième, il se trouve devant votre site en tant que proxy inverse. Le trafic atteint Cloudflare avant d'atteindre votre serveur, ce qui signifie que Cloudflare peut filtrer les mauvaises requêtes, absorber les inondations DDoS, et distribuez un certificat SSL gratuit. Votre IP d'origine reste cachée. Les attaquants voient Cloudflare, pas votre hôte.

L’idée clé à retenir: une fois vos enregistrements DNS “nuageux orange” (mandaté), itinéraires de circulation via Cloudflare. Les enregistrements grisés sont directement transférés sur votre serveur, sans protection ni mise en cache.. Le nuage orange est tout l'intérêt.

Avant de commencer: Votre site est-il prêt pour Cloudflare?

Première, a reality check: this guide is for self-hosted WordPress (a WordPress.org site where you control your own domain and DNS). If you’re on WordPress.com’s free or lower-tier plans, you can’t change nameservers or install the plugin, so none of this applies until you move to self-hosting. Assuming you’re self-hosted, you need three things. Miss one and the setup stalls halfway.

• Access to your domain registrar. You’ll change nameservers wherever you bought the domain (Allez papa, Namecheap, your host’s panel). If someone else manages your domain, loop them in now.
• A valid SSL certificate on your origin server. Almost every host hands out free Let’s Encrypt certificates these days. You need one for the Full (strict) mode we’ll set later. No origin cert means redirect loops.
• Admin access to WordPress. L'installation du plugin nécessite une véritable connexion administrateur, pas un compte éditeur.

Encore une chose à vérifier: une origine rapide compte toujours. Cloudflare met en cache et protège, mais il ne peut pas résoudre un problème de lenteur, serveur surchargé sur les requêtes dynamiques qu'il ne met pas en cache. Si votre hôte est le goulot d'étranglement, un CDN ne masque qu'une partie du problème. Associer Cloudflare avec Hébergement WordPress basé sur SSD donne au réseau périphérique quelque chose sur lequel s'appuyer rapidement.

Gratuit contre. Payé: De quel forfait Cloudflare avez-vous besoin?

Prise honnête: la plupart des sites WordPress n'ont jamais besoin de payer un centime à Cloudflare. Le plan gratuit couvre les bases qui comptent.

• Gratuit (0 USD/mois). CDN mondial, protection DDoS illimitée, un certificat SSL universel, DNS rapide, et un ensemble de règles de pare-feu géré gratuit. Bande passante illimitée. C'est suffisant pour les blogs, sites de brochures, et pages pour petites entreprises.
• Pro (20 USD/mois annuel, ou 25 USD/mois mensuellement). Ajoute une optimisation d'image sans perte, le pare-feu d'applications Web complet, et de meilleures analyses. Atteignez-le lorsque la sécurité ou les pages riches en images justifient le coût.
• Affaires (200 USD/mois annuel, ou 250 USD/mois mensuellement). PCI DSS 4.0 conformité, règles WAF personnalisées, et un 100% SLA de disponibilité. C'est le territoire du commerce électronique et des données réglementées.
• Entreprise. Tarification personnalisée, facturé annuellement, avec un support dédié et une priorisation du réseau.

Le seul supplément payant qui est réellement tentant pour un blog occupé est APO à 5 USD/mois sur le forfait gratuit. APO (Optimisation automatique de la plateforme) met en cache vos pages HTML complètes à la périphérie de Cloudflare, pas seulement des fichiers statiques, Ainsi, même les pages dynamiques déconnectées se chargent depuis le centre de données le plus proche.. Les tests de Kinsta ont rapporté des gains de chargement de page allant jusqu'à 300% avec il est activé. APO est fourni gratuitement sur Pro et supérieur. Une bizarrerie de facturation à retenir: Frais Cloudflare par domaine (zone), donc un forfait payant couvre un site, pas tout votre compte.

Étape 1: Créez un compte Cloudflare et ajoutez votre site

Commencez par la page d'inscription Cloudflare. Une fois que vous êtes dedans:

• Inscrivez-vous et ajoutez un site. Entrez votre domaine nu (exemple.com, pas de https, non www).
• Choisissez le forfait gratuit lorsque vous y êtes invité, sauf si vous savez déjà que vous avez besoin de Pro.
• Laissez Cloudflare analyser votre DNS. Il récupère automatiquement vos enregistrements existants. Cela prend quelques secondes.
• Examiner les dossiers. Confirmez votre enregistrement A (et tous les enregistrements de courrier ou de sous-domaine) suis tombé sur. Vos enregistrements Web devraient afficher un nuage orange (mandaté). Laisser les enregistrements de courrier grisés, ou l'e-mail peut se briser.

Prendre 30 secondes ici pour comparer la liste importée avec votre ancien DNS. S'il manque un enregistrement, ajoutez-le manuellement avant de continuer. Un enregistrement MX ignoré est la raison classique pour laquelle le courrier électronique disparaît après un changement de Cloudflare.

Étape 2: Pointez votre domaine vers Cloudflare

C'est l'étape qui active tout. Cloudflare vous montre deux serveurs de noms, quelque chose comme dana.ns.cloudflare.com et rob.ns.cloudflare.com. Ils sont uniques à votre compte.

• Copiez les deux serveurs de noms depuis l'écran de présentation de Cloudflare.
• Connectez-vous à votre registraire (où vous avez acheté le domaine).
• Trouver le paramètre du serveur de noms, généralement sous “DNS” ou “Gestion de domaine.”
• Remplacer les serveurs de noms existants avec les deux de Cloudflare. Supprimez les anciens; n'ajoutez pas Cloudflare à côté d'eux.
• sauver.

Maintenant tu attends. Les modifications du serveur de noms se propagent sur Internet, et cela peut prendre de quelques minutes à 24 heures, même si c'est généralement rapide 2026. Cloudflare vous envoie un e-mail lorsque votre site est actif. Votre site reste en ligne tout le temps, il n'y a donc pas de temps d'arrêt à craindre.

Étape 3: Définissez le mode SSL/TLS sur Complet (strict)

Si vous vous trompez, vous passerez un après-midi à rechercher des boucles de redirection. Dans le tableau de bord Cloudflare, ouvert SSL / TLS → Aperçu et choisissez votre mode.

• Plein (strict) est la bonne réponse. Il crypte le trafic dans les deux sens et vérifie que votre certificat d'origine est valide. Utilisez-le chaque fois que votre hébergeur vous donne un véritable certificat SSL, ce qui est presque toujours.
• La flexibilité est le piège. Il chiffre uniquement entre le visiteur et Cloudflare, laisser la jambe d'origine non chiffrée. Sur WordPress, cela provoque des boucles de redirection infinies et des avertissements de contenu mixte. Sautez-le.

Pendant que vous êtes dans la zone SSL/TLS, allumer Utilisez toujours HTTPS afin que chaque visiteur atterrisse sur la version sécurisée, peu importe ce qu'il a tapé, et activez les réécritures HTTPS automatiques pour nettoyer les liens HTTP parasites dans vos pages. Si vous utilisez une infrastructure gérée, votre fournisseur délivre presque certainement déjà un certificat d'origine valide; notre tour d'horizon de hôtes WordPress gérés note lesquels regroupent SSL gratuit par défaut.

Étape 4: Installez le plugin WordPress Cloudflare

Vous n’avez pas strictement besoin du plugin pour que Cloudflare fonctionne. Le commutateur de serveur de noms à lui seul vous permet d'obtenir le CDN, SSL, et protection DDoS. Mais c’est le plugin qui facilite la vie au quotidien, et c'est obligatoire si vous voulez APO.

• Ouvrez votre tableau de bord WordPress et allez à Plugins → Ajouter un nouveau.
• Rechercher “Flare nuageuse.” Recherchez celui officiel de Cloudflare, Inc. Cela montre 200,000+ installations actives et a été mis à jour pour la dernière fois au cours du mois dernier.
• Cliquez sur Installer maintenant, puis Activer.

Ce que le plugin vous achète: purge du cache en un clic lorsque vous publiez des modifications, un clic “appliquer les paramètres recommandés” bouton, et la bascule pour APO. Sans ça, vous videriez le cache manuellement du tableau de bord Cloudflare à chaque fois que vous modifieriez une page.

Étape 5: Connectez le plugin avec un jeton API

Voici où les anciens guides vous égareront. Ils vous disent de coller l'e-mail de votre compte et la clé API globale. Ne le faites pas. La méthode du jeton est plus sûre car elle n'accorde que les autorisations dont le plugin a besoin, et vous pouvez le révoquer sans réinitialiser l'intégralité de votre compte.

• Dans le tableau de bord Cloudflare, ouvrez votre profil, puis Jetons API, et cliquez Créer un jeton.
• Choisir la “WordPress” modèle. Cloudflare pré-remplit exactement les autorisations requises par le plugin. Aucune hypothèse.
• Continuer vers le résumé, puis Créer un jeton. Copiez le jeton maintenant; vous ne pourrez pas le revoir plus tard.
• De retour dans WordPress, ouvrez les paramètres du plugin Cloudflare, choisissez de vous connecter avec un compte existant, entrez l'e-mail de votre compte, et collez le jeton.
• Enregistrez vos informations d'identification. Le plugin se connecte et affiche votre domaine.

Si la connexion échoue, la cause habituelle est un jeton créé à partir du mauvais modèle ou un espace parasite copié avec le jeton. Régénérez à partir du modèle WordPress et réessayez plutôt que de jouer avec les autorisations personnalisées.

Étape 6: Appliquer les paramètres recommandés et activer APO

Avec le plugin connecté, deux mouvements rapides terminent le travail.

• Cliquez sur “Appliquer” sur les paramètres recommandés. Le plugin configure une ligne de base raisonnable et conviviale pour WordPress en une seule fois.
• Basculez APO sur Activé si vous l'avez acheté ou si vous bénéficiez d'un forfait payant. C'est ce qui met en cache les pages HTML complètes en bordure.

Mise en garde importante avant d'activer APO: désactivez tout plugin de mise en cache de pages que vous exécutez déjà. Cloudflare nomme spécifiquement WP Rocket et W3 Total Cache comme plugins à désactiver en premier, parce que deux couches de mise en cache qui s'affrontent produisent des pages obsolètes et un comportement étrange. Configurer l'APO, je confirme que ça marche, puis décidez si vous avez encore besoin de l'autre plugin (souvent, vous ne le ferez pas pour la mise en cache des pages, bien que vous puissiez le conserver pour l'optimisation des fichiers).

Les paramètres qui comptent réellement dans 2026 (et celui qui est parti)

C'est ici que 2026 diffère des guides rédigés il y a trois ans. Quelques précisions:

• La réduction automatique a disparu. Cloudflare l'a supprimé en août 5, 2024. Si un tutoriel vous demande de l'activer, ce tutoriel est obsolète. Gérez plutôt la minification CSS et JavaScript dans WordPress, via un plugin de performance.
• La compression s'exécute automatiquement. Il n'y a plus de bascule Brotli à activer. Cloudflare compresse automatiquement vos fichiers texte, utiliser Zstandard sur le plan gratuit (il est passé de Brotli à 2024) et Brotli sur Pro et Business. Tout guide vous disant de “allume Brotli” décrit un paramètre qui a disparu.
• Chargeur de fusée: teste avant de lui faire confiance. Il diffère JavaScript pour accélérer la première peinture, mais ça casse certains thèmes et curseurs. Allumez-le, cliquez sur votre site, et faites-le revenir en arrière si quelque chose se comporte mal.
• Durée de vie du cache du navigateur. Laissez-le à “Respecter les en-têtes existants” si votre hôte définit déjà des en-têtes de cache sains, ou choisissez quelques jours pour les actifs statiques.
• Ne pas mettre en cache la zone d'administration. Avec APO actif, Cloudflare ignore déjà automatiquement les sessions wp-admin et connectées. Si vous effectuez une mise en cache sans APO via une règle de page, ajoutez une règle de contournement pour /wp-admin* et /wp-login.php afin que le tableau de bord ne serve pas d'écrans obsolètes.

La protection DDoS s'exécute en arrière-plan sur chaque plan, aucune configuration nécessaire. Si jamais vous êtes soumis à une inondation active, allumer “Je suis en mode attaque” depuis le tableau de bord pour un contrôle supplémentaire sur chaque visiteur, puis éteignez-le une fois l'attaque passée. Si arrêter les attaques est votre principale raison d'être ici, notre guide pour Protection DDoS dans l'hébergement explique ce que l'offre gratuite s'arrête et où vous en voudriez plus.

Comment confirmer que Cloudflare fonctionne réellement

Ne présumez pas que c'est en direct simplement parce que vous avez terminé les étapes. Vérifiez-le.

• Vérifiez l'e-mail d'activation, ou regardez la présentation de Cloudflare. Une “Actif” le statut signifie que les serveurs de noms ont changé.
• Inspecter les en-têtes de réponse. Ouvrez les outils de développement de votre navigateur, rechargez votre page d'accueil, et regarde l'onglet Réseau. Une lecture d'en-tête serveur: éruption nuageuse et un statut du cache cf la valeur confirme que le trafic est acheminé via Cloudflare.
• Regarder le statut du cache cf. UNE “FRAPPER” signifie que la page a été servie à partir du cache; “DYNAMIQUE” ou “MANQUER” ça veut dire qu'il vient de ton origine. Avec APO activé, vos pages HTML devraient commencer à afficher HIT après les premiers chargements.
• Charger une page deux fois. La deuxième visite devrait être plus rapide à mesure que les actifs mis en cache entrent en jeu.

Dépannage des problèmes courants de Cloudflare

Le site montre “trop de redirections”

Incompatibilité SSL classique. Votre mode est défini sur Flexible tandis que WordPress force HTTPS, donc les deux demandes de rebond vont et viennent. Basculez SSL/TLS vers Plein (strict) et la boucle s'efface.

My changes don’t show up

Cloudflare diffuse une copie en cache. Purgez-le du plugin (ou celui du tableau de bord “Purger tout”), puis actualisez votre navigateur. Le plugin se purge automatiquement sur la plupart des modifications, mais les changements importants de thème ou de CSS nécessitent parfois une suppression manuelle. Effectuer des travaux de conception lourds? Activez le mode développement dans le tableau de bord Cloudflare. Il suspend temporairement la mise en cache afin que vous puissiez voir chaque changement en direct, puis s'éteint.

Email stopped working after the switch

Vos enregistrements MX n'ont pas été transférés, ou ils ont eu un nuage orange par erreur. Les enregistrements de courrier doivent rester grisés (DNS uniquement). Revérifiez l'onglet DNS et corrigez toutes les entrées de courrier proxy.

Real visitors are getting a CAPTCHA or getting blocked

Une règle de pare-feu ou un mode de combat contre les robots est trop agressif. Ouvrez le journal des événements de sécurité, trouver la règle qui a déclenché, et desserrez-le. Sur Pro et supérieur, allumer le “Optimiser pour WordPress” option dans le mode Super Bot Fight afin que Cloudflare arrête de bloquer les propres demandes de bouclage de WordPress (les appels que le tableau de bord et les tâches cron renvoient à votre site).

Questions fréquemment posées

Is Cloudflare free for WordPress?

Oui. Le forfait gratuit vous offre le CDN mondial, protection DDoS illimitée, un certificat SSL gratuit, et bande passante illimitée, qui couvre la plupart des blogs et sites de petites entreprises. Vous ne paierez que pour Pro (20 USD/mois annuel) si vous avez besoin du pare-feu complet ou de l'optimisation d'image, ou 5 USD/mois pour la mise en cache HTML APO Edge.

Does Cloudflare actually speed up WordPress?

Pour les visiteurs éloignés de votre serveur, clairement oui, car les fichiers statiques sont chargés depuis un centre de données proche au lieu de traverser les océans. Le plus gros bond vient d’APO, qui met en cache les pages HTML complètes au bord; Kinsta a mesuré des gains de temps de chargement allant jusqu'à 300% avec ça sur. Si tout votre trafic est local chez votre hôte, le gain est plus petit.

Do I need the Cloudflare plugin, or just the nameservers?

Le commutateur de serveur de noms à lui seul vous permet d'obtenir le CDN, SSL, et protection DDoS. Le plugin ajoute une purge du cache en un clic, paramètres recommandés faciles, et la bascule APO. Si vous voulez APO, le plugin est requis. Pour une configuration de base gratuite, c'est facultatif mais pratique.

Should I use Full or Full (strict) SSL with WordPress?

Utiliser pleinement (strict) chaque fois que votre hébergeur fournit un certificat SSL valide, ce qui est presque toujours vrai aujourd'hui. Il crypte les deux étapes de la connexion et valide le certificat d'origine. Évitez les flexibles: sur WordPress, cela déclenche des boucles de redirection et des erreurs de contenu mixte.

Is Cloudflare APO worth USD 5 un mois?

Pour un blog riche en contenu avec une audience mondiale et sans plugin de cache de pages existant, Oui, la mise en cache HTML de pointe est un véritable gain de vitesse pour le prix. Si vous exécutez déjà un plugin de mise en cache puissant sur un hôte rapide, ou vos lecteurs sont tous à proximité de votre serveur, le CDN gratuit seul peut suffire. De toute façon, il est fourni gratuitement sur Pro.

Can Cloudflare break my WordPress site?

C’est possible s’il est mal configuré. Les deux coupables habituels sont Flexible SSL (rediriger les boucles) et empiler APO sur un autre plugin de mise en cache (pages obsolètes). Définir SSL sur Complet (strict), désactiver les plugins de cache concurrents avant d'activer APO, et la plupart des problèmes n'apparaissent jamais.

Next Steps After Cloudflare Is Live

Vous avez un plus rapide, caché, et origine protégée. Les suivis naturels consistent à régler les pièces que Cloudflare ne peut pas réparer pour vous: la vitesse de votre serveur d'origine et vos performances sur la page. Un CDN réduit les délais de livraison, mais un hôte lent fait toujours glisser vos pages dynamiques, donc ça vaut la peine de lire notre formule de vitesse d'hébergement pour voir où se situe votre véritable goulot d'étranglement. Cela s'associe à la comparaison CDN et au résumé de l'hébergement SSD WordPress lié ci-dessus, qui couvrent respectivement le bord et les côtés d'origine. Cloudflare gère la périphérie; un hôte rapide et un code propre s'occupent du reste.