Come installare Cloudflare su un sito Web WordPress (2026): Guida passo passo - IT

La metà dei tutorial online di Cloudflare per WordPress ti dice ancora di attivare la minimizzazione automatica. Quell'interruttore non esiste più. Cloudflare lo ha ritirato agosto 5, 2024, e con esso è cambiato il modo giusto di connettere i due: ora colleghi il plugin con un token API, non la vecchia combinazione email e chiave API. Questa procedura dettagliata utilizza il dashboard corrente, il plug-in corrente (versione 4.14.3), e le impostazioni che contano ancora 2026.

Risposta rapida: Crea un account Cloudflare gratuito, aggiungi il tuo dominio, e cambia i tuoi server dei nomi presso il tuo registrar con i due che Cloudflare ti offre. Impostato SSL/TLS a pieno (rigoroso), attiva Usa sempre HTTPS, quindi installa il plugin ufficiale Cloudflare in WordPress e collegalo con un file Token API del modello WordPress. Applicare le impostazioni consigliate, attiva APO se desideri che l'HTML venga memorizzato nella cache sul bordo, e il gioco è fatto. La maggior parte dei siti finisce sotto 30 minuti, meno la propagazione DNS.

Ultima revisione: giugno 2026. Passaggi verificati rispetto all'attuale dashboard di Cloudflare e al plugin WordPress di Cloudflare v4.14.3 (testato fino a WordPress 6.9).

Ciò che distingue questa guida da quelle stantie: salta il consiglio deprecato di minimizzazione automatica, utilizza l'accesso basato su token (il metodo email-plus-API-key è il vecchio percorso), e ti dice di quale piano hai effettivamente bisogno invece di spingerti verso Pro. Puoi correre veloce, sito WordPress protetto solo nel livello gratuito.

Cosa fa effettivamente Cloudflare per un sito WordPress

Due lavori, Veramente. Primo, è una rete di distribuzione di contenuti. Cloudflare copia i tuoi file statici (immagini, CSS, JavaScript) ai data center di tutto il mondo, quindi un visitatore a Sydney li preleva da un server vicino invece che dal tuo host di origine, dire, Dallas. Ciò riduce la latenza. Se vuoi la spiegazione più lunga su come a La CDN migliora i tempi di caricamento, copriamo la meccanica lì.

Secondo, si trova davanti al tuo sito come proxy inverso. Il traffico colpisce Cloudflare prima che raggiunga il tuo server, il che significa che Cloudflare può filtrare le richieste errate, assorbire le inondazioni DDoS, e distribuire un certificato SSL gratuito. Il tuo IP di origine rimane nascosto. Gli aggressori vedono Cloudflare, non il tuo ospite.

L'idea chiave a cui aggrapparsi: una volta che i tuoi record DNS sono “offuscato di arancione” (procurato), percorsi di traffico attraverso Cloudflare. I record offuscati vengono risolti direttamente sul tuo server senza protezione o memorizzazione nella cache. La nuvola arancione è il punto centrale.

Prima di iniziare: Il tuo sito è pronto per Cloudflare?

Primo, un controllo della realtà: questa guida è per WordPress ospitato autonomamente (un sito WordPress.org in cui controlli il tuo dominio e DNS). Se utilizzi i piani gratuiti o di livello inferiore di WordPress.com, non puoi cambiare nameserver o installare il plugin, quindi nulla di tutto ciò si applica finché non si passa all'hosting autonomo. Supponendo che tu sia ospitato autonomamente, ti servono tre cose. Ne manchi uno e il setup si blocca a metà strada.

• Accedi al tuo registrar di domini. Cambierai i nameserver ovunque tu abbia acquistato il dominio (Vai papà, Namecheap, il pannello del tuo host). Se qualcun altro gestisce il tuo dominio, collegali adesso.
• Un certificato SSL valido sul tuo server di origine. Quasi tutti gli host distribuiscono certificati Let's Encrypt gratuitamente al giorno d'oggi. Ne hai bisogno per il Full (rigoroso) modalità che imposteremo in seguito. Nessun certificato di origine significa cicli di reindirizzamento.
• Accesso amministratore a WordPress. L'installazione del plugin richiede un vero login amministratore, non un account editore.

Un'altra cosa che vale la pena controllare: un'origine veloce è ancora importante. Cloudflare memorizza nella cache e protegge, ma non può risolvere un problema lento, server sovraccarico sulle richieste dinamiche che non memorizza nella cache. Se il tuo host è il collo di bottiglia, una CDN maschera solo una parte del problema. Associazione di Cloudflare con Hosting WordPress basato su SSD fornisce alla rete edge qualcosa su cui ricorrere rapidamente.

Libero contro. Pagato: Di quale piano Cloudflare hai bisogno?

Presa onesta: la maggior parte dei siti WordPress non ha mai bisogno di pagare un centesimo a Cloudflare. Il piano gratuito copre le nozioni di base che contano.

• Gratuito (0 USD/mese). CDN globale, protezione DDoS illimitata, un certificato SSL universale, DNS veloce, e un set di regole firewall gestito gratuito. Larghezza di banda illimitata. Per i blog questo basta, siti di opuscoli, e pagine di piccole imprese.
• professionista (USD 20/mese annuale, o 25 USD al mese al mese). Aggiunge l'ottimizzazione dell'immagine senza perdita di dati, il Web Application Firewall completo, e una migliore analisi. Raggiungilo quando la sicurezza o le pagine ricche di immagini giustificano il costo.
• Attività commerciale (USD 200/mese annuale, o USD 250/mese mensile). PCI DSS 4.0 conformità, regole WAF personalizzate, e a 100% SLA uptime. Questo è il territorio dell’e-commerce e dei dati regolamentati.
• impresa. Prezzi personalizzati, fatturati ogni anno, con supporto dedicato e priorità di rete.

Quello pagato in più che è davvero allettante per un blog affollato è APO a 5 USD/mese sul piano gratuito. APO (Ottimizzazione automatica della piattaforma) memorizza nella cache le tue pagine HTML complete ai margini di Cloudflare, non solo file statici, quindi anche le pagine dinamiche disconnesse vengono caricate dal data center più vicino. I test di Kinsta hanno riportato guadagni nel caricamento della pagina fino a 300% con esso abilitato. APO è disponibile in bundle gratuitamente su Pro e versioni successive. Una stranezza di fatturazione da ricordare: Cloudflare addebita i costi per dominio (zona), quindi un piano a pagamento copre un sito, non l'intero account.

Passo 1: Crea un account Cloudflare e aggiungi il tuo sito

Inizia dalla pagina di registrazione di Cloudflare. Una volta dentro:

• Iscriviti e aggiungi un sito. Inserisci il tuo dominio nudo (example.com, niente https, niente www).
• Scegli il piano gratuito quando richiesto, a meno che tu non sappia già di aver bisogno di Pro.
• Lascia che Cloudflare esegua la scansione del tuo DNS. Inserisci automaticamente i tuoi record esistenti. L'operazione richiede alcuni secondi.
• Esaminare i record. Conferma il tuo record A (e qualsiasi record di posta o sottodominio) mi sono imbattuto. I tuoi record web dovrebbero mostrare una nuvola arancione (procurato). Lascia i record di posta in grigio, o l'e-mail può rompersi.

Prendere 30 secondi qui per confrontare l'elenco importato con il tuo vecchio DNS. Se manca un record, aggiungilo manualmente prima di andare avanti. Un record MX saltato è il classico motivo per cui l'e-mail muore dopo un passaggio a Cloudflare.

Passo 2: Punta il tuo dominio su Cloudflare

Questo è il passaggio che attiva tutto. Cloudflare ti mostra due nameserver, qualcosa del genere dana.ns.cloudflare.com e rob.ns.cloudflare.com. Sono unici per il tuo account.

• Copia entrambi i nameserver dalla schermata panoramica di Cloudflare.
• Accedi al tuo registrar (dove hai acquistato il dominio).
• Trova l'impostazione del server dei nomi, solitamente sotto “DNS” o “Gestione del dominio.”
• Sostituisci i nameserver esistenti con i due di Cloudflare. Elimina quelli vecchi; non aggiungere Cloudflare insieme a loro.
• Salva.

Ora aspetta. Le modifiche al server dei nomi si propagano su Internet, e ciò può richiedere da pochi minuti a 24 ore, anche se di solito è veloce 2026. Cloudflare ti invia un'email quando il tuo sito è attivo. Il tuo sito rimane online tutto il tempo, quindi non ci sono tempi di inattività di cui preoccuparsi.

Passo 3: Imposta la modalità SSL/TLS su Completa (rigoroso)

Sbagli e passerai un pomeriggio a rincorrere loop di reindirizzamento. Nella dashboard di Cloudflare, Aperto SSL / TLS → Panoramica e scegli la tua modalità.

• Pieno (rigoroso) è la risposta giusta. Crittografa il traffico in entrambe le direzioni e controlla che il tuo certificato di origine sia valido. Usalo ogni volta che il tuo host ti fornisce un vero certificato SSL, il che è quasi sempre.
• La flessibilità è la trappola. Crittografa solo tra il visitatore e Cloudflare, lasciando la tratta di origine non crittografata. Su WordPress provoca cicli di reindirizzamento infiniti e avvisi di contenuto misto. Saltalo.

Mentre ti trovi nell'area SSL/TLS, accendere Utilizza sempre HTTPS quindi ogni visitatore arriva alla versione sicura, indipendentemente da ciò che ha digitato, e abilita le riscritture HTTPS automatiche per ripulire i collegamenti HTTP vaganti all'interno delle tue pagine. Se utilizzi un'infrastruttura gestita, quasi sicuramente il tuo fornitore emette già un certificato di origine valido; la nostra carrellata di host WordPress gestiti nota quali raggruppano SSL gratuito per impostazione predefinita.

Passo 4: Installa il plugin WordPress di Cloudflare

Non hai strettamente bisogno del plugin affinché Cloudflare funzioni. Solo lo switch del nameserver ti dà il CDN, SSL, e protezione DDoS. Ma il plugin è ciò che semplifica la vita quotidiana, ed è necessario se vuoi APO.

• Apri la dashboard di WordPress e vai a plugin → Aggiungere nuova.
• Cercare “Cloudflare.” Cerca quello ufficiale di Cloudflare, Inc. Lo dimostra 200,000+ installazioni attive ed è stato aggiornato l'ultima volta nell'ultimo mese.
• Fare clic su Installa ora, poi Attivare.

Cosa ti offre il plugin: svuotamento della cache con un clic quando pubblichi modifiche, un clic “applicare le impostazioni consigliate” pulsante, e l'interruttore per APO. Senza esso, svuoteresti manualmente la cache dalla dashboard di Cloudflare ogni volta che modifichi una pagina.

Passo 5: Connetti il ​​plugin con un token API

Ecco dove le vecchie guide ti porteranno fuori strada. Ti dicono di incollare l'e-mail del tuo account e la chiave API globale. Non. Il metodo token è più sicuro perché garantisce solo le autorizzazioni necessarie al plugin, e puoi revocarlo senza reimpostare l'intero account.

• Nella dashboard di Cloudflare, apri il tuo profilo, poi Token API, e clicca Crea gettone.
• Scegli il “WordPress” modello. Cloudflare precompila esattamente le autorizzazioni richieste dal plug-in. Nessuna supposizione.
• Continua con il riepilogo, poi Crea gettone. Copia il token adesso; non potrai visualizzarlo di nuovo in seguito.
• Di nuovo in WordPress, apri le impostazioni del plugin Cloudflare, scegliere di accedere con un account esistente, inserisci l'e-mail del tuo account, e incolla il token.
• Salva le tue credenziali. Il plugin si connette e mostra il tuo dominio.

Se la connessione fallisce, la causa più comune è un gettone creato dal modello sbagliato o uno spazio vagante copiato con il gettone. Rigenera dal modello WordPress e riprova invece di armeggiare con autorizzazioni personalizzate.

Passo 6: Applica le impostazioni consigliate e attiva APO

Con il plugin collegato, due mosse rapide completano il lavoro.

• Clic “Applicare” sulle impostazioni consigliate. Il plugin configura in un colpo solo una linea di base sensata e compatibile con WordPress.
• Attiva APO se l'hai acquistato o hai un piano a pagamento. Questo è ciò che memorizza nella cache le pagine HTML complete sul bordo.

Avvertenza importante prima di abilitare APO: disattiva qualsiasi plug-in di memorizzazione nella cache delle pagine già eseguito. Cloudflare nomina specificamente WP Rocket e W3 Cache totale come plugin da disabilitare prima, perché due livelli di memorizzazione nella cache in conflitto tra loro producono pagine obsolete e comportamenti strani. Configura l'APO, conferma che funziona, quindi decidi se hai ancora bisogno dell'altro plugin (spesso non lo farai per la memorizzazione nella cache delle pagine, anche se potresti conservarlo per l'ottimizzazione dei file).

Le impostazioni che contano davvero 2026 (e Colui che non c'è più)

Qui è dove 2026 differisce dalle guide scritte tre anni fa. Alcuni dettagli:

• La minimizzazione automatica è scomparsa. Cloudflare lo ha rimosso ad agosto 5, 2024. Se un tutorial ti dice di abilitarlo, quel tutorial non è aggiornato. Gestisci invece la minimizzazione di CSS e JavaScript all'interno di WordPress, tramite un plugin per le prestazioni.
• La compressione viene eseguita automaticamente. Non è più possibile attivare/disattivare Brotli per capovolgere. Cloudflare comprime da solo i tuoi file di testo, utilizzando Zstandard nel piano gratuito (è passato di nuovo da Brotli 2024) e Brotli su Pro e Business. Qualsiasi guida che te lo dice “accendi Brotli” sta descrivendo un'ambientazione che non c'è più.
• Caricatore di razzi: prova prima di fidarti. Rimanda JavaScript per accelerare la prima verniciatura, ma rompe alcuni temi e cursori. Accendilo, fai clic sul tuo sito, e ripristinalo se qualcosa si comporta male.
• Cache del browser TTL. Lascialo a “Rispettare le intestazioni esistenti” se il tuo host imposta già intestazioni di cache sane, oppure scegli alcuni giorni per le risorse statiche.
• Non memorizzare nella cache l'area di amministrazione. Con APO attivo, Cloudflare salta già automaticamente wp-admin e le sessioni di accesso. Se stai memorizzando nella cache senza APO tramite una regola di pagina, aggiungi una regola di bypass per /wp-admin* e /wp-login.php in modo che la dashboard non mostri schermate obsolete.

La protezione DDoS viene eseguita in background su ogni piano, nessuna configurazione necessaria. Se mai ti trovassi sotto un'alluvione attiva, accendere “Sono in modalità attacco” dalla dashboard per un controllo extra su ogni visitatore, quindi spegnilo una volta terminato l'attacco. Se fermare gli attacchi è la ragione principale per cui sei qui, la nostra guida a Protezione DDoS nell'hosting spiega cosa si ferma il livello gratuito e dove vorresti di più.

Come verificare che Cloudflare funzioni effettivamente

Non dare per scontato che sia live solo perché hai completato i passaggi. Verificalo.

• Controlla l'e-mail di attivazione, oppure guarda la panoramica di Cloudflare. Un “Attivo” lo stato indica che i server dei nomi sono cambiati.
• Esamina le intestazioni della risposta. Apri gli strumenti per sviluppatori del tuo browser, ricarica la tua home page, e guarda la scheda Rete. Una lettura dell'intestazione server: nuvola lampeggiante e a cf-cache-status il valore conferma che il traffico viene instradato tramite Cloudflare.
• Guarda cf-cache-status. UN “COLPO” significa che la pagina è stata servita dalla cache; “DINAMICO” o “MANCARE” significa che proviene dalla tua origine. Con APO attivo, le tue pagine HTML dovrebbero iniziare a mostrare HIT dopo i primi caricamenti.
• Carica una pagina due volte. La seconda visita dovrebbe risultare più rapida man mano che entrano in azione le risorse memorizzate nella cache.

Risoluzione dei problemi comuni di Cloudflare

Il sito mostra “troppi reindirizzamenti”

Mancata corrispondenza SSL classica. La tua modalità è impostata su Flessibile mentre WordPress forza HTTPS, quindi le due richieste rimbalzano avanti e indietro. Passa da SSL/TLS a Pieno (rigoroso) e il ciclo si cancella.

Le mie modifiche non vengono visualizzate

Cloudflare sta fornendo una copia memorizzata nella cache. Eliminalo dal plugin (o quello del cruscotto “Elimina tutto”), quindi aggiorna il tuo browser. Il plugin si elimina automaticamente sulla maggior parte delle modifiche, ma grandi temi o modifiche CSS a volte richiedono una pulizia manuale. Fare un lavoro di progettazione pesante? Attiva la modalità di sviluppo nella dashboard di Cloudflare. Sospende temporaneamente la memorizzazione nella cache in modo da poter vedere ogni modifica in tempo reale, poi si spegne nuovamente.

L'e-mail ha smesso di funzionare dopo il passaggio

I tuoi record MX non sono stati trasferiti, oppure si sono oscurati di arancione per errore. I record di posta devono rimanere offuscati in grigio (Solo DNS). Ricontrolla la scheda DNS e correggi eventuali voci di posta proxy.

I visitatori reali ricevono un CAPTCHA o vengono bloccati

Una regola del firewall o la modalità Lotta Bot sono troppo aggressive. Apri il registro degli eventi di sicurezza, trova la regola che ha attivato, e allentarlo. Su Pro e versioni successive, accendere il “Ottimizza per WordPress” opzione all'interno della modalità Super Bot Fight in modo che Cloudflare smetta di bloccare le richieste di loopback di WordPress (le chiamate che la dashboard e i processi cron effettuano al tuo sito).

Domande frequenti

Cloudflare è gratuito per WordPress?

sì. Il piano gratuito ti offre il CDN globale, protezione DDoS illimitata, un certificato SSL gratuito, e larghezza di banda illimitata, che copre la maggior parte dei blog e dei siti di piccole imprese. Pagheresti solo per Pro (USD 20/mese annuale) se hai bisogno del firewall completo o dell'ottimizzazione dell'immagine, o 5 USD/mese per la memorizzazione nella cache HTML edge APO.

Cloudflare accelera effettivamente WordPress?

Per i visitatori lontani dal tuo server, chiaramente sì, perché i file statici vengono caricati da un data center vicino invece di attraversare gli oceani. Il salto più grande viene dall’APO, che memorizza nella cache le pagine HTML complete sul bordo; Kinsta ha misurato guadagni in termini di tempo di caricamento fino a 300% con esso acceso. Se tutto il tuo traffico è locale al tuo host, il guadagno è minore.

Ho bisogno del plugin Cloudflare, o solo i nameserver?

Solo lo switch del nameserver ti dà il CDN, SSL, e protezione DDoS. Il plugin aggiunge l'eliminazione della cache con un clic, impostazioni semplici consigliate, e l'interruttore APO. Se vuoi l'APO, è richiesto il plug-in. Per una configurazione gratuita di base, è facoltativo ma utile.

Dovrei usare Full o Full (rigoroso) SSL con WordPress?

Usa completo (rigoroso) ogni volta che il tuo host fornisce un certificato SSL valido, il che è quasi sempre vero oggi. Crittografa entrambe le gambe della connessione e convalida il certificato di origine. Evitare Flessibile: su WordPress attiva cicli di reindirizzamento ed errori di contenuto misto.

L'APO di Cloudflare vale USD 5 un mese?

Per un blog ricco di contenuti con un pubblico globale e senza plug-in di cache delle pagine esistente, sì, la memorizzazione nella cache HTML edge è un vero vantaggio in termini di velocità per il prezzo. Se esegui già un potente plug-in di memorizzazione nella cache su un host veloce, oppure i tuoi lettori sono tutti vicini al tuo server, la sola CDN gratuita potrebbe essere sufficiente. È comunque incluso in bundle gratuitamente su Pro.

Cloudflare può danneggiare il mio sito WordPress?

Può se è configurato in modo errato. I due soliti colpevoli sono SSL flessibile (reindirizzare i cicli) e impilare APO sopra un altro plug-in di memorizzazione nella cache (pagine vecchie). Imposta SSL su Completo (rigoroso), disabilitare i plug-in della cache concorrenti prima di abilitare APO, e la maggior parte dei problemi non si presentano mai.

Passaggi successivi dopo la pubblicazione di Cloudflare

Hai un più veloce, nascosto, e origine protetta. Le conseguenze naturali sono la messa a punto delle parti che Cloudflare non può risolvere per te: la velocità del tuo server di origine e le prestazioni sulla pagina. Un CDN riduce i tempi di consegna, ma un host lento trascina ancora le tue pagine dinamiche, quindi vale la pena leggere il nostro formula di velocità di hosting per vedere dove si trova il tuo vero collo di bottiglia. Ciò si abbina al confronto CDN e al riepilogo dell'hosting WordPress SSD collegato sopra, che ricoprono rispettivamente il lato bordo e quello origine. Cloudflare gestisce il limite; un host veloce e un codice pulito gestiscono il resto.