Como instalar Cloudflare em um site WordPress (2026): Guia passo a passo - PT

Metade dos tutoriais on-line do Cloudflare para WordPress ainda dizem para você ativar o Auto Minify. Essa mudança não existe mais. Cloudflare retirou-o em agosto 5, 2024, e a maneira certa de conectar os dois mudou com isso: agora você vincula o plugin a um token de API, não a antiga combinação de e-mail e chave de API. Este passo a passo usa o painel atual, o plugin atual (versão 4.14.3), e as configurações que ainda importam em 2026.

Resposta rápida: Crie uma conta Cloudflare gratuita, adicione seu domínio, e troque seus servidores de nomes em seu registrador para os dois que a Cloudflare oferece. Definir SSL/TLS para completo (estrito), ative Sempre usar HTTPS, em seguida, instale o plugin oficial da Cloudflare no WordPress e conecte-o a um Token de API do modelo WordPress. Aplique as configurações recomendadas, ative o APO se quiser que o HTML seja armazenado em cache na borda, e você terminou. A maioria dos sites termina abaixo 30 minutos, menos propagação de DNS.

Última revisão: Junho 2026. Etapas verificadas no painel atual da Cloudflare e no plugin Cloudflare WordPress v4.14.3 (testado até WordPress 6.9).

O que diferencia este guia dos obsoletos: ele ignora o conselho obsoleto do Auto Minify, usa o login baseado em token (o método email-plus-API-key é o caminho antigo), e informa qual plano você realmente precisa, em vez de empurrá-lo para o Pro. Você pode correr rápido, site WordPress protegido apenas no nível gratuito.

O que o Cloudflare realmente faz por um site WordPress

Dois empregos, realmente. Primeiro, é uma rede de entrega de conteúdo. Cloudflare copia seus arquivos estáticos (imagens, CSS, Javascript) para data centers em todo o mundo, então um visitante em Sydney os extrai de um servidor próximo em vez de seu host de origem em, dizer, Dallas. Isso reduz a latência. Se você quiser uma explicação mais longa sobre como um CDN melhora o tempo de carregamento, nós cobrimos a mecânica lá.

Segundo, ele fica na frente do seu site como um proxy reverso. O tráfego chega à Cloudflare antes de chegar ao seu servidor, o que significa que a Cloudflare pode filtrar solicitações incorretas, absorver inundações DDoS, e distribua um certificado SSL grátis. Seu IP de origem permanece oculto. Atacantes veem Cloudflare, não é seu anfitrião.

A ideia chave para se agarrar: assim que seus registros DNS forem “laranja-nublado” (procurado), rotas de tráfego através do Cloudflare. Os registros em nuvem cinza são resolvidos diretamente no seu servidor, sem proteção ou cache. A nuvem laranja é o ponto principal.

Antes de começar: Seu site está pronto para Cloudflare??

Primeiro, uma verificação da realidade: este guia é para WordPress auto-hospedado (um site WordPress.org onde você controla seu próprio domínio e DNS). Se você estiver nos planos gratuitos ou de nível inferior do WordPress.com, você não pode alterar os servidores de nomes ou instalar o plugin, então nada disso se aplica até que você mude para auto-hospedagem. Supondo que você seja auto-hospedado, você precisa de três coisas. Perca um e a configuração para no meio do caminho.

• Acesso ao seu registrador de domínio. Você mudará os servidores de nomes onde quer que tenha comprado o domínio (Vai Papai, Namecheap, painel do seu host). Se outra pessoa gerencia seu domínio, enrole-os agora.
• Um certificado SSL válido no seu servidor de origem. Quase todos os hosts distribuem certificados Let's Encrypt gratuitos atualmente. Você precisa de um para o Full (estrito) modo que definiremos mais tarde. Nenhum certificado de origem significa loops de redirecionamento.
• Acesso de administrador ao WordPress. A instalação do plugin requer um login de administrador real, não é uma conta de editor.

Mais uma coisa que vale a pena conferir: uma origem rápida ainda importa. Cloudflare armazena em cache e protege, mas não pode consertar uma lentidão, servidor sobrecarregado nas solicitações dinâmicas que não armazena em cache. Se o seu host é o gargalo, um CDN apenas mascara parte do problema. Emparelhando Cloudflare com Hospedagem WordPress baseada em SSD dá à rede de borda algo rápido para recorrer.

Grátis versus. Pago: Qual plano Cloudflare você precisa?

Tomada honesta: a maioria dos sites WordPress nunca precisa pagar um centavo à Cloudflare. O plano gratuito cobre o básico que importa.

• Livre (US$ 0/mês). CDN Global, proteção DDoS ilimitada, um certificado SSL universal, DNS rápido, e um conjunto de regras de firewall gerenciado gratuito. Largura de banda ilimitada. Isso é suficiente para blogs, sites de folhetos, e páginas de pequenas empresas.
• Pró (USD 20/mês anual, ou USD 25/mês mensalmente). Adiciona otimização de imagem sem perdas, o Firewall de Aplicativo Web completo, e melhores análises. Procure-o quando a segurança ou páginas com muitas imagens justificarem o custo.
• O negócio (USD 200/mês anual, ou USD 250/mês mensalmente). PCI DSS 4.0 conformidade, regras WAF personalizadas, e um 100% SLA de tempo de atividade. Este é o território de comércio eletrônico e dados regulamentados.
• Empreendimento. Preços personalizados, cobrado anualmente, com suporte dedicado e priorização de rede.

O extra pago que é realmente tentador para um blog movimentado é APO a US$ 5/mês no plano gratuito. APO (Otimização Automática da Plataforma) armazena em cache suas páginas HTML completas na borda da Cloudflare, não apenas arquivos estáticos, portanto, até mesmo páginas dinâmicas desconectadas são carregadas do data center mais próximo. Os testes da Kinsta relataram ganhos de carregamento de página de até 300% com ele habilitado. APO é fornecido gratuitamente no Pro e superior. Uma peculiaridade de faturamento para lembrar: Cobranças da Cloudflare por domínio (zona), então um plano pago cobre um site, não toda a sua conta.

Degrau 1: Crie uma conta Cloudflare e adicione seu site

Comece na página de inscrição da Cloudflare. Quando você estiver dentro:

• Cadastre-se e adicione um site. Insira seu domínio básico (example.com, sem https, não www).
• Escolha o plano Gratuito quando solicitado, a menos que você já saiba que precisa do Pro.
• Deixe a Cloudflare verificar seu DNS. Ele extrai seus registros existentes automaticamente. Isso leva alguns segundos.
• Revise os registros. Confirme seu registro A (e quaisquer registros de e-mail ou subdomínio) me deparei. Seus registros da web devem mostrar uma nuvem laranja (procurado). Deixe os registros de e-mail em nuvem cinza, ou e-mail pode quebrar.

Pegar 30 segundos aqui para comparar a lista importada com seu DNS antigo. Se um registro estiver faltando, adicione-o manualmente antes de prosseguir. Um registro MX ignorado é o motivo clássico pelo qual o e-mail morre após uma troca da Cloudflare.

Degrau 2: Aponte seu domínio para Cloudflare

Esta é a etapa que ativa tudo. Cloudflare mostra dois servidores de nomes, algo como dana.ns.cloudflare.com e rob.ns.cloudflare.com. Eles são exclusivos da sua conta.

• Copie ambos os servidores de nomes na tela de visão geral do Cloudflare.
• Faça login no seu registrador (onde você comprou o domínio).
• Encontre a configuração do servidor de nomes, geralmente sob “DNS” ou “Gerenciamento de domínio.”
• Substitua os servidores de nomes existentes com os dois da Cloudflare. Exclua os antigos; não adicione Cloudflare junto com eles.
• Salve .

Agora você espera. Mudanças no servidor de nomes se propagam pela Internet, e isso pode levar de alguns minutos para 24 horas, embora geralmente seja rápido 2026. Cloudflare envia um e-mail para você quando seu site está ativo. Seu site fica online o tempo todo, então não há tempo de inatividade com que se preocupar.

Degrau 3: Defina o modo SSL/TLS como completo (estrito)

Se errar, você passará uma tarde perseguindo loops de redirecionamento. No painel Cloudflare, abrir SSL / TLS → Visão geral e escolha seu modo.

• Cheio (estrito) é a resposta certa. Ele criptografa o tráfego nos dois sentidos e verifica se o seu certificado de origem é válido. Use-o sempre que seu host fornecer um certificado SSL real, que é quase sempre.
• Flexível é a armadilha. Criptografa apenas entre o visitante e a Cloudflare, deixando a perna de origem sem criptografia. No WordPress, causa loops de redirecionamento infinitos e avisos de conteúdo misto. Ignorar.

Enquanto você estiver na área SSL/TLS, ligar Sempre use HTTPS para que todos os visitantes acessem a versão segura, independentemente do que digitaram, e habilite reescritas automáticas de HTTPS para limpar links HTTP perdidos dentro de suas páginas. Se você estiver em infraestrutura gerenciada, seu provedor quase certamente já emite um certificado de origem válido; nosso resumo de anfitriões WordPress geridos observa quais deles agrupam SSL grátis por padrão.

Degrau 4: Instale o plug-in WordPress da Cloudflare

Você não precisa estritamente do plugin para que o Cloudflare funcione. Somente a opção de servidor de nomes fornece o CDN, SSL, e proteção DDoS. Mas o plugin é o que facilita o dia a dia, e é necessário se você quiser APO.

• Abra seu painel do WordPress e vá para Plugins → Adicionar novo.
• Procurar “Nuvem flare.” Procure o oficial da Cloudflare, Inc. Isso mostra 200,000+ instalações ativas e foi atualizado pela última vez no mês passado.
• Clique em Instalar agora, então Ativar.

O que o plugin compra para você: limpeza de cache com um clique ao publicar edições, um clique “aplicar configurações recomendadas” botão, e a alternância para APO. Sem ele, você limparia o cache manualmente no painel do Cloudflare toda vez que ajustar uma página.

Degrau 5: Conecte o plug-in com um token de API

É aqui que os guias antigos o desviarão. Eles dizem para você colar o e-mail da sua conta e a chave global da API. Não. O método token é mais seguro porque concede apenas as permissões que o plugin precisa, e você pode revogá-lo sem redefinir toda a sua conta.

• No painel Cloudflare, abra seu perfil, então Tokens de API, e clique Criar token.
• Escolha o “WordPress” modelo. Cloudflare preenche exatamente as permissões que o plugin requer. Sem suposições.
• Continuar para o resumo, então Criar token. Copie o token agora; você não poderá visualizá-lo novamente mais tarde.
• De volta ao WordPress, abra as configurações do plugin Cloudflare, escolha fazer login com uma conta existente, insira o e-mail da sua conta, e cole o token.
• Save your credentials. The plugin connects and shows your domain.

If the connection fails, the usual cause is a token created from the wrong template or a stray space copied with the token. Regenerate from the WordPress template and try again rather than fiddling with custom permissions.

Degrau 6: Aplique as configurações recomendadas e ative o APO

With the plugin connected, two quick moves finish the job.

• Clique “Aplique” on recommended settings. The plugin configures a sensible WordPress-friendly baseline in one go.
• Toggle APO to On if you bought it or you’re on a paid plan. This is what caches full HTML pages at the edge.

Important caveat before you enable APO: turn off any page-caching plugin you already run. Cloudflare specifically names WP Rocket and W3 Total Cache as plugins to disable first, because two caching layers fighting each other produce stale pages and odd behavior. Set up APO, confirm it works, then decide whether you even still need the other plugin (often you won’t for page caching, though you might keep it for file optimization).

As configurações que realmente importam 2026 (e aquele que se foi)

Este é o lugar onde 2026 differs from the guides written three years ago. A few specifics:

• Auto Minify is gone. Cloudflare removed it on August 5, 2024. If a tutorial tells you to enable it, that tutorial is out of date. Handle CSS and JavaScript minification inside WordPress instead, through a performance plugin.
• Compression runs automatically. There’s no Brotli toggle to flip anymore. Cloudflare compresses your text files on its own, using Zstandard on the free plan (it switched over from Brotli back in 2024) and Brotli on Pro and Business. Any guide telling you to “turn on Brotli” está descrevendo uma configuração que desapareceu.
• Carregador de foguetes: teste antes de confiar. Adia o JavaScript para acelerar a primeira pintura, mas quebra alguns temas e controles deslizantes. Ligue, clique em seu site, e reverter se alguma coisa se comportar mal.
• TTL do cache do navegador. Deixe em “Respeite os cabeçalhos existentes” se o seu host já define cabeçalhos de cache sensatos, ou escolha alguns dias para ativos estáticos.
• Não armazene em cache a área de administração. Com APO ativo, Cloudflare já pula sessões wp-admin e logadas automaticamente. Se você estiver armazenando em cache sem APO por meio de uma regra de página, adicione uma regra de desvio para /wp-admin* e /wp-login.php para que o painel não exiba telas obsoletas.

A proteção DDoS é executada em segundo plano em todos os planos, nenhuma configuração necessária. Se você alguma vez passar por uma inundação ativa, ligar “Estou sob modo de ataque” no painel para uma verificação extra de cada visitante, então desligue-o assim que o ataque passar. Se parar os ataques é a sua principal razão para estar aqui, nosso guia para Proteção DDoS em hospedagem explica o que o nível gratuito termina e onde você deseja mais.

Como confirmar se o Cloudflare está realmente funcionando

Não presuma que está ativo só porque você concluiu as etapas. Verifique.

• Verifique o e-mail de ativação, ou veja a visão geral da Cloudflare. A “Ativo” status significa que os servidores de nomes foram trocados.
• Inspecione os cabeçalhos de resposta. Abra as ferramentas de desenvolvedor do seu navegador, recarregue sua página inicial, e olhe para a guia Rede. Uma leitura de cabeçalho servidor: nuvemflare e um cf-cache-status valor confirmar se o tráfego está sendo roteado pela Cloudflare.
• Assistir cf-cache-status. UMA “BATER” significa que a página foi veiculada no cache; “DINÂMICO” ou “PERDER” significa que veio da sua origem. Com APO ativado, suas páginas HTML devem começar a mostrar HIT após os primeiros carregamentos.
• Carregue uma página duas vezes. A segunda visita deve parecer mais rápida à medida que os ativos em cache entram em ação.

Solução de problemas comuns do Cloudflare

O site mostra “muitos redirecionamentos”

Incompatibilidade SSL clássica. Seu modo está definido como Flexível enquanto o WordPress força HTTPS, então as duas solicitações de rejeição vão e voltam. Mudar SSL/TLS para Cheio (estrito) e o loop é limpo.

Minhas alterações não aparecem

Cloudflare está servindo uma cópia em cache. Limpe-o do plugin (ou o painel “Purgar tudo”), em seguida, atualize seu navegador. O plugin é eliminado automaticamente na maioria das edições, mas grandes alterações de tema ou CSS às vezes precisam de uma limpeza manual. Fazendo um trabalho pesado de design? Ative o modo de desenvolvimento no painel Cloudflare. Ele pausa o cache temporariamente para que você veja todas as alterações ao vivo, então desliga sozinho.

O e-mail parou de funcionar após a mudança

Seus registros MX não foram transferidos, ou eles ficaram com uma nuvem laranja por engano. Os registros de correio devem permanecer na nuvem cinza (Apenas DNS). Verifique novamente a guia DNS e corrija todas as entradas de email com proxy.

Visitantes reais estão recebendo um CAPTCHA ou sendo bloqueados

Uma regra de firewall ou modo Bot Fight está sendo muito agressivo. Abra o log de eventos de segurança, encontre a regra que acionou, e soltá-lo. No Pro e superior, ligue o “Otimize para WordPress” opção dentro do Super Bot Fight Mode para que Cloudflare pare de bloquear as próprias solicitações de loopback do WordPress (as chamadas que o painel e os cron jobs fazem de volta ao seu site).

perguntas frequentes

O Cloudflare é gratuito para WordPress??

sim. O plano gratuito oferece o CDN global, proteção DDoS ilimitada, um certificado SSL gratuito, e largura de banda ilimitada, que abrange a maioria dos blogs e sites de pequenas empresas. Você pagaria apenas pelo Pro (USD 20/mês anual) se você precisar do firewall completo ou otimização de imagem, ou US$ 5/mês para cache HTML de borda APO.

O Cloudflare realmente acelera o WordPress?

Para visitantes distantes do seu servidor, claramente sim, porque os arquivos estáticos são carregados de um data center próximo em vez de cruzar oceanos. O salto maior vem do APO, que armazena em cache páginas HTML completas na borda; Kinsta mediu ganhos de tempo de carregamento de até 300% com isso ligado. Se todo o seu tráfego for local para o seu host, o ganho é menor.

Preciso do plugin Cloudflare, ou apenas os servidores de nomes?

Somente a opção de servidor de nomes fornece o CDN, SSL, e proteção DDoS. O plugin adiciona limpeza de cache com um clique, configurações recomendadas fáceis, e o botão APO. Se você quiser APO, o plugin é necessário. Para uma configuração básica gratuita, é opcional, mas útil.

Devo usar Completo ou Completo (estrito) SSL com WordPress?

Usar completo (estrito) sempre que seu host fornecer um certificado SSL válido, o que quase sempre é verdade hoje. Ele criptografa ambas as partes da conexão e valida o certificado de origem. Evite flexível: no WordPress, ele aciona loops de redirecionamento e erros de conteúdo misto.

O Cloudflare APO vale USD 5 um mês?

Para um blog com muito conteúdo, público global e sem plug-in de cache de página existente, sim, o cache HTML de ponta é uma verdadeira vitória em velocidade pelo preço. Se você já executa um plugin de cache forte em um host rápido, ou seus leitores estão todos perto do seu servidor, o CDN gratuito por si só pode ser suficiente. De qualquer maneira, é fornecido gratuitamente no Pro.

Cloudflare pode quebrar meu site WordPress?

Pode, se estiver mal configurado. Os dois culpados habituais são SSL flexível (loops de redirecionamento) e empilhar APO em cima de outro plugin de cache (páginas obsoletas). Definir SSL como completo (estrito), desabilitar plugins de cache concorrentes antes de habilitar o APO, e a maioria dos problemas nunca aparece.

Próximas etapas após o lançamento do Cloudflare

Você tem uma velocidade mais rápida, escondido, e origem protegida. O acompanhamento natural é ajustar as partes que a Cloudflare não consegue consertar para você: a velocidade do seu servidor de origem e o desempenho na página. Um CDN reduz o tempo de entrega, mas um host lento ainda arrasta suas páginas dinâmicas, então vale a pena ler nosso fórmula de velocidade de hospedagem para ver onde está o seu verdadeiro gargalo. Isso combina com a comparação de CDN e o resumo de hospedagem SSD WordPress vinculado acima, which cover the edge and origin sides respectively. Cloudflare handles the edge; a quick host and clean code handle the rest.