Cloudflare là gì?
Cloudflare là một dịch vụ trung gian đứng giữa người dùng và máy chủ website của bạn, cung cấp đồng thời ba dịch vụ cốt lõi: DNS, CDN (Content Delivery Network) và firewall. Khi triển khai cloudflare wordpress, mọi truy cập đến website của bạn sẽ đi qua hệ thống máy chủ toàn cầu của Cloudflare trước khi đến hosting gốc, giúp tăng tốc độ tải trang, chặn các cuộc tấn công và giảm tải đáng kể cho server.
Với hơn 300 trung tâm dữ liệu trên toàn thế giới, Cloudflare đã trở thành công cụ không thể thiếu cho hầu hết các website WordPress hiện đại – từ blog cá nhân cho đến site thương mại điện tử lớn. Điểm hấp dẫn nhất là gói miễn phí của Cloudflare đã đủ để đáp ứng 80-90% nhu cầu của một website WordPress thông thường.
Khi chưa dùng Cloudflare, người dùng ở Mỹ truy cập website đặt server ở Việt Nam sẽ phải chờ kết nối đi vòng nửa vòng trái đất. Sau khi cài cloudflare wordpress, người dùng đó sẽ được phục vụ nội dung từ trung tâm dữ liệu gần nhất – có thể chỉ cách vài trăm km – giúp thời gian tải giảm từ 3-4 giây xuống còn dưới 1 giây.
Lợi ích chính khi dùng Cloudflare cho WordPress
Một website WordPress sau khi tích hợp Cloudflare đúng cách sẽ nhận được hàng loạt lợi ích thiết thực. Tốc độ tải trang được cải thiện rõ rệt nhờ CDN phân phối nội dung tĩnh từ vị trí gần người dùng nhất. Bảo mật được nâng cao với hệ thống firewall tự động chặn các IP độc hại, bot scan lỗ hổng và các đợt tấn công DDoS. Băng thông server tiết kiệm 40-60% vì phần lớn request được Cloudflare phục vụ thay. Và đặc biệt, SSL miễn phí được cấp phát ngay lập tức cho bất kỳ tên miền nào.
Theo thống kê chính thức từ cloudflare.com, hơn 20% website trên toàn cầu hiện đang sử dụng dịch vụ của họ, trong đó WordPress chiếm tỷ lệ rất lớn nhờ tính tương thích cao và các plugin tích hợp sẵn.
Cách trỏ DNS Cloudflare
Bước đầu tiên và quan trọng nhất khi cài cloudflare wordpress là trỏ DNS của tên miền về Cloudflare. Đây là bước mà tất cả các tính năng khác đều phụ thuộc vào – không trỏ DNS đúng cách thì CDN, firewall, cache đều vô tác dụng.
Bước 1: Đăng ký tài khoản Cloudflare
Truy cập cloudflare.com và đăng ký một tài khoản miễn phí bằng email của bạn. Sau khi xác thực email, đăng nhập vào dashboard và nhấn nút “Add a Site” để thêm tên miền mà bạn muốn quản lý qua Cloudflare. Nhập domain (ví dụ: yourdomain.com – không cần thêm www hay https) và nhấn Continue.
Bước 2: Chọn gói Free Plan
Cloudflare sẽ hiển thị các gói dịch vụ từ Free đến Enterprise. Với hầu hết website WordPress, gói Free đã quá đủ – nó bao gồm CDN không giới hạn băng thông, SSL miễn phí, bảo vệ DDoS cơ bản và firewall với 5 rule. Chọn Free Plan và nhấn Continue để chuyển sang bước quét DNS.
Bước 3: Quét và xác minh DNS records
Cloudflare sẽ tự động quét và import các bản ghi DNS hiện có từ tên miền của bạn. Quá trình này thường mất 30-60 giây. Sau khi hoàn tất, bạn sẽ thấy danh sách các record bao gồm A record (trỏ về IP server), MX record (cho email), CNAME, TXT record… Đây là bước cực kỳ quan trọng – hãy kiểm tra kỹ:
Đảm bảo có A record trỏ về IP hosting WordPress của bạn. Đảm bảo có CNAME record cho subdomain www trỏ về domain chính. Nếu dùng email theo tên miền, kiểm tra MX record không bị thiếu. Các record dùng cho website nên bật trạng thái “Proxied” (đám mây màu cam) để được Cloudflare bảo vệ và tăng tốc. Riêng MX record phải để “DNS only” (đám mây xám) để email hoạt động bình thường.
Bước 4: Cập nhật Nameservers tại nhà đăng ký tên miền
Cloudflare sẽ cung cấp cho bạn 2 nameservers riêng (ví dụ: anna.ns.cloudflare.com và bob.ns.cloudflare.com). Bạn cần đăng nhập vào nhà cung cấp tên miền (GoDaddy, Namecheap, Mat Bao, P.A Vietnam…) và thay thế nameservers cũ bằng 2 nameservers này.
Quá trình propagation (lan truyền) nameservers thường mất từ 5 phút đến 24 giờ tùy nhà mạng. Cloudflare sẽ gửi email thông báo khi tên miền đã active. Khi thấy thông báo “Great news! Cloudflare is now protecting your site”, bạn có thể chuyển sang cấu hình các tính năng tiếp theo.
Bật CDN
Khi DNS đã trỏ về Cloudflare và các record được “Proxied”, về cơ bản CDN đã được kích hoạt tự động. Tuy nhiên, để CDN hoạt động tối ưu cho WordPress, bạn cần điều chỉnh thêm vài thiết lập quan trọng.
Kiểm tra trạng thái Proxy
Vào tab DNS trên dashboard Cloudflare, kiểm tra biểu tượng đám mây cạnh mỗi record. Đám mây màu cam có nghĩa là record đó đang được Proxied – traffic sẽ đi qua hệ thống Cloudflare và được hưởng đầy đủ tính năng CDN, cache, firewall. Đám mây màu xám nghĩa là DNS only – Cloudflare chỉ phân giải DNS chứ không xử lý traffic.
Với website WordPress, tất cả A record và CNAME của domain chính, www, các subdomain quan trọng nên được set Proxied. Chỉ những subdomain dành cho FTP, mail, cPanel mới nên để DNS only.
Cấu hình Speed Optimization
Vào menu Speed → Optimization trên dashboard Cloudflare. Tại đây bạn sẽ thấy nhiều tùy chọn để tăng tốc website:
Bật Auto Minify cho JavaScript, CSS và HTML – Cloudflare sẽ tự động nén các file này, giảm dung lượng 15-30%. Bật Brotli compression – thuật toán nén mới hơn gzip, hiệu quả hơn 20% và được hầu hết trình duyệt hiện đại hỗ trợ. Cân nhắc bật Rocket Loader – tính năng tăng tốc JavaScript bằng cách load bất đồng bộ, nhưng cần test kỹ vì có thể gây xung đột với một số theme/plugin WordPress.
Kiểm tra CDN hoạt động
Sau khi cấu hình xong, mở trang web ở chế độ ẩn danh và nhấn F12 để mở DevTools. Vào tab Network, reload trang và click vào bất kỳ file ảnh, CSS, JS nào. Nếu thấy header response chứa “cf-cache-status: HIT” hoặc “cf-ray” thì CDN đang hoạt động đúng. Bạn cũng có thể đọc thêm về cách CDN hoạt động trong bài CDN là gì để hiểu sâu hơn về nguyên lý.
Bật cache
Cache là yếu tố quan trọng nhất quyết định tốc độ website WordPress sau khi tích hợp Cloudflare. Cấu hình cache đúng cách có thể giảm thời gian tải trang xuống còn dưới 500ms ngay cả với hosting yếu.
Cấu hình Caching Level
Vào menu Caching → Configuration trên dashboard. Thiết lập Caching Level thành “Standard” – đây là mức cache cân bằng nhất, phù hợp với hầu hết website WordPress. Nếu website có ít trang động (chủ yếu là bài viết tĩnh), bạn có thể nâng lên “Aggressive” để cache nhiều hơn.
Browser Cache TTL nên đặt là “4 hours” hoặc cao hơn cho website ít cập nhật. Edge Cache TTL (thời gian Cloudflare giữ cache) nên để mặc định “Respect Existing Headers” – Cloudflare sẽ tuân theo header cache-control mà WordPress gửi đi.
Tạo Page Rules cho WordPress
Page Rules là tính năng mạnh nhất để tinh chỉnh cache cho từng URL cụ thể. Gói Free cho phép tạo 3 page rules. Đây là 3 rule khuyến nghị cho website WordPress:
Rule 1 – Loại trừ admin và login: URL pattern: *yourdomain.com/wp-admin/* với setting “Cache Level: Bypass” và “Security Level: High”. Rule này đảm bảo trang quản trị không bao giờ bị cache, tránh lỗi đăng nhập và hiển thị sai dữ liệu cho admin.
Rule 2 – Cache toàn bộ trang public: URL pattern: *yourdomain.com/* với setting “Cache Level: Cache Everything” và “Edge Cache TTL: a month”. Rule này khiến Cloudflare cache cả HTML, giúp tốc độ tải trang nhanh như chớp.
Rule 3 – Loại trừ trang preview và search: URL pattern: *yourdomain.com/?* với setting “Cache Level: Bypass”. Rule này đảm bảo các URL có tham số (như preview bài viết, kết quả tìm kiếm) luôn lấy dữ liệu mới nhất.
Cài plugin WP Cloudflare hoặc Super Page Cache
Để tự động xóa cache khi cập nhật bài viết, bạn nên cài plugin “Cloudflare” hoặc “Super Page Cache for Cloudflare” trong WordPress. Kết nối plugin với tài khoản Cloudflare bằng API token, cấu hình tự động purge cache khi có bài mới hoặc khi chỉnh sửa nội dung. Đây là bước quan trọng để vừa tận dụng tối đa cache vừa đảm bảo nội dung luôn cập nhật cho người đọc.
Bật firewall
Một trong những lý do quan trọng nhất khiến nhiều người dùng cloudflare wordpress là khả năng bảo mật. Tính năng firewall của Cloudflare có thể chặn 99% các cuộc tấn công phổ biến trước khi chúng đến được server WordPress.
Cấu hình Security Level
Vào menu Security → Settings trên dashboard. Thiết lập Security Level ban đầu nên là “Medium” – đủ chặt để chặn bot xấu, đủ thoáng để không làm phiền người dùng thật. Sau 1-2 tuần theo dõi, nếu website thường xuyên bị tấn công, có thể nâng lên “High” hoặc “I’m Under Attack” trong các trường hợp khẩn cấp.
Bật Challenge Passage để giữ trạng thái xác thực cho người dùng đã vượt CAPTCHA, tránh phiền hà cho người đọc thật. Browser Integrity Check nên luôn bật để chặn các trình duyệt giả mạo.
Tạo WAF Rules cho WordPress
WAF (Web Application Firewall) cho phép tạo các quy tắc bảo vệ riêng cho WordPress. Một số rule quan trọng nên triển khai:
Chặn truy cập trực tiếp file xmlrpc.php – file này thường bị lạm dụng để brute force và DDoS. Tạo rule: http.request.uri.path contains "xmlrpc.php" với action “Block”. Giới hạn truy cập trang wp-login.php chỉ từ IP của bạn hoặc yêu cầu CAPTCHA. Chặn các user agent của bot scan lỗ hổng phổ biến như sqlmap, nikto, Acunetix. Chặn các quốc gia không liên quan đến đối tượng người dùng nếu phù hợp với business của bạn.
Bật Rate Limiting
Rate Limiting giới hạn số request từ một IP trong khoảng thời gian nhất định. Ví dụ: cho phép tối đa 10 request đến /wp-login.php trong 1 phút – ngăn chặn hiệu quả các đợt tấn công brute force mật khẩu admin. Cấu hình này đặc biệt hữu ích cho các website thương mại điện tử và blog có lượng admin user lớn.
Tối ưu bảo mật
Sau khi đã có firewall cơ bản, đây là các bước tối ưu nâng cao để website WordPress đạt mức bảo mật tối đa khi kết hợp với Cloudflare. Một website được bảo mật tốt không chỉ giúp tránh hack mà còn cải thiện SEO – Google ưu tiên xếp hạng các site an toàn.
Bật SSL/TLS đúng cách
Vào menu SSL/TLS → Overview trên dashboard. Đặt encryption mode là “Full (strict)” nếu hosting đã có SSL hợp lệ, hoặc “Full” nếu hosting có self-signed certificate. Tuyệt đối tránh dùng “Flexible” vì nó có thể gây vòng lặp redirect và tạo lỗ hổng bảo mật.
Bật “Always Use HTTPS” để tự động redirect tất cả HTTP request sang HTTPS. Bật “Automatic HTTPS Rewrites” để Cloudflare tự động sửa các link http:// trong nội dung thành https://. Bật “HSTS” với max-age tối thiểu 6 tháng để buộc trình duyệt luôn dùng HTTPS.
Ẩn IP server gốc
Đây là bước cực kỳ quan trọng nhưng thường bị bỏ qua. Sau khi cài Cloudflare, kẻ tấn công vẫn có thể tìm ra IP thật của server qua nhiều cách: bản ghi DNS cũ, email gửi từ server, subdomain không proxied… Một khi biết IP thật, họ có thể tấn công thẳng vào hosting, bỏ qua hoàn toàn Cloudflare.
Các bước cần làm: liên hệ nhà cung cấp hosting yêu cầu đổi IP mới (nhiều hosting cho phép miễn phí). Xóa hoặc sửa các bản ghi DNS không cần thiết như mail, ftp, cpanel – nếu cần giữ, hãy proxy chúng qua Cloudflare hoặc đặt trên subdomain khác hoàn toàn. Cấu hình mail server gửi qua relay (như SendGrid, Mailgun) thay vì gửi trực tiếp từ hosting để IP không lộ trong header email.
Tham khảo thêm hướng dẫn chi tiết về bảo mật WordPress để có chiến lược bảo mật toàn diện cho website của bạn.
Cấu hình Cloudflare API và Tokens
Nếu sử dụng plugin tích hợp Cloudflare trên WordPress, tuyệt đối không dùng Global API Key vì nó có quyền cao nhất. Thay vào đó, tạo API Token với quyền giới hạn: chỉ cho phép Zone:Cache Purge, Zone:Settings:Edit cho domain cụ thể. Cách này giảm thiểu thiệt hại nếu plugin bị hack hoặc website bị xâm nhập.
Bật Bot Fight Mode
Vào Security → Bots, bật “Bot Fight Mode” (miễn phí). Tính năng này tự động phát hiện và chặn các bot tự động truy cập website của bạn dựa trên hành vi, header HTTP và fingerprint. Đặc biệt hiệu quả với việc chặn bot scrape nội dung, bot spam comment và bot brute force.
Kiểm tra và audit định kỳ
Mỗi tuần, vào tab Analytics & Logs để xem báo cáo: tổng số request được Cloudflare bảo vệ, số IP bị chặn, các quốc gia có nhiều request bất thường. Mỗi tháng, review lại các Page Rules và WAF Rules để đảm bảo chúng vẫn phù hợp với website hiện tại. Mỗi quý, làm bài test bảo mật toàn diện và cập nhật chiến lược nếu cần.
Theo dữ liệu từ cloudflare.com, các website có cấu hình bảo mật đầy đủ thường chặn được trung bình 95% lưu lượng độc hại, giúp giảm tải server đáng kể và đảm bảo trải nghiệm tốt cho người dùng thật.
Kết luận
Triển khai cloudflare wordpress đúng cách không chỉ giúp website nhanh hơn 2-3 lần mà còn bảo vệ khỏi 95% các mối đe dọa phổ biến – tất cả hoàn toàn miễn phí với gói Free. Quy trình chuẩn gồm 6 bước: trỏ DNS, bật CDN, cấu hình cache, thiết lập firewall, tối ưu SSL và ẩn IP server gốc. Sau khi hoàn tất, bạn nên duy trì thói quen kiểm tra dashboard hàng tuần để phát hiện sớm các vấn đề và điều chỉnh kịp thời. Với chỉ vài giờ cấu hình ban đầu, bạn đã có thể nâng cấp website WordPress lên tầm chuyên nghiệp về cả tốc độ lẫn bảo mật.
