Cloudflare के पीछे अपनी साइट सुरक्षित करें

Cloudflare कई हमलों को आपकी वेबसाइट तक पहुंचने से पहले ही रोक सकता है। लेकिन यह मजबूत पासवर्ड, अपडेट और बैकअप की जगह नहीं लेता। इस गाइड में वे सेटिंग हैं जो कम मेहनत में सबसे ज्यादा सुरक्षा देती हैं। कुछ सुविधाएं आपके Cloudflare प्लान पर निर्भर करती हैं, इसलिए Free प्लान में कुछ नाम न दिखें तो हैरान न हों।

शुरू करने से पहले

• Cloudflare में आपका डोमेन Active है और वेबसाइट उसके जरिए चल रही है। देखें APNCloud होस्टिंग के लिए Cloudflare सेटिंग।
• Cloudflare अकाउंट और रजिस्ट्रार तक पहुंच।

चरण

1. अपने Cloudflare अकाउंट पर टू-फैक्टर ऑथेंटिकेशन चालू करें। अपनी प्रोफाइल खोलकर ऑथेंटिकेशन सेटिंग चुनें। इस अकाउंट में जो भी घुस गया, वह आपका DNS बदल सकता है।

2. DNSSEC चालू करें। Cloudflare में DNS, फिर Settings खोलकर DNSSEC चालू करें। Cloudflare एक DS रिकॉर्ड दिखाएगा। उसे अपने रजिस्ट्रार पर जोड़ें। रजिस्ट्रार DNSSEC सपोर्ट न करे तो यह चरण छोड़ दें।

3. WAF managed rules देखें। Security, फिर WAF खोलें। आपके प्लान में जो managed rules शामिल हैं, उन्हें चालू रखें।

4. Bot Fight Mode चालू करें। Security, फिर Bots खोलें। यह उन टूल को भी रोक सकता है जिन्हें आप जानबूझकर इस्तेमाल करते हैं, जैसे अपटाइम मॉनिटर और पेमेंट वेबहुक। कुछ चलना बंद हो जाए तो Security events खोलकर रोका गया अनुरोध ढूंढें।

5. लॉगिन की कोशिशें सीमित करें। अपनी साइट के लॉगिन पेज के लिए एक rate limiting rule बनाएं। कम सीमा से शुरू करें और बाद में जरूरत के हिसाब से बदलें। कौन से rate limiting rule आप इस्तेमाल कर सकते हैं, यह आपके प्लान पर निर्भर है। उदाहरण एक्सप्रेशन:

   (http.request.uri.path contains "/wp-login.php") or (http.request.uri.path contains "/xmlrpc.php")
   (starts_with(http.request.uri.path, "/admin"))

6. फॉर्म को Turnstile से सुरक्षित करें। Cloudflare में Turnstile खोलकर अपनी साइट के लिए एक विजेट जोड़ें। site key अपने फॉर्म में लगाएं। secret key सिर्फ सर्वर पर रखें, पेज में कभी नहीं।

7. एडमिन, लॉगिन और कार्ट पेज कैश न करें। Caching, फिर Cache Rules खोलें और Bypass cache एक्शन वाला नियम बनाएं:

   (starts_with(http.request.uri.path, "/wp-admin")) or (http.request.uri.path contains "/wp-login.php") or (starts_with(http.request.uri.path, "/admin")) or (starts_with(http.request.uri.path, "/cart")) or (starts_with(http.request.uri.path, "/checkout"))

8. सर्वर का पता निजी रखें। मेल और FTP जैसे जो रिकॉर्ड DNS only रखने ही पड़ते हैं, वे जिस IP पते पर जाते हैं उसे दिखा देते हैं। Cloudflare उस पते को छिपा नहीं सकता। जो पुराने रिकॉर्ड आप इस्तेमाल नहीं करते उन्हें हटा दें, और सर्वर का IP कभी अपने पेज या ईमेल में न डालें।

9. बैकअप रखें। Cloudflare आपकी वेबसाइट का बैकअप नहीं रखता। होस्टिंग पैनल का वेबसाइट बैकअप इस्तेमाल करें और बड़े बदलाव से पहले सर्वर के बाहर एक कॉपी रखें।

Cloudflare सिर्फ वेब ट्रैफिक को सुरक्षा देता है

मेल और FTP Cloudflare प्रॉक्सी से नहीं गुजरते। पासवर्ड अलग-अलग रखें, जहां संभव हो टू-स्टेप लॉगिन चालू करें और वेबसाइट का सॉफ्टवेयर अपडेट रखें। पढ़ें होस्टिंग को सुरक्षित रखें।

सामान्य गलतियां

• एडमिन और लॉगिन पेज के लिए bypass नियम के बिना "Cache Everything" इस्तेमाल करना।
• बहुत सख्त rate limiting rule लगाना, जिससे आपके अपने कर्मचारी या ग्राहक ही रुक जाएं।
• Cloudflare में DNSSEC चालू करके रजिस्ट्रार पर DS रिकॉर्ड न जोड़ना। तब विज़िटर साइट नहीं खोल पा सकते।
• Turnstile की secret key को पेज के सोर्स में रख देना।
• यह मान लेना कि Cloudflare होने पर अपडेट और बैकअप की जरूरत नहीं।

मदद चाहिए?

किसी नियम को लेकर पक्का न हों तो बदलाव से पहले क्लाइंट एरिया में सपोर्ट टिकट खोलें या [SUPPORT_CONTACT] पर संपर्क करें।

संबंधित गाइड

• APNCloud होस्टिंग के लिए Cloudflare सेटिंग
• होस्टिंग को सुरक्षित रखें
• वेबसाइट बैकअप
• Cloudflare के पीछे WordPress

अंतिम समीक्षा

2026-10-29