Cloudflare là gì? Hướng dẫn bảo vệ và tăng tốc website cho người mới

Cloudflare là dịch vụ đứng giữa người truy cập và máy chủ website của bạn: quản lý tên miền (DNS), lưu bản sao nội dung ở nhiều nơi (CDN), chặn tấn công và mã hoá kết nối HTTPS. Khi website đi qua Cloudflare, người truy cập kết nối tới mạng lưới của Cloudflare thay vì tới thẳng máy chủ, nên trang tải nhanh hơn và máy chủ gốc được che bớt khỏi Internet. Gói Free có giá $0 mỗi tháng (theo Cloudflare), gồm DNS, CDN, chứng chỉ SSL, tường lửa ứng dụng (WAF) và chống DDoS không đo đếm; gói Pro từ $20 mỗi tháng khi trả năm (kiểm tra ngày 23/10/2026). Vì vậy Cloudflare là bước đầu tiên hợp lý cho gần như mọi website, từ blog cá nhân đến trang giới thiệu doanh nghiệp. Bài viết đi qua sáu phần: (1) Cloudflare là gì; (2) cách hoạt động; (3) giá; (4) đưa website vào Cloudflare; (5) chế độ SSL/TLS; (6) kinh nghiệm thực tế của opcaios.org.

Luồng truy cập khi website đi qua Cloudflare: người dùng, mạng Cloudflare, máy chủ gốc. Sơ đồ: OPCAIOS.

Cloudflare là gì?

Cloudflare là nền tảng mạng và bảo mật cung cấp DNS, CDN, WAF, chống DDoS và dịch vụ lập trình chạy trên mạng lưới toàn cầu của chính hãng. Theo trang chủ Cloudflare, công ty tự mô tả đang vận hành khoảng 20% Internet, có mặt ở hơn 335 thành phố và tiếp cận 95% dân số kết nối Internet thế giới trong vòng 50 mili giây; đây là số liệu do Cloudflare tự công bố, OPCAIOS chưa kiểm chứng độc lập.

Với người làm website, Cloudflare thường làm reverse proxy, và theo tài liệu chính thức, dịch vụ DNS và CDN đứng giữa để chuyển tiếp lưu lượng web từ và tới tên miền của bạn. Ngoài ra có bốn sản phẩm khác: (1) Workers để chạy mã; (2) R2 để lưu trữ; (3) Tunnel để kết nối an toàn; (4) Turnstile để xác minh người thật. Ví dụ giả định: một blog nhỏ có thể bật HTTPS và CDN ngay sau khi đổi nameserver sang Cloudflare.

Cloudflare hoạt động như thế nào?

Cloudflare hoạt động bằng cách trở thành máy chủ DNS chính của tên miền bạn, rồi trả về địa chỉ của chính Cloudflare thay cho địa chỉ máy chủ gốc. Theo tài liệu, khi bạn đưa website vào Cloudflare, Cloudflare trở thành nhà cung cấp DNS có thẩm quyền chính cho tên miền, và bạn quản lý bản ghi DNS qua bảng điều khiển hoặc API của Cloudflare. Nếu tên miền đang hoạt động và bản ghi được đặt ở chế độ "proxied", Cloudflare trả về một địa chỉ IP anycast của họ thay vì địa chỉ IP thật của máy chủ gốc.

Hệ quả thực tế là người truy cập không thấy địa chỉ máy chủ thật của bạn. Mọi yêu cầu đi qua Cloudflare, nơi có thể lấy nội dung từ bộ nhớ đệm (cache) nếu đã lưu, kiểm tra bằng tường lửa, rồi mới chuyển về máy chủ gốc khi cần. Để bắt đầu theo cách mặc định (thiết lập DNS đầy đủ), bạn đổi máy chủ tên miền (nameserver) tại nơi đăng ký tên miền sang nameserver của Cloudflare.

Cloudflare gồm những dịch vụ chính nào?

Các dịch vụ bạn gặp nhiều nhất khi dùng Cloudflare cho website:

Dịch vụ	Làm gì	Có ở gói nào
DNS	Quản lý bản ghi tên miền, nhanh và ổn định	Mọi gói
CDN và bộ nhớ đệm	Lưu bản sao nội dung gần người dùng, giảm tải máy chủ gốc	Mọi gói
Chống DDoS	Chặn tấn công làm quá tải, không đo đếm theo lưu lượng	Mọi gói
Chứng chỉ SSL (Universal SSL)	Mã hoá HTTPS cho tên miền	Mọi gói
WAF (tường lửa ứng dụng web)	Lọc yêu cầu theo IP, đường dẫn, tiêu đề, nội dung; có bộ luật quản lý sẵn	Mọi gói
Tunnel	Kết nối máy chủ với Cloudflare mà không cần mở cổng ra Internet	Thuộc Cloudflare One (Zero Trust)
Workers	Chạy mã ở rìa mạng, gần người dùng	Có gói miễn phí
R2	Lưu trữ đối tượng, không tính phí băng thông ra Internet	Có gói miễn phí
Turnstile	Xác minh người thật, thay cho CAPTCHA khó chịu	Xem trang Turnstile để biết gói

Giá Cloudflare hiện nay là bao nhiêu?

Cloudflare có gói miễn phí cho website và các gói trả phí theo tháng. Theo trang giá chính thức của Cloudflare (kiểm tra ngày 23/10/2026), gói Free giá $0 mỗi tháng phù hợp dự án cá nhân. Gói Pro giá $20 mỗi tháng khi trả năm hoặc $25 khi trả tháng, hợp với website chuyên nghiệp. Gói Business giá $200 mỗi tháng khi trả năm hoặc $250 khi trả tháng, hợp với doanh nghiệp nhỏ kinh doanh trực tuyến. Gói Enterprise tính theo thoả thuận. Ví dụ giả định, một cửa hàng nhỏ bán qua website có thể chọn Business nếu cần quyền kiểm soát cao hơn. Trang giá cho biết DNS, chống DDoS không đo đếm, CDN, chứng chỉ Universal SSL, bộ luật quản lý miễn phí và WAF đều có trong mọi gói, kể cả Free; gói trả phí bổ sung các tính năng như tối ưu hình ảnh, thêm quyền kiểm soát và hỗ trợ.

So sánh các gói Cloudflare

Gói	Giá	Dành cho
Free	$0 mỗi tháng	Dự án cá nhân, sở thích, không quá quan trọng với kinh doanh
Pro	$20 mỗi tháng khi trả năm, hoặc $25 khi trả tháng	Website chuyên nghiệp không quá quan trọng
Business	$200 mỗi tháng khi trả năm, hoặc $250 khi trả tháng	Doanh nghiệp nhỏ kinh doanh trực tuyến
Hợp đồng (Enterprise)	Theo thoả thuận	Ứng dụng cốt lõi, cần cam kết

Các dịch vụ khác của Cloudflare tính phí thế nào?

Theo trang giá chính thức của Cloudflare (kiểm tra ngày 23/10/2026), các dịch vụ khác tính riêng. Ví dụ Workers: gói miễn phí cho 100.000 yêu cầu mỗi ngày với 10 mili giây CPU mỗi lần chạy; gói trả phí gồm 10 triệu yêu cầu mỗi tháng rồi tính $0,30 cho mỗi triệu yêu cầu thêm. R2: gói miễn phí gồm 10 GB lưu trữ mỗi tháng, 1 triệu thao tác ghi và 10 triệu thao tác đọc, và theo tài liệu không tính phí băng thông ra Internet. Zero Trust: miễn phí cho nhóm dưới 50 người, $7 mỗi người mỗi tháng cho phần trả theo dùng. Giá thay đổi theo thời gian, xem trang giá chính thức trước khi quyết định.

Làm sao đưa website vào Cloudflare?

Quy trình đưa website vào Cloudflare gồm sáu bước, làm được trong khoảng 30 phút theo cách làm mặc định (thiết lập DNS đầy đủ) trong tài liệu Cloudflare:

• Bước 1, thêm tên miền vào tài khoản Cloudflare và chọn gói Free.
• Bước 2, kiểm tra các bản ghi DNS Cloudflare quét được, so với bản ghi cũ để không sót bản ghi email hay dịch vụ khác.
• Bước 3, đổi nameserver tại nơi đăng ký tên miền sang hai nameserver Cloudflare cung cấp.
• Bước 4, chờ tên miền "hoạt động" (active) rồi kiểm tra website vẫn mở bình thường.
• Bước 5, chọn chế độ SSL/TLS đúng (xem phần dưới), nên là Full (strict).
• Bước 6, bật các lớp bảo vệ cơ bản: WAF với bộ luật quản lý, chuyển hướng HTTP sang HTTPS, và quy tắc cache cho tệp tĩnh.

Lưu ý quan trọng: giữ nguyên bản ghi email (MX) ở chế độ chỉ DNS, không đặt proxy, vì Cloudflare chỉ proxy lưu lượng web.

Các chế độ mã hoá SSL/TLS khác nhau thế nào?

Chế độ mã hoá SSL/TLS là cài đặt quyết định cách Cloudflare quản lý hai kết nối: giữa người truy cập và Cloudflare, và giữa Cloudflare và máy chủ gốc của bạn. Theo tài liệu chính thức của Cloudflare (kiểm tra ngày 23/10/2026), có năm chế độ, và theo Cloudflare, chế độ Full hoặc Full (strict) được khuyến nghị mạnh:

• 1. Off: mọi thứ là HTTP thuần, không mã hoá.
• 2. Flexible: người truy cập tới Cloudflare có thể mã hoá bằng HTTPS, nhưng đoạn từ Cloudflare tới máy chủ gốc không mã hoá.
• 3. Full: Cloudflare kết nối tới máy chủ gốc bằng HTTPS nhưng không kiểm tra chứng chỉ, phù hợp khi máy chủ gốc dùng chứng chỉ tự ký.
• 4. Full (strict): như Full nhưng kiểm tra chứng chỉ của máy chủ gốc, do tổ chức công cộng như Let's Encrypt hoặc Cloudflare Origin CA cấp.
• 5. Strict (SSL-Only Origin Pull): luôn kết nối tới máy chủ gốc bằng HTTPS có kiểm tra chứng chỉ.

Cloudflare khuyến nghị mạnh dùng Full hoặc Full (strict) để ngăn kết nối độc hại tới máy chủ gốc. Tính năng Automatic SSL/TLS (mặc định) tự chọn chế độ an toàn nhất cho website và theo tài liệu sẽ không tự hạ xuống chế độ kém an toàn hơn; bạn phải tự đảm bảo chứng chỉ máy chủ gốc còn hạn.

Cloudflare Tunnel và Workers dùng để làm gì?

Cloudflare Tunnel cho phép kết nối máy chủ với Cloudflare mà không cần địa chỉ IP công khai. Theo tài liệu, một tiến trình nhẹ tên cloudflared đặt trong hạ tầng của bạn tạo kết nối chỉ đi ra (outbound-only) tới mạng Cloudflare, nên máy chủ phục vụ được lưu lượng qua Cloudflare mà không dễ bị tấn công vượt qua Cloudflare. Đây là cách phổ biến để đưa một dịch vụ chạy trong mạng nội bộ ra ngoài một cách an toàn.

Cloudflare Workers là nơi chạy mã JavaScript hoặc TypeScript ngay ở rìa mạng, gần người dùng, hợp để nhận webhook, làm API nhỏ hoặc xử lý yêu cầu trước khi tới máy chủ gốc. Nếu bạn chưa quen khái niệm, đọc thêm API là gì?.

Cloudflare Turnstile có thay được CAPTCHA không?

Turnstile là dịch vụ xác minh người thật của Cloudflare, dùng để thay các hộp CAPTCHA bắt người dùng chọn ảnh. Theo tài liệu chính thức, có ba kiểu widget: Managed (khuyến nghị, tự quyết định có hiện hộp kiểm hay không theo mức rủi ro), Non-interactive (khách không cần thao tác) và Invisible (hoàn toàn ẩn). Turnstile đạt chuẩn tiếp cận WCAG 2.2 AA và theo tài liệu không truy cập, lưu hay truyền nội dung form hay thư của người dùng. Tài liệu cũng có hướng dẫn chuyển từ reCAPTCHA và hCaptcha. Turnstile hợp để chống bot gửi form liên hệ hoặc đăng ký.

Kinh nghiệm thực tế: website opcaios.org dùng Cloudflare như thế nào?

Website opcaios.org đặt Cloudflare phía trước máy chủ gốc, và máy chủ gốc được cấu hình chỉ nhận kết nối từ dải địa chỉ của Cloudflare. Truy cập thẳng vào địa chỉ máy chủ sẽ bị từ chối với mã 403. Cách này khoá cửa sau, đảm bảo mọi yêu cầu phải đi qua lớp bảo vệ của Cloudflare chứ không vòng qua nó.

Chúng tôi đã nhận thấy một điều trong thực tế: ngay cả khi triển khai bản mới theo kiểu đổi hai bản qua lại, đôi khi vẫn có một khoảnh khắc ngắn Cloudflare báo mã 522. Mã 522, theo Cloudflare (kiểm tra ngày 23/10/2026), nghĩa là Cloudflare không kết nối được tới máy chủ gốc kịp thời, thường vì máy chủ gốc đang khởi động lại hoặc quá tải. Bài học: lỗi 522 là lỗi của máy chủ gốc chứ không phải của Cloudflare. Vì vậy, khi thấy lỗi 522 hãy kiểm tra máy chủ gốc trước, và thử lại sau vài giây thường đã ổn.

Cloudflare có điểm yếu hoặc rủi ro nào?

Cloudflare giải quyết nhiều việc nhưng có vài rủi ro cần biết:

• Cấu hình sai SSL: chế độ Flexible kết hợp với máy chủ gốc tự chuyển hướng sang HTTPS thường gây vòng lặp chuyển hướng; dùng Full (strict) để tránh.
• Phụ thuộc một nhà cung cấp: DNS và lưu lượng đều đi qua Cloudflare, nên sự cố hoặc cấu hình sai ở đây ảnh hưởng toàn bộ website. Hãy giữ quyền quản trị tài khoản chặt chẽ và bật xác thực hai lớp.
• Cache nhầm nội dung động: cache nhầm trang đăng nhập hay giỏ hàng có thể làm lộ dữ liệu người khác; dùng quy tắc cache rõ ràng và bỏ qua cache khi có cookie đăng nhập.
• Máy chủ gốc vẫn cần được bảo vệ: nếu địa chỉ IP gốc bị lộ và máy chủ nhận kết nối trực tiếp, kẻ tấn công vượt qua Cloudflare; hãy giới hạn máy chủ chỉ nhận lưu lượng từ Cloudflare hoặc dùng Tunnel.
• Số liệu và tính năng thay đổi nhanh: giá và phạm vi từng gói thay đổi, hãy xem trang chính thức trước khi mua.

Cloudflare và AI: có dùng được với MCP không?

Có. Tài liệu chính thức của Cloudflare liệt kê các máy chủ MCP cho tác nhân AI (gồm Code Mode MCP Server và các máy chủ MCP theo từng lĩnh vực), cho phép trợ lý AI thao tác với tài khoản Cloudflare. Như mọi kết nối AI vào hạ tầng thật, hãy cấp quyền tối thiểu, ưu tiên quyền chỉ đọc và giữ bước duyệt trước thay đổi không hoàn tác được như sửa DNS hay xoá quy tắc; xem thêm bài MCP là gì?. Khi cần quản lý nhiều dịch vụ hạ tầng bằng quy trình tự động, n8n cũng gọi được API của Cloudflare.

Đọc thêm: Rà soát bảo mật website một người.

Câu hỏi thường gặp

Cloudflare là gì và dùng để làm gì?

Cloudflare là dịch vụ mạng và bảo mật đứng giữa người truy cập và website: quản lý DNS, tăng tốc bằng CDN, chặn tấn công DDoS, lọc yêu cầu bằng tường lửa WAF và mã hoá HTTPS. Dùng để website nhanh hơn và an toàn hơn.

Cloudflare có miễn phí không?

Có. Theo trang giá chính thức của Cloudflare (kiểm tra ngày 23/10/2026), gói Free có giá $0 mỗi tháng và gồm DNS, CDN, chứng chỉ Universal SSL, WAF, bộ luật quản lý và chống DDoS không đo đếm. Gói Pro từ $20 mỗi tháng khi trả năm hoặc $25 khi trả tháng; gói Business $200 mỗi tháng khi trả năm hoặc $250 khi trả tháng. Các dịch vụ khác có hạn mức miễn phí riêng: Workers cho 100.000 yêu cầu mỗi ngày, R2 cho 10 GB lưu trữ mỗi tháng, và Zero Trust miễn phí cho nhóm dưới 50 người.

Tình huống giả định, ví dụ một website giới thiệu doanh nghiệp nhỏ thường đủ dùng gói Free. Bước 1, bật các lớp bảo vệ cơ bản. Bước 2, đo tốc độ trước và sau khi bật. Bước 3, cân nhắc nâng cấp nếu cần thêm quyền kiểm soát. Giá thay đổi theo thời gian, vì vậy hãy xem trang giá chính thức để biết số hiện hành.

Cloudflare có làm website nhanh hơn không?

Thường có, vì CDN lưu bản sao nội dung tĩnh gần người dùng và giảm tải cho máy chủ gốc. Mức cải thiện phụ thuộc vào website của bạn, nên hãy đo tốc độ trước và sau khi bật.

Nên chọn chế độ SSL nào trong Cloudflare?

Nên dùng Full (strict) khi máy chủ gốc có chứng chỉ hợp lệ, vì Cloudflare khuyến nghị Full hoặc Full (strict) để tránh kết nối độc hại tới máy chủ gốc. Tránh Flexible nếu có thể.

Lỗi 522 trong Cloudflare nghĩa là gì?

Lỗi 522 nghĩa là Cloudflare không kết nối được tới máy chủ gốc kịp thời, thường do máy chủ gốc đang khởi động lại, quá tải hoặc chặn địa chỉ của Cloudflare. Hãy kiểm tra máy chủ gốc trước. Muốn dựng hạ tầng website an toàn cho doanh nghiệp nhỏ, xem khoá đào tạo ứng dụng AI của OPCAIOS.

Nguồn: trang chủ, trang giá và tài liệu chính thức của Cloudflare (cách Cloudflare hoạt động, DNS, WAF, chế độ SSL/TLS, Tunnel, Workers, R2, Turnstile; kiểm tra 23/10/2026); kinh nghiệm vận hành của OPCAIOS. Số liệu về quy mô mạng là do Cloudflare tự công bố. Giá và tính năng có thể thay đổi.