Ce que fait l’extension Cloudflare sur votre site
L’extension Cloudflare est publiée par Cloudflare lui-même, sous licence open source BSD-3-Clause. Elle ne fait rien seule : elle relie WordPress à un compte Cloudflare dont le domaine passe déjà par le réseau de l’entreprise (serveurs de noms Cloudflare), puis pilote ce domaine depuis l’administration. Vous vous connectez avec votre adresse e-mail et un jeton d’API (ou la clé d’API globale), et l’extension appelle l’API Cloudflare pour vous.
Sa fonction phare est l’Automatic Platform Optimization (APO) : Cloudflare met en cache le HTML de vos pages sur son CDN, pas seulement les images, CSS et JavaScript. L’extension envoie sur chaque page l’en-tête cf-edge-cache, qui autorise ou interdit la mise en cache (jamais pour un utilisateur connecté), et purge les adresses concernées quand vous publiez, modifiez, mettez à la corbeille un contenu ou validez un commentaire. Selon la documentation de Cloudflare, APO garde les pages 30 jours et les invalide en moins de 30 secondes après une modification.
Le reste tient en quelques cartes : application d’une configuration recommandée pour WordPress, vidage du cache (tout ou jusqu’à 30 fichiers à la fois), Always Online, niveau de sécurité, mode développement, réécriture HTTPS automatique. L’extension remplace aussi l’adresse IP de Cloudflare par celle du visiteur (en-tête CF-Connecting-IP), utile pour les commentaires et les journaux. Elle est gratuite ; ce qui se paie, ce sont les offres Cloudflare et l’option APO.
Pour quels sites l’extension Cloudflare est le bon choix
- Les sites dont le domaine est déjà chez Cloudflare : l’extension évite d’aller dans le tableau de bord Cloudflare pour vider le cache ou ajuster les réglages courants.
- Les blogs et sites éditoriaux au public international, qui gagnent le plus à servir leurs pages depuis le réseau Cloudflare avec APO.
- Les sites sur un hébergement modeste : avec APO, la plupart des visites anonymes ne sollicitent plus le serveur.
Elle n’a pas d’intérêt si vous ne voulez pas confier vos serveurs de noms à Cloudflare, et APO ne prend pas en charge les installations multisites. Si vous utilisez déjà une extension de cache de pages comme WP Rocket, Cloudflare conseille de la désactiver le temps de mettre APO en place, puis de tester sa réactivation. Pour bien régler la vraie IP et le pare-feu, lisez notre guide Cloudflare devant WordPress.
Points forts et limites de l’extension Cloudflare
Points forts
- Cache HTML en périphérie. Avec APO, les pages publiques sont servies par Cloudflare sans passer par votre serveur, et purgées automatiquement à chaque publication.
- Officielle et gratuite. Maintenue par Cloudflare, open source, sans version payante de l’extension.
- Vraie IP des visiteurs. L’adresse transmise par Cloudflare remplace celle du proxy, et la version 4.14.5 vérifie qu’il s’agit bien d’une adresse IP valide.
- Identifiants hors de la base. Les constantes
CLOUDFLARE_EMAILetCLOUDFLARE_API_KEYdanswp-config.phpévitent de stocker la clé dans les options.
Limites
- Inutile sans Cloudflare. Le domaine doit utiliser les serveurs de noms Cloudflare et vous devez disposer d’un compte.
- APO payant sur l’offre Free. 5 $ par mois, inclus seulement à partir de l’offre Pro.
- Réglages appliqués à toute la zone. Sur un sous-domaine, tout réglage autre qu’APO s’applique aussi au domaine principal, comme l’extension le signale.
- Interface en anglais et en partie datée. La carte Image Optimization décrit encore Mirage, que Cloudflare a retiré le 15 septembre 2025 ; Polish exige une offre payante.
Les réglages que nous recommandons pour l’extension Cloudflare
L’extension est accessible dans Réglages > Cloudflare. Son interface étant en anglais, les noms des cartes sont donnés tels qu’ils s’affichent. Un réglage modifié ici change la zone Cloudflare, donc le site entier.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Identifiants Réglages > Cloudflare, écran de connexion | Jeton d’API créé avec le modèle « WordPress » | Un jeton limité à la zone expose moins que la clé d’API globale, qui ouvre tout le compte. |
| Apply Recommended Cloudflare Settings for WordPress Réglages > Cloudflare > Home | « Apply » une fois, puis relecture | Règle notamment Security Level sur Medium, Always Online, Automatic HTTPS Rewrites et l’obfuscation des e-mails, et laisse Rocket Loader désactivé. |
| Automatic Platform Optimization Réglages > Cloudflare > Home | Activé si vous avez APO | C’est ce qui met le HTML en cache ; videz ensuite le cache de toute autre extension de cache. |
| Cache By Device Type Carte Automatic Platform Optimization | Désactivé, sauf thème qui sert un HTML différent sur mobile | Un thème adaptatif n’en a pas besoin ; le changer invalide tout le cache. |
| Auto Purge Content On Update Réglages > Cloudflare > Settings > Speed | Désactivé avec APO | L’extension elle-même indique que cette option est remplacée par APO. |
| Always Online Réglages > Cloudflare > Settings > Speed | Selon votre site | En cas de panne, il sert une copie archivée ; il transmet pour cela vos adresses populaires à l’Internet Archive. Désactivez-le si vos pages ne doivent pas être archivées. |
| Security Level Réglages > Cloudflare > Settings > Security | Valeur par défaut ; « Under Attack » seulement pendant une attaque | Ce mode impose une page de vérification à chaque visiteur et peut bloquer les appels d’API. |
| Development Mode Réglages > Cloudflare > Settings > Speed | Désactivé | Il contourne tout le cache pendant trois heures ; videz plutôt les fichiers concernés. |
| Automatic HTTPS Rewrites Réglages > Cloudflare > Settings > Security | Activé | Corrige le contenu mixte en passant en HTTPS les ressources qui le permettent. |
- Vérifiez les en-têtes d’une page publique, navigateur déconnecté :
cf-cache-status: HITetcf-edge-cache: cache,platform=wordpressindiquent qu’APO fonctionne. - Publiez une modification et rechargez la page : elle doit apparaître sans vidage manuel.
- Testez le panier, le compte client et les formulaires en navigation privée.
- Activez les mises à jour automatiques de l’extension dans Extensions.
Sécurité de l’extension Cloudflare et de vos identifiants
La faille la plus notable est CVE-2024-0212, corrigée en 4.12.3 : un utilisateur doté d’un simple compte (abonné) pouvait, via l’action AJAX cloudflare_proxy, lire des données de l’API Cloudflare. La version 4.14.5 a ajouté d’autres durcissements (comparaison des jetons CSRF en temps constant, échappement de la page de réglages, contrôle de l’en-tête CF-Connecting-IP).
Tenez l’extension à jour et préférez un jeton d’API limité à la clé globale : en cas de fuite, il ne donne accès qu’à ce qu’il autorise. Côté réseau, les jeux de règles du pare-feu applicatif (WAF) adaptés à WordPress, que l’extension met en avant, demandent une offre payante ; l’offre Free comprend le Free Managed Ruleset. WP Masquerade Pro masque les adresses du dossier de l’extension, mais les en-têtes cf-ray et cf-cache-status, ajoutés par le réseau Cloudflare, restent visibles.
Ce que WP Masquerade masque pour Cloudflare
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Cloudflare : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
Rien de plus
Reste visible
- en-têtes du serveur ou du cache
cf-ray, cf-cache-status (Cloudflare network)
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur l’extension Cloudflare
Faut-il un compte Cloudflare pour utiliser l’extension ?
Oui. À la première connexion, l’extension demande l’adresse e-mail du compte et un jeton d’API ou la clé d’API globale, et le domaine doit déjà être actif chez Cloudflare.
APO est-il gratuit ?
Non sur l’offre Free : c’est une option à 5 $ par mois. Il est inclus dans les offres Pro (20 $ par mois facturés à l’année, ou 25 $ au mois), Business et Enterprise.
Peut-on garder WP Rocket ou une autre extension de cache avec APO ?
Cloudflare liste WP Rocket comme compatible à partir de la version 3.8.6, mais conseille de désactiver les extensions de cache pendant la mise en place d’APO, puis de vérifier si leur réactivation améliore ou perturbe le site. Videz leur cache après l’activation d’APO.
Pourquoi je vois cf-cache-status: BYPASS alors qu’APO est activé ?
Soit vous êtes connecté à WordPress, et APO ne sert jamais le cache aux utilisateurs connectés, soit les outils de développement de Chrome envoient Cache-Control: no-cache. Décochez « Disable cache » ou testez en navigation privée.
L’extension a-t-elle un intérêt sans APO ?
Oui, plus modeste : vraie IP des visiteurs, vidage du cache et réglages courants depuis WordPress. Sans APO, Cloudflare ne met pas en cache le HTML de vos pages par défaut.