Gestiamo oltre 60 domini su Cloudflare, il servizio che si mette tra i visitatori e i server. Smista il traffico, filtra le richieste sospette e tiene in cache, cioè in copia vicino al visitatore, i file che non cambiano.
Solo traffico da Cloudflare
I nostri server accettano traffico web solo dagli indirizzi di Cloudflare. Chi prova a raggiungere un sito puntando dritto all'IP del server trova la porta chiusa, quindi ogni richiesta passa prima dal filtro.
Con php2shell ci è servito sul serio. Quando sono uscite quelle falle di PHP, Cloudflare ha attivato regole del suo WAF, il firewall applicativo, contro gli attacchi noti. Sui nostri siti quelle regole hanno coperto tutto il traffico, nelle ore in cui l'aggiornamento di PHP per i nostri server non c'era ancora.
La regola di cache che ci ha creato guai
Il 20 ottobre 2026, su un sito di regate, abbiamo trovato una regola di cache del tipo «metti in cache tutto», pensata per il sito vecchio. Con il sito nuovo, fatto in Laravel e Inertia, faceva danni.
Inertia è il pezzo che fa funzionare un'app Laravel come un'applicazione moderna. Lo stesso indirizzo risponde con la pagina HTML quando ci si arriva dal browser, e con i dati grezzi in JSON quando si naviga all'interno dell'app.
Per distinguere i due casi il server manda l'intestazione Vary: X-Inertia, che dice alla cache di tenere due copie separate. Cloudflare però ignora Vary: X-Inertia, e ne teneva una sola.
Il risultato: a volte i visitatori ricevevano i dati grezzi al posto della pagina, una schermata di testo illeggibile. Altre volte ricevevano una versione vecchia della pagina.
La regola che applichiamo ora, ovunque
- In cache vanno i file con l'impronta nel nome, quelli in
/build/*. Sono CSS e JavaScript compilati, e il nome cambia a ogni nuova versione, quindi una copia vecchia non può essere scambiata per quella nuova. - In cache vanno i file caricati, quelli in
/storage/*: immagini, PDF, allegati. - Le pagine HTML di un'app non vanno mai in cache.
Così i file pesanti partono da Cloudflare, vicino al visitatore, e le pagine arrivano sempre fresche dal server.
C'è anche una regola di metodo che ci portiamo dietro: quando un sito viene rifatto, le regole di cache del vecchio si rivedono prima di andare online. Restano lì in silenzio finché qualcuno non se ne accorge dal lato sbagliato.
Un dominio sul piano Pro
Abbiamo anche passato un dominio al piano Pro di Cloudflare, per provare la velocità dall'Italia. La differenza riguarda il percorso: con il piano Pro le visite italiane passano dal nodo di Roma, invece che da quello di Zurigo.
Un nodo più vicino vuol dire meno strada per ogni richiesta. Quanto pesi in pratica dipende dal sito e da dove si trova il suo pubblico, quindi lo valutiamo caso per caso.
Cosa consigliamo
- Se il sito è dietro Cloudflare, chiudete il server a tutto il resto. Altrimenti il filtro si aggira passando di lato.
- Quando rifate un sito, controllate le regole di cache del vecchio prima di andare online.
- Per un'app: file statici in cache, pagine HTML fuori. I file con l'impronta possono restare in cache a lungo, perché a ogni nuova versione cambiano nome.
