Cloudflare: cos'è e quanto costa per un sito web

Un sito web su quattro si affida a Cloudflare, anche con il piano gratuito. Quale piano serve a un'attività, e cosa chiedere a chi gestisce il sito web.

Il 4 settembre W3Techs, un servizio che rileva le tecnologie di un ampio campione di siti web, ha calcolato che un sito web su quattro si affida a Cloudflare, contro uno su cinque di un anno prima. Cloudflare è un'azienda statunitense di reti e sicurezza informatica: le visite a quei siti attraversano la sua rete prima di raggiungere il server che li ospita.

Non sempre lo ha scelto chi possiede il sito. Può averlo attivato lo sviluppatore del sito, o la piattaforma su cui è costruito: W3Techs elenca fra i clienti di Cloudflare anche Shopify, Weebly e Jimdo, servizi per creare siti e negozi online. Chi l'ha attivato ne controlla le impostazioni, comprese quelle che a volte mostrano ai visitatori una pagina di verifica al posto del sito.

Come capire se il tuo sito web è protetto da Cloudflare #

Apri il browser e scrivi l'indirizzo del tuo sito seguito da /cdn-cgi/trace, per esempio https://www.tuosito.it/cdn-cgi/trace. Cloudflare aggiunge questo percorso a ogni dominio che protegge, e secondo la documentazione serve a riconoscere il data center che risponde alla richiesta.

La pagina che si apre può essere di tre tipi:

  • Alcune righe di testo che iniziano con fl= e contengono colo=: il sito è protetto da Cloudflare. Il codice dopo colo= è la sigla dell'aeroporto internazionale più vicino al data center, secondo Cloudflare, per esempio MXP per Milano. La risposta riporta anche il tuo indirizzo IP: prima di condividere la schermata, oscuralo.
  • La pagina di errore del tuo sito, la stessa di un indirizzo inesistente: Cloudflare non c'è.
  • Una pagina bianca con la sola parola "Forbidden": il controllo è bloccato e la risposta resta incerta. Risponde così, per esempio, Discord, la piattaforma di chat, che pure si affida a Cloudflare.
Tre finestre del browser aperte sull'indirizzo tuosito.it/cdn-cgi/trace.
            Nella prima, righe di testo con la riga colo=MXP evidenziata in verde e
            l'indirizzo IP oscurato: il sito è protetto da Cloudflare. Nella
            seconda, la pagina 404 del sito: Cloudflare non c'è. Nella terza, la sola
            parola Forbidden: risposta incerta.
Le tre risposte del controllo: solo la prima dice che Cloudflare protegge il sito. Illustrazione.

Il riquadro "Verifica di essere umano" nel modulo contatti, invece, non dice niente. Turnstile, il sistema antispam di Cloudflare, può comparire anche su un sito che la sua rete non protegge. Fa lo stesso lavoro di reCAPTCHA, il sistema di Google, e Cloudflare pubblica una guida per passare dall'uno all'altro.

Cloudflare: cosa succede a ogni visita del sito web #

Quando un sito viene aggiunto a Cloudflare, l'azienda ne gestisce il DNS, il sistema che associa il nome di dominio all'indirizzo IP del server, cioè il numero che lo identifica in rete. Da quel momento il browser del visitatore riceve l'indirizzo di Cloudflare al posto di quello del server, e ogni richiesta arriva prima alla rete di Cloudflare. La documentazione chiama questa architettura reverse proxy: un intermediario che risponde al posto del server ogni volta che può. La posta elettronica resta fuori: le impostazioni che indicano dove si trova il server delle email sono sempre escluse dall'intermediario.

La richiesta raggiunge il data center più vicino al visitatore: in Italia ce ne sono tre, a Milano, Roma e Palermo. Se quel data center conserva già una copia delle pagine e delle immagini, risponde da solo, e secondo Cloudflare il sito si carica prima. Questa rete di copie si chiama CDN, rete di distribuzione dei contenuti. I dati di Google misurano quanto in fretta si carichi un sito, e chiunque può consultarli gratis.

Quando il data center non ha una copia, la richiesta prosegue verso il server, ma prima Cloudflare la esamina. Il firewall per applicazioni web, cioè un filtro sul traffico in arrivo, scarta le richieste sospette. Contro gli attacchi DDoS, che cercano di rendere un sito irraggiungibile sommergendolo di traffico, la rete di Cloudflare fa da scudo, e l'indirizzo reale del server resta nascosto.

La risposta torna al visitatore su una connessione cifrata, l'HTTPS, grazie al certificato SSL che Cloudflare fornisce, cioè il file che dimostra al browser l'identità del sito. Senza certificato, la pagina viene segnalata come non sicura.

Quattro passi in fila. Uno: il DNS di Cloudflare dà al browser
            l'indirizzo di Cloudflare, non quello del server. Due: il data center
            più vicino, a Milano, Roma o Palermo, risponde subito se ha una copia
            della pagina, evidenziato in verde. Tre: il filtro scarta le richieste
            sospette. Quattro: il server del sito prepara la pagina. Sotto: la
            risposta torna cifrata in HTTPS; le email restano fuori dal percorso.
Il percorso di una visita a un sito protetto da Cloudflare. Illustrazione semplificata; fonte: documentazione di Cloudflare.

Quanto costa Cloudflare per un sito web #

Secondo la pagina dei piani, il piano gratuito include la gestione del DNS, la CDN, la protezione dagli attacchi DDoS senza limiti di traffico, il firewall con un insieme di regole predefinite e il certificato SSL. Cloudflare lo descrive come adatto a progetti personali o amatoriali, non critici per un'attività.

Il piano Pro, che l'azienda destina ai siti professionali alla stessa condizione, costa 20 dollari al mese con fatturazione annuale, 25 con pagamento mese per mese, e aggiunge per esempio l'ottimizzazione delle immagini. Alle piccole imprese che operano online Cloudflare propone il Business, 200 dollari al mese con fatturazione annuale: è l'unico dei tre con una garanzia contrattuale di disponibilità del servizio.

Secondo queste descrizioni, quindi, il sito di uno studio o di un negozio ricade nel Pro o nel Business, non nel piano gratuito.

Tre schede affiancate. Free, 0 dollari, per progetti personali o
            amatoriali non critici per un'attività. Pro, 20 dollari al mese con
            fatturazione annuale o 25 mese per mese, per siti professionali non
            critici. Business, 200 dollari al mese con fatturazione annuale, per
            piccole imprese che operano online. Tutti includono DNS, CDN,
            certificato, protezione DDoS e firewall di base; l'ottimizzazione delle
            immagini parte dal Pro; la garanzia di disponibilità c'è solo nel
            Business.
I primi tre piani di Cloudflare e a chi l'azienda li destina. Illustrazione; fonte: pagina dei piani di Cloudflare.

La pagina "Verifica di essere umano": cosa vedono i tuoi clienti #

Prima del sito può comparire una pagina di Cloudflare che controlla se dall'altra parte ci sia una persona o un programma automatico. Secondo Cloudflare la maggior parte dei visitatori la supera senza interazione e senza CAPTCHA, i test con immagini o caratteri distorti, e la verifica automatica di norma richiede meno di cinque secondi.

La pagina compare soprattutto quando chi gestisce il sito attiva protezioni severe. L'azienda descrive la modalità "Under Attack" (sotto attacco) come un'ultima risorsa per le emergenze: quando è accesa, mostra la verifica a ogni visitatore e incide sui dati delle statistiche. Anche il Bot Fight Mode, la protezione gratuita dai programmi automatici, può sottoporre a verifica il traffico di un'app o dei servizi collegati al sito, e l'azienda consiglia di spegnerlo se crea problemi.

Secondo Cloudflare, se l'indirizzo IP del visitatore cambia fra la richiesta e la risposta alla verifica, la pagina può ripresentarsi senza fine. Può succedere a chi naviga con una VPN, un servizio che instrada la connessione attraverso un altro paese. Se un cliente segnala che il sito "non si apre", la causa può essere questa.

Dal 15 settembre 2026 Cloudflare offre a chi gestisce un sito anche nuove impostazioni sui programmi di intelligenza artificiale che lo leggono. Non tutte lasciano il sito su Google: con l'opzione Block, per esempio, ne esce.

Se Cloudflare si ferma: cosa succede al sito web #

Il 18 novembre 2025, alle 12:20 ora italiana, un errore di configurazione ha bloccato gran parte del traffico di Cloudflare fino a metà pomeriggio. Secondo la rete televisiva statunitense CNBC, fra i siti irraggiungibili c'erano ChatGPT, X (Twitter) e Shopify. Il 5 dicembre un secondo guasto è durato 25 minuti e, secondo l'azienda, ha colpito circa il 28% del traffico web della sua rete.

A maggio 2026 Cloudflare ha dichiarato concluso il lavoro che, secondo l'azienda, avrebbe evitato entrambi i guasti. Nella maggior parte dei casi le modifiche alla configurazione raggiungono la rete in modo graduale, non più tutte insieme.

Piracy Shield: perché in Italia Cloudflare è finito sui giornali #

Fuori dal mondo dei siti web, in Italia il nome di Cloudflare è finito sui giornali per Piracy Shield. È la piattaforma con cui l'Autorità per le garanzie nelle comunicazioni (AGCOM) ordina di oscurare i siti che trasmettono illegalmente eventi in diretta, come le partite di calcio. Il 29 dicembre 2025 AGCOM ha sanzionato Cloudflare per oltre 14 milioni di euro, perché non aveva bloccato i siti segnalati come richiedeva un ordine del febbraio 2025.

Cloudflare ha esposto le sue ragioni in un post sul suo blog del 16 marzo 2026: gli ordini di blocco vanno eseguiti entro 30 minuti, senza il vaglio di un giudice, e un indirizzo IP è spesso condiviso da migliaia di siti, oscurati insieme a quello segnalato.

Il 17 luglio 2026 il tribunale amministrativo regionale (TAR) del Lazio ha respinto i ricorsi e confermato la sanzione, secondo il portale giuridico Diritto.it. Secondo il sito di tecnologia Hardware Upgrade, Cloudflare ha annunciato l'appello al Consiglio di Stato. Al 25 settembre 2026 non è chiaro se il ricorso sia già stato depositato.

Cloudflare sul tuo sito web: cosa verificare #

  1. Apri /cdn-cgi/trace dopo l'indirizzo del tuo sito e controlla quale delle tre risposte ottieni.
  2. Se il sito è protetto da Cloudflare, chiedi a chi lo gestisce:
    • A quale account è associato il sito su Cloudflare, e ho accesso anch'io?
    • Quale piano abbiamo, ed è quello che Cloudflare indica per un sito come il nostro?
    • La modalità Under Attack o il Bot Fight Mode sono attivi, e per quale motivo?
    • Come sono configurate le impostazioni sull'intelligenza artificiale?
  3. Se il sito non è protetto da Cloudflare e si carica lentamente, o subisce attacchi, chiedi a chi lo gestisce se Cloudflare risolverebbe il problema, e con quale piano. Se non sai a chi rivolgerti, scrivimi: di hosting e sicurezza mi occupo per tutti i siti che seguo.

Domande frequenti #

Cos'è Cloudflare e a cosa serve? #

Cloudflare è un'azienda statunitense di reti e sicurezza informatica. Se il tuo sito è protetto dal suo servizio, le visite attraversano i suoi data center prima di arrivare al server: lì Cloudflare conserva copie delle pagine, blocca gli attacchi e fornisce il certificato per la connessione cifrata. Secondo W3Techs si affida a Cloudflare il 26,0% dei siti web.

Quanto costa Cloudflare? #

Il piano gratuito comprende la rete di distribuzione dei contenuti, la protezione dagli attacchi, il filtro delle richieste sospette e il certificato, ma Cloudflare lo indica per i progetti personali. Se il tuo sito è professionale, l'azienda propone il Pro, 20 dollari al mese con fatturazione annuale. La garanzia contrattuale di disponibilità arriva con il Business, 200 al mese.

Perché un sito mi chiede di verificare di essere umano? #

Se la verifica occupa tutta la pagina, prima del sito, e porta il nome di Cloudflare, di norma il sito è protetto dal suo servizio, che controlla se il visitatore sia una persona o un programma automatico. Nella maggior parte dei casi si conclude da sola in pochi secondi. Se si ripete senza fine, la causa può essere un servizio che cambia il tuo indirizzo di rete, come una VPN, o un'estensione del browser.

Se Cloudflare ha un guasto, il mio sito web smette di funzionare? #

Può fermarsi, se è protetto da Cloudflare: il server resta acceso, ma i visitatori vedono una pagina di errore. Il 18 novembre 2025 gran parte del traffico di Cloudflare si è fermata per alcune ore; il 5 dicembre 2025 il guasto è durato 25 minuti e ha colpito circa il 28% del traffico web, secondo l'azienda.

Fonti #

Cloudflareperformancesicurezza

Chi scrive

Andrea Frison sviluppa siti web, app e piattaforme su misura. Vive a Venezia in centro storico, è laureato in Informatica a Ca’ Foscari e lavora in Perspect, studio di consulenza di Mestre che incorpora Newwave. Quasi vent’anni di progetti per le aziende del Nord Est.

Il profilo completo e i lavori

Serve una mano su un progetto del genere?

Scrivimi a info@andreafrison.com. Leggo tutto e rispondo sempre.