Cloudflare gratuit : que comprend vraiment l'offre pour un petit site ?

Que comprend vraiment l’offre gratuite de Cloudflare pour le site d’une TPE ou d’un indépendant ? Plus que prévu côté sécurité, moins que prévu côté vitesse : la protection contre les attaques, le certificat SSL et un pare-feu de base sont inclus, mais vos pages ne sont pas mises en cache par défaut et l’assistance technique passe par la communauté.

Cet inventaire ne retient que ce que Cloudflare écrit lui-même, sur ses pages d’offres en français et dans sa documentation technique, relues le 8 novembre 2026. Cette documentation n’existe qu’en anglais : chaque citation qui en vient est traduite par nos soins et signalée.

Que comprend vraiment l’offre gratuite de Cloudflare ?

L’offre gratuite de Cloudflare comprend cinq briques listées dans sa documentation : une protection DDoS standard et non facturée sur les couches 3 à 7, un certificat SSL universel pour le domaine et ses sous-domaines de premier niveau, un jeu de règles de pare-feu géré, 5 règles de pare-feu personnalisées et 10 règles de cache. C’est un vrai socle de sécurité, à condition de le régler.

La FAQ de l’éditeur le dit en une phrase : « Oui, Cloudflare est disponible gratuitement. L’Offre gratuite de Cloudflare propose un ensemble de fonctionnalités essentielles pour la sécurité et la performance des sites web. » Elle ne chiffre rien. Les chiffres sont dans les tableaux de disponibilité de la documentation, offre par offre :

• Protection contre les attaques par déni de service (DDoS). Pour l’offre gratuite comme pour les autres, le tableau indique « protection DDoS standard, non facturée à l’usage (couches 3 à 7) » (traduit de l’anglais). Les couches 3 et 4 désignent le réseau, la couche 7 l’application, c’est-à-dire les requêtes faites à votre site. La page ne donne aucun plafond chiffré, ni de volume ni de bande passante : retenez « non facturée », sans en déduire plus.
• Certificat SSL universel. Cloudflare émet et renouvelle automatiquement des certificats SSL gratuits, « non partagés et reconnus publiquement » (traduit de l’anglais). Ils couvrent le domaine racine (exemple.fr) et les sous-domaines de premier niveau (www.exemple.fr). Un sous-domaine plus profond, comme rdv.cabinet.exemple.fr, demande une autre option de certificat.
• Jeu de règles de pare-feu gratuit (Free Managed Ruleset). Disponible sur toutes les offres, il apporte « une protection contre les vulnérabilités à fort impact et largement exploitées » (traduit de l’anglais).
• 5 règles de pare-feu personnalisées, sans expressions régulières (celles-ci sont réservées aux offres Business et Enterprise). Assez pour réserver l’administration de votre site à vos adresses IP connues, ou bloquer le trafic de pays précis, deux cas d’usage décrits par Cloudflare.
• 10 règles de cache, pour décider ce que Cloudflare garde en mémoire et pendant combien de temps.

Le CDN gratuit de Cloudflare met-il vos pages en cache ?

Pas par défaut. La documentation de Cloudflare est nette : « Le CDN de Cloudflare ne met pas en cache le HTML ni le JSON par défaut » (traduit de l’anglais). Vos images, feuilles de style et scripts sont servis depuis le réseau de Cloudflare, mais la page elle-même continue d’être demandée à votre hébergeur à chaque visite. Si votre hébergeur met du temps à produire la page, Cloudflare seul n’y change rien.

La règle de cache par défaut tient en une ligne : Cloudflare met en cache selon l’extension du fichier (.jpg, .css, .js), pas selon le type de contenu déclaré par le serveur. Il garde aussi par défaut votre fichier robots.txt. Vos pages HTML, elles, passent à travers.

La parade existe dans l’offre gratuite : une de vos 10 règles de cache peut rendre vos pages HTML éligibles au cache, réglage que Cloudflare décrit comme une demande de « tenter de les mettre en cache » (traduit de l’anglais). Elle se réserve aux pages identiques pour tous les visiteurs. Une page de compte client, un panier ou une page qui affiche un message personnalisé ne doivent pas être mis en cache.

Deux plafonds complètent le tableau, identiques en gratuit et en Pro :

• 512 Mo : la taille maximale d’un fichier que Cloudflare accepte de mettre en cache (même plafond en Business).
• 100 Mo : la taille maximale d’un envoi vers votre site à travers Cloudflare (200 Mo en Business).

Un site vitrine qui ne reçoit que des formulaires texte n’est pas concerné par le second. Un site où vos clients envoient des plans, des photos de chantier ou des vidéos doit le vérifier avant d’ouvrir le formulaire.

Le certificat SSL gratuit de Cloudflare suffit-il à sécuriser votre site ?

Il sécurise le trajet entre le visiteur et Cloudflare ; le reste dépend du mode de chiffrement choisi pour le trajet entre Cloudflare et votre hébergeur. En mode Flexible, ce second trajet reste en HTTP, donc en clair, et la documentation de Cloudflare écrit que ce réglage rend votre site « partiellement sécurisé » (traduit de l’anglais). Le cadenas du navigateur, lui, s’affiche quand même.

La page consacrée au mode Flexible pose trois limites :

1. Son usage prévu : les serveurs sur lesquels on ne peut pas installer de certificat. C’est un mode de dépannage, pas un réglage de croisière.
2. La boucle de redirection. « Si votre origine force le HTTPS en redirigeant automatiquement les requêtes HTTP vers HTTPS, n’utilisez pas le mode Flexible » (traduit de l’anglais) : le site devient inaccessible, et le navigateur affiche une erreur de redirections en boucle.
3. Les données sensibles. « Si votre application contient des informations sensibles (données personnalisées, connexion d’utilisateurs), utilisez plutôt les modes Full ou Full (strict) » (traduit de l’anglais).

Le bon réglage porte un nom : Full (strict). La documentation est explicite : « Pour la meilleure sécurité, choisissez le mode Full (strict) dès que possible » (traduit de l’anglais). Il exige sur votre serveur un certificat valide, émis par une autorité reconnue ou par l’autorité d’origine de Cloudflare (Origin CA), et qui correspond au nom de votre domaine.

Un détail compte dans la durée. Cloudflare déploie progressivement un réglage automatique qui choisit le mode le plus sûr détecté, sans jamais redescendre : si le certificat de votre serveur expire, le mode reste en Full (strict), qui exige un certificat valide. À vous de le renouveler à temps. La documentation le résume ainsi : « Vous devez vous assurer à tout moment de la validité de la configuration SSL/TLS de votre origine » (traduit de l’anglais).

Quelles protections et optimisations manquent dans l’offre gratuite ?

Trois manques sont documentés. Le jeu de règles géré complet de Cloudflare (Cloudflare Managed Ruleset) et le jeu de règles OWASP sont marqués absents en gratuit et présents dès Pro dans le tableau de disponibilité du pare-feu. L’optimisation d’images Polish, qui compresse vos images et retire leurs métadonnées, est indiquée « non » pour l’offre gratuite.

Ce que ces manques changent, concrètement :

• Le jeu de règles géré complet élargit le jeu gratuit. D’après la documentation, il « inclut une couverture plus large » (traduit de l’anglais), au point que le jeu gratuit devient inutile une fois qu’il est déployé.
• Le jeu OWASP est la version Cloudflare du jeu de règles de base OWASP ModSecurity, issu d’un projet ouvert consacré à la sécurité des applications web. Cloudflare prévient lui-même qu’il « est sujet aux faux positifs et n’apporte qu’un bénéfice marginal en plus du jeu géré Cloudflare et du score d’attaque du pare-feu » (traduit de l’anglais).
• Polish optimise les images à la volée. Sans lui, la parade est simple : compresser vos images avant de les mettre en ligne, ce qu’un site bien construit fait déjà.

Les plafonds bougent aussi : 5 règles de pare-feu personnalisées en gratuit contre 20 en Pro, 10 règles de cache contre 25. Les expressions régulières dans les règles de pare-feu n’arrivent qu’avec Business.

Quelle assistance obtenez-vous avec Cloudflare gratuit ?

Pour une question technique, l’offre gratuite vous oriente vers le forum communautaire et le serveur Discord de Cloudflare. Les tickets d’assistance ne s’ouvrent, en gratuit, que pour la facturation, le compte et le registrar, le service d’achat de noms de domaine de Cloudflare. Il n’y a ni chat ni téléphone : si un réglage casse votre site un vendredi soir, vous n’avez aucun canal vers l’équipe technique.

La note du tableau des canaux d’assistance est précise : les clients gratuits sont « encouragés à utiliser la communauté Cloudflare » et « ne peuvent ouvrir des tickets que pour la facturation, le compte et le registrar » (traduit de l’anglais). Le ticket technique arrive avec Pro, le chat avec Business (du lundi au vendredi), le téléphone d’urgence avec Enterprise seulement.

Une précision vaut pour toutes les offres, payantes comprises : le support ne peut pas « faire des changements de configuration ou de compte au nom d’un client » (traduit de l’anglais). Même en payant, le réglage reste à votre charge, ou à celle de votre prestataire.

Combien coûte le passage à Cloudflare Pro ou Business ?

Lus le 8 novembre 2026 sur les pages de l’éditeur : Pro coûte 240 USD par an ou 25 USD par mois, Business 2 400 USD par an ou 250 USD par mois. Le prix s’entend par domaine ; les sous-domaines ne coûtent rien de plus. Payer à l’année revient à 20 USD par mois en Pro et 200 USD en Business (notre calcul, à partir du prix annuel).

La FAQ des offres le précise : « Notre tarification est définie par domaine. Autrement dit, chaque domaine est facturé séparément. Le nombre de sous-domaines n’entre pas en ligne de compte. » Un cabinet qui passe ses deux noms de domaine en Pro paie donc deux abonnements. Les prix sont publiés en dollars américains, sans équivalent en euros.

Business ajoute notamment deux choses que Pro n’a pas : le chat, et un contrat de niveau de service. Cloudflare le réserve aux offres Business et Enterprise : « L’offre Business de Cloudflare inclut une garantie de disponibilité de 100 %. » En cas d’interruption, l’éditeur verse un avoir sur l’abonnement mensuel, au prorata de la durée et de la part de clients touchés.

Côté facturation, la FAQ prévoit un prorata à l’heure quand vous montez d’offre. Quand vous redescendez, les sommes déjà payées ne sont pas remboursées ; la FAQ annonce un passage immédiat à l’offre inférieure, la documentation de facturation un passage « à la fin de la période de facturation » (traduit de l’anglais) : vérifiez dans votre tableau de bord avant de changer.

Le tableau ci-dessous reprend, offre par offre, les chiffres relevés dans cet article. Les lignes suivent l’ordre du texte : prix, sécurité, cache, images, assistance, engagement de disponibilité.

Pour quels sites l’offre gratuite suffit-elle, et quand passer à Pro ?

Pour un site vitrine d’artisan, de profession libérale ou de TPE, l’offre gratuite couvre l’essentiel, à condition d’être bien réglée : mode Full (strict), règles de cache adaptées, jeu de règles gratuit activé. Passez à Pro quand vous avez besoin du jeu de règles géré complet, de plus de 5 règles de pare-feu, de l’optimisation d’images Polish ou d’un ticket technique. Business ne se justifie que si chaque heure d’arrêt vous coûte.

Notre recommandation, selon votre site :

• Site vitrine sans compte client ni paiement. Restez en gratuit. Réglez le mode Full (strict), ajoutez une règle de cache pour le HTML si vos pages sont les mêmes pour tous, et compressez vos images avant la mise en ligne, puisque Polish n’est pas inclus.
• Site avec espace client, prise de rendez-vous ou formulaires de données personnelles. Le gratuit reste possible, mais Cloudflare demande les modes Full ou Full (strict) dès que le site traite des données sensibles, et Full (strict) pour la meilleure sécurité. Pro devient raisonnable si vous voulez le jeu de règles géré complet et un ticket technique en cas de souci.
• Boutique ou service de réservation où l’arrêt coûte cher. Parmi les trois offres de cet article, seul Business apporte une garantie de disponibilité écrite et un chat. Comparez son prix annuel à ce que vous perdez pendant une journée d’arrêt.

Cloudflare décrit lui-même la cible de Pro : « L’offre Cloudflare Pro convient plus particulièrement aux sites web professionnels, aux blogs recevant un trafic élevé, ainsi qu’aux start-ups nécessitant une sécurité et des performances accrues. » Un site vitrine est un site professionnel ; ce qui tranche, ce sont les lignes du tableau, pas l’étiquette.

Si votre site est statique, Cloudflare Pages l’héberge aussi en gratuit, avec ses propres plafonds : 500 constructions par mois, 20 000 fichiers par site et 25 Mio par fichier. Vérifiez-les avant de choisir, surtout si vous hébergez des vidéos.

Ce qui fait la différence n’est donc pas l’offre, c’est le réglage. Dans notre maintenance de site web, l’hébergement, le certificat SSL et le CDN sont gérés pour vous, sans rien à configurer de votre côté. Si votre site actuel est trop lent ou trop fragile pour qu’un réglage suffise, une création de site web repart sur une base saine. Nos trois formules comprennent l’hébergement, le domaine et la sécurité, à partir de 990 € la première année puis 180 € par an : notre offre.

Pour un artisan ou une TPE de Tours et d’Indre-et-Loire, ce soin du réglage commence dès la conception. Notre page création de site internet à Tours détaille l’approche : un site sur mesure, rapide sur mobile, pensé pour être trouvé sur Google, et une vraie personne qui suit votre projet.