Die Redaktion sieht ihre Änderung nicht
Eine Seite wird im Backend geändert und veröffentlicht, im Frontend steht der alte Stand — für Stunden. Der Cloudflare-Cache weiß nichts vom Veröffentlichen, wenn ihn niemand darüber informiert.
Cloudflare für TYPO3
Cloudflare für TYPO3: Backend schützen, Seiten beschleunigen
TYPO3 ist für Cloudflare ein dankbares System: Die meisten Seiten sind für alle Besucher gleich und lassen sich am Rand zwischenspeichern, das Backend ist klar abgegrenzt und braucht Schutz, die Formulare sind das bevorzugte Ziel von Spam-Automaten. Richtig eingerichtet nimmt Cloudflare dem Server den Großteil der Last ab und hält Angreifer vom Backend fern. Falsch eingerichtet zeigt die Redaktion nach dem Speichern alte Stände, und das Login-Formular hängt in einer Prüfschleife. Wir betreiben TYPO3-Installationen seit Jahren und wissen, wo die Stellschrauben sitzen.
Was bei TYPO3 hinter Cloudflare typischerweise schiefgeht
Die Probleme sind leise: Nichts fällt aus, aber die Redaktion wundert sich.
Backend-Login in der Prüfschleife
Bot-Schutz oder eine Prüfseite vor dem Backend-Pfad bringen Redakteure in eine Schleife aus Captcha und Anmeldung — oder sperren den Kollegen im Homeoffice, dessen Adresse gerade verdächtig aussieht.
Formulare voller Spam — oder leer
Ohne Schutz füllen Automaten Kontakt- und Bewerbungsformulare. Mit einem zu groben Schutz kommen auch echte Anfragen nicht mehr durch. Beides merkt man erst, wenn man nachsieht.
Der Server bleibt direkt erreichbar
Die Adresse des Servers steht weiterhin im DNS oder in der Historie. Angriffe auf das Backend gehen dann an Cloudflare vorbei — und die Firewall sieht sie nie.
Warum TYPO3 und Cloudflare gut zusammenpassen
Eine TYPO3-Website liefert ihre Seiten überwiegend an anonyme Besucher aus, und für die ist jede Seite gleich. TYPO3 kann dem Browser und jedem Zwischenspeicher mitteilen, wie lange eine Seite gültig ist — genau diese Information nutzt Cloudflare, um Seiten am Rand vorzuhalten. Der Server wird nur noch gefragt, wenn sich etwas geändert hat oder der Besucher angemeldet ist.
Die Ausnahmen sind klar abgegrenzt: das Backend, das Installationswerkzeug, Bereiche mit Frontend-Login und Formulare. Genau dort setzen Firewall und Bot-Schutz an. Weil TYPO3 diese Trennung sauber hält, lässt sich Cloudflare präzise einstellen — anders als bei einem Shop, in dem fast jede Seite persönlich sein kann.
Seiten-Cache mit Leerung beim Veröffentlichen
Statische Dateien — Bilder, Skripte, Styles, Dokumente — hält Cloudflare lange vor. Seiten werden zwischengespeichert, solange der Besucher nicht angemeldet ist; Bereiche mit Frontend-Login und alles unter dem Backend-Pfad gehen am Cache vorbei. Entscheidend ist die Leerung: Wenn die Redaktion veröffentlicht oder den TYPO3-Cache leert, muss die alte Fassung auch am Rand verschwinden. Wir koppeln das Leeren der Cloudflare-Zone an TYPO3, damit Änderungen sofort sichtbar sind und niemand nach dem Speichern rätselt.
Was wir abschalten: Komfortfunktionen, die JavaScript umschreiben oder nachladen. Sie brechen das TYPO3-Backend und Frontend-Skripte stillschweigend. Und wir prüfen, ob TYPO3 die richtigen Cache-Angaben sendet — ohne sie speichert Cloudflare entweder gar nichts oder das Falsche.
Backend, Installationswerkzeug und Formulare schützen
Der Backend-Pfad ist das Ziel jedes automatisierten Angriffs auf TYPO3. Wir machen ihn nur für die erreichbar, die ihn brauchen: nach Netz, nach Land oder mit einer Prüfung davor, die echte Redakteure einmal sehen und Automaten nicht bestehen — ohne dass der Kollege im Homeoffice ausgesperrt wird. Das Installationswerkzeug bleibt von außen geschlossen, Anfragen nach Dateien, die es in TYPO3 nicht gibt, werden direkt verworfen. Rate Limiting begrenzt Login-Versuche und Suchanfragen je Absender.
Für Formulare nutzen wir Turnstile statt klassischer Captchas: ohne Bilderrätsel, ohne Cookies, serverseitig geprüft — genau so, wie es auf dieser Website läuft. Verifizierte Suchmaschinen und Ihre Monitoring-Dienste stehen auf der Erlaubt-Liste; beim Bot-Schutz entscheidet der Tarif, ob solche Ausnahmen möglich sind. Nach dem Scharfschalten lesen wir die Sicherheitsereignisse und führen die Regeln nach.
Verschlüsselung und ein Server, den nur Cloudflare erreicht
Die Verbindung zwischen Cloudflare und Ihrem Server bleibt durchgehend verschlüsselt, mit einem gültigen Zertifikat auf dem Server. Der Server nimmt Web-Anfragen nur noch aus den Netzen von Cloudflare an; auf Wunsch weist sich Cloudflare ihm gegenüber zusätzlich per Zertifikat aus. Angriffe auf das Backend können damit nicht mehr an der Firewall vorbei.
Und TYPO3 sieht weiterhin echte Besucher: Protokolle, die eigene Sperre nach Fehlversuchen und die Statistik bekommen die ursprüngliche Besucheradresse aus dem Cloudflare-Header statt der Adresse des Cloudflare-Netzes. Ohne dieses Detail sperrt TYPO3 nach ein paar fehlgeschlagenen Anmeldungen irgendwann alle Besucher auf einmal.
Betrieb und Ihr Konto
Das Cloudflare-Konto gehört Ihnen; wir arbeiten als Mitglied mit den nötigen Rechten. Jede Einstellung ist dokumentiert und begründet. Die Zone gehört in den regelmäßigen Prüfzyklus unserer TYPO3-Wartung — zusammen mit den Sicherheitsupdates, die Cloudflare nicht ersetzt.
Zur Einordnung: Cloudflare ist ein US-Anbieter, über dessen Netz der Verkehr Ihrer Besucher läuft. Der Einsatz gehört in die Datenschutzerklärung und braucht einen Auftragsverarbeitungsvertrag, den Cloudflare bereitstellt. Die technischen Angaben dafür liefern wir.
Ablauf
TYPO3 hinter Cloudflare — und die Redaktion merkt nichts davon.
Schicken Sie uns die Domain und, wenn vorhanden, einen Hinweis auf Formulare, Logins und Schnittstellen. Sie bekommen eine Einschätzung, was in Ihrer Lage sinnvoll ist — vor dem ersten Klick in Cloudflare.
- 01
Bestandsaufnahme
TYPO3-Version und Erweiterungen, Frontend-Logins, Formulare, Schnittstellen und Monitoring, Stand einer bestehenden Zone.
- 02
Grundlage
DNS, durchgehende Verschlüsselung, Server nur für Cloudflare erreichbar, echte Besucheradressen in TYPO3.
- 03
Cache
Cache-Angaben in TYPO3 prüfen, Regeln für Dateien und Seiten, Ausnahmen für Backend und Login-Bereiche, Leerung beim Veröffentlichen.
- 04
Schutz
Backend und Installationswerkzeug absichern, Firewall-Regeln, Bot-Schutz passend zum Tarif, Rate Limiting, Turnstile für Formulare.
- 05
Testlauf und Nachführung
Redaktionstest: Ändern, Veröffentlichen, Prüfen. Formulartest. Dann Sicherheitsereignisse lesen und Regeln nachführen.
Projekte auf diesem System
Ein Auszug — nicht die vollständige Kundenliste.
Häufige Fragen
Warum sieht die Redaktion ihre Änderungen nicht?
Weil der Cloudflare-Cache noch die alte Fassung hält. TYPO3 leert beim Veröffentlichen seinen eigenen Cache, nicht den am Cloudflare-Rand. Die Lösung ist eine Kopplung: Veröffentlichen oder Cache-Leeren in TYPO3 löst auch die Leerung der Zone aus. Bis dahin hilft nur Warten oder das Leeren von Hand im Cloudflare-Konto — beides zumutbar für niemanden, der täglich redigiert.
Wie schützen Sie das Backend, ohne die Redaktion auszusperren?
Abgestuft. Wer aus bekannten Netzen kommt — Büro, VPN —, kommt direkt durch. Alle anderen bekommen vor dem Backend eine kurze Prüfung, die ein Mensch einmal besteht und ein Automat nicht; bei Bedarf begrenzen wir zusätzlich nach Ländern. Der Kollege im Homeoffice wird so nicht ausgesperrt, aber die Anmeldeversuche aus aller Welt erreichen TYPO3 gar nicht erst.
Reicht der kostenlose Cloudflare-Tarif für eine TYPO3-Website?
Für eine Website ohne Schnittstellen oft ja: Verschlüsselung, Cache, Grundschutz und einige eigene Regeln sind enthalten. Sobald Monitoring, Schnittstellen oder ein Frontend-Login mit vielen Nutzern im Spiel sind, lohnt der Pro-Tarif wegen des feiner einstellbaren Bot-Schutzes und der vollständigen Regelsätze. Die genauen Grenzen je Tarif ändert Cloudflare gelegentlich; wir prüfen sie bei der Einrichtung.
Ersetzt Cloudflare die TYPO3-Sicherheitsupdates?
Nein. Cloudflare filtert Angriffsmuster am Rand, aber eine bekannte Lücke in einer Erweiterung bleibt offen, bis das Update eingespielt ist — und ein Angreifer, der an Cloudflare vorbei zum Server kommt, trifft sie ungefiltert. Cloudflare ist eine zusätzliche Schicht vor einer gepflegten Installation, kein Ersatz für die Pflege.
Was passiert mit Frontend-Logins und geschützten Bereichen?
Sie gehen am Cache vorbei. Sobald TYPO3 einen angemeldeten Frontend-Nutzer erkennt, ist die Seite für ihn persönlich und darf nicht zwischengespeichert werden. Wir richten die Regeln so ein, dass Cloudflare das erkennt — sonst sähe der nächste Besucher die Seite des angemeldeten Nutzers.
Brauchen wir Cloudflare, wenn Sie unsere Website hosten?
Nicht zwingend. Unsere Server in Deutschland sind gehärtet und überwacht. Cloudflare bringt eine zusätzliche Verteidigungslinie vor dem Server und entlastet ihn bei Lastspitzen — für exponierte Portale, internationale Auftritte und Websites mit vielen Formularen empfehlen wir es. Für eine regionale Unternehmenswebsite besprechen wir es offen.
Wem gehört das Cloudflare-Konto?
Ihnen. Die Zone läuft in Ihrem Konto, wir werden als Mitglied eingeladen. Domains, Zertifikate und Regeln bleiben bei Ihnen, auch wenn sich unsere Zusammenarbeit ändert. Eine bestehende Zone übernehmen wir, wie sie ist, und räumen auf.
Wie lange dauert die Einrichtung?
Für eine bestehende TYPO3-Website ist die Einrichtung überschaubar; den Aufwand nennen wir nach dem Blick in Installation und Zone. Die Umstellung planen wir so, dass die Redaktion sie begleitet: ändern, veröffentlichen, prüfen — erst wenn das sitzt, ist die Zone scharf.
Anfrage
Wo stehen Sie mit Cloudflare?
Egal ob noch nichts eingerichtet ist oder die Website schon hinter Cloudflare läuft und die Redaktion sich wundert: Wir sehen zuerst hin, dann sagen wir, was zu tun ist.
- Antwort von jemandem, der das System kennt — keine Warteschleife
- Einschätzung vor dem Angebot, auch wenn sie gegen ein Projekt spricht
- Ihre Angaben gehen per E-Mail an uns, nicht in ein CRM eines Dritten