Alternatywa tylko UE dla Cloudflare.

Cloudflare jest najbardziej narażonym na USA dostawcą w większości stosów "UE", ponieważ znajduje się przed użytkownikiem - każdy odwiedzający łączy się z serwerem brzegowym Cloudflare przed dotarciem do Twojego origin. Regiony UE Cloudflare to węzły brzegowe zlokalizowane w UE, ale firma macierzysta jest korporacją z Delaware z materiałem kluczowym kontrolowanym przez USA i logami ruchu kontrolowanymi przez USA. Dla celów Schrems II, Cloudflare przed ruchem danych osobowych to jeden z najłatwiejszych do obronienia problemów do usunięcia w pierwszej kolejności, ponieważ alternatywy - Bunny.net (SI) i KeyCDN (CH) - mają porównywalny zestaw funkcji i drastycznie prostszą sytuację prawną.

Stany Zjednoczone Stack zastępczy, wyłącznie UE 11 zmapowanych usług

Umów rozmowę Najpierw zeskanuj swoją domenę

Dostawca: Cloudflare
Siedziba: San Francisco, CA
Jurysdykcja: Stany Zjednoczone
Reżim prawny: CLOUD Act, FISA 702, EO 12333

"Region UE" to nie suwerenność. Decydują cztery pytania.

Rezydencja danych mówi, gdzie leżą bity. Suwerenność mówi, który system prawny może wymusić dostęp. Odpowiedź musi się bronić we wszystkich czterech punktach, inaczej stack nie jest suwerenny.

Rezydencja

Gdzie dane są fizycznie przechowywane?

Nie "w chmurze": które centrum danych, w jakim kraju, pod jaką jurysdykcją.

Podprzetwarzający

Kto jeszcze znajduje się w Państwa ścieżce danych?

Każdy dostawca dotykający danych: CDN, przekaźnik e-mail, tracker błędów, pipeline analityczny.

Jurysdykcja

Czyje prawa mogą wymusić ujawnienie?

Dostawca z siedzibą w USA podlega FISA 702 i CLOUD Act, nawet gdy dane leżą we Frankfurcie.

Depozyt kluczy

Kto faktycznie ma klucze szyfrujące?

Jeśli dostawca chmury trzyma zarówno dane, jak i klucze, może je odczytać, niezależnie od jakiejkolwiek umowy powierzenia.

Nie spełnia AWS · Azure · GCP · Region UE

Nie spełnia kryterium jurysdykcji i depozytu kluczy.

Bity w UE, spółka matka w USA, podprzetwarzający z USA w domyślnej ścieżce, klucze zarządzane przez dostawcę.

Spełnia Stack zarządzany przez Binadit

Spełnia wszystkie cztery kryteria.

Hostowane w UE na infrastrukturze z siedzibą europejską. Zero podprzetwarzających z USA w domyślnej ścieżce. Klucze klienta lub europejskiego KMS. Wymienieni z nazwy w Państwa DPA z Artykułu 28.

Dlaczego zespoły wychodzą Cloudflare

Wzorzec, który obserwujemy: przegląd prywatności lub IOD wskazuje Cloudflare jako amerykańskiego podprzetwarzającego, który przetwarza każde żądanie odwiedzającego, w tym adresy IP, odciski przeglądarki (przez Bot Management) i pliki cookie. Zgodnie z wyrokiem Schrems II jest to transfer wymagający dodatkowych zabezpieczeń - zazwyczaj szyfrowania, którego Cloudflare nie może odczytać, co niweczy funkcje WAF i Bot Management będące powodem korzystania z Cloudflare. Prostszym rozwiązaniem jest przejście na dostawcę podlegającego jurysdykcji UE, gdzie analiza prawna sprowadza się do „brak transferu”. Standardowym celem jest Bunny.net, a migracja to w praktyce kilka godzin pracy nad DNS i konfiguracją.

Cloudflare usługi i ich odpowiedniki tylko z UE

Migracja to nie "zamiana jednej skrzynki na drugą". Poniższe mapowanie jest tym, co uruchamiamy dla klientów opuszczających Cloudflare na gruncie Schrems II: pełna jurysdykcja UE, brak amerykańskiej spółki matki w ścieżce danych.

Cloudflare usługa	Czego używamy zamiast tego	Notatka inżynierska
Cloudflare CDN	Wdrażamy i utrzymujemy dla Ciebie CDN w UE: Bunny.net lub KeyCDN, z cache'owaniem Nginx i Varnish na Twoim origin.	CDN to jedna z niewielu warstw, których nie utrzymujemy samodzielnie. Wybieramy dostawcę z UE, konfigurujemy nagłówki cache, strategię czyszczenia cache oraz origin shielding, i zarządzamy tym w ramach usługi managed.
Cloudflare WAF	Binadit Managed Cloud Platform. Coraza lub ModSecurity z OWASP Core Rule Set, plus CrowdSec do blokowania behawioralnego.	Reguły są dostrajane na podstawie Twojego ruchu, a nie dostarczane jako domyślny zestaw, co zapobiega sytuacji, w której WAF po cichu blokuje prawdziwych klientów.
Cloudflare DDoS protection	Binadit Private Infrastructure. Upstream filtrowanie wolumetryczne, z rate limiting i CrowdSec na edge aplikacji.	Ataki wolumetryczne są wchłaniane zanim dotrą do Twoich serwerów. Nadużycia na poziomie aplikacji obsługiwane są tam, gdzie faktycznie można je zrozumieć - jak najbliżej Twojego ruchu.
Cloudflare DNS	Binadit Managed Cloud Platform. PowerDNS lub Knot, autorytatywne, podpisane DNSSEC.	Strefy są eksportowane i importowane jako standardowe pliki stref, więc zazwyczaj jest to najmniej problematyczna część migracji. Obniż TTL na tydzień przed migracją.
Cloudflare R2 (storage)	Binadit Managed Cloud Platform. MinIO lub Ceph RGW, kompatybilne z S3.	Zerowy egress R2 jest unikalny; u unijnych dostawców egress również jest zwykle darmowy lub bardzo niski, więc argument kosztowy pozostaje aktualny.
Cloudflare Workers	Binadit Managed Cloud Platform. Knative lub OpenFaaS na Twoim klastrze Kubernetes.	Większość funkcji, które migrujemy, okazuje się być niewielkimi handlerami HTTP, które bez problemu działają jako zwykłe kontenery, często taniej i bez cold startu.
Cloudflare Pages	Binadit Managed Cloud Platform. Nginx serwujący zbudowane assety, wdrażane z GitLab CI.	Główną wartością Pages jest pipeline budowania; ten element przenosi się do dostawcy CI.
Cloudflare Tunnel (Argo)	Binadit Managed Cloud Platform. Tunele WireGuard lub reverse proxy Nginx w Twoim własnym DMZ.	Netbird ma siedzibę w Niemczech i zapewnia wzorzec "bez publicznego IP" w jurysdykcji UE. Standardową suwerenną odpowiedzią jest samodzielnie zarządzany Wireguard.
Cloudflare Access (zero trust)	Binadit Managed Cloud Platform. WireGuard z Keycloak lub Authentik przed usługami wewnętrznymi.	Dla aplikacji wyłącznie wewnętrznych, reverse proxy zabezpieczone przez OIDC na infrastrukturze UE jest funkcjonalnie równoważne.
Cloudflare Stream (video)	Transkodowanie za pomocą FFmpeg na infrastrukturze Binadit, dostarczane przez europejski CDN, taki jak Bunny.net.	Transkodowanie to obciążenie wsadowe, które działa na posiadanej już mocy obliczeniowej. Dostarczanie odbywa się zwykłym HTTP przez CDN, który dla Ciebie skonfigurujemy.
Cloudflare Bot Management	Binadit Managed Cloud Platform. CrowdSec do wykrywania behawioralnego, z rate limiting i stronami wyzwań na brzegu sieci.	CrowdSec ma siedzibę we Francji i staje się coraz bardziej rozbudowany. Dla e-commerce o wysokim ruchu, DataDome (również z Francji) jest alternatywą klasy enterprise.

Cloudflare CDN

Czego używamy zamiast tego: Wdrażamy i utrzymujemy dla Ciebie CDN w UE: Bunny.net lub KeyCDN, z cache'owaniem Nginx i Varnish na Twoim origin.
Notatka inżynierska: CDN to jedna z niewielu warstw, których nie utrzymujemy samodzielnie. Wybieramy dostawcę z UE, konfigurujemy nagłówki cache, strategię czyszczenia cache oraz origin shielding, i zarządzamy tym w ramach usługi managed.

Cloudflare WAF

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Coraza lub ModSecurity z OWASP Core Rule Set, plus CrowdSec do blokowania behawioralnego.
Notatka inżynierska: Reguły są dostrajane na podstawie Twojego ruchu, a nie dostarczane jako domyślny zestaw, co zapobiega sytuacji, w której WAF po cichu blokuje prawdziwych klientów.

Cloudflare DDoS protection

Czego używamy zamiast tego: Binadit Private Infrastructure. Upstream filtrowanie wolumetryczne, z rate limiting i CrowdSec na edge aplikacji.
Notatka inżynierska: Ataki wolumetryczne są wchłaniane zanim dotrą do Twoich serwerów. Nadużycia na poziomie aplikacji obsługiwane są tam, gdzie faktycznie można je zrozumieć - jak najbliżej Twojego ruchu.

Cloudflare DNS

Czego używamy zamiast tego: Binadit Managed Cloud Platform. PowerDNS lub Knot, autorytatywne, podpisane DNSSEC.
Notatka inżynierska: Strefy są eksportowane i importowane jako standardowe pliki stref, więc zazwyczaj jest to najmniej problematyczna część migracji. Obniż TTL na tydzień przed migracją.

Cloudflare R2 (storage)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. MinIO lub Ceph RGW, kompatybilne z S3.
Notatka inżynierska: Zerowy egress R2 jest unikalny; u unijnych dostawców egress również jest zwykle darmowy lub bardzo niski, więc argument kosztowy pozostaje aktualny.

Cloudflare Workers

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Knative lub OpenFaaS na Twoim klastrze Kubernetes.
Notatka inżynierska: Większość funkcji, które migrujemy, okazuje się być niewielkimi handlerami HTTP, które bez problemu działają jako zwykłe kontenery, często taniej i bez cold startu.

Cloudflare Pages

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Nginx serwujący zbudowane assety, wdrażane z GitLab CI.
Notatka inżynierska: Główną wartością Pages jest pipeline budowania; ten element przenosi się do dostawcy CI.

Cloudflare Tunnel (Argo)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Tunele WireGuard lub reverse proxy Nginx w Twoim własnym DMZ.
Notatka inżynierska: Netbird ma siedzibę w Niemczech i zapewnia wzorzec "bez publicznego IP" w jurysdykcji UE. Standardową suwerenną odpowiedzią jest samodzielnie zarządzany Wireguard.

Cloudflare Access (zero trust)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. WireGuard z Keycloak lub Authentik przed usługami wewnętrznymi.
Notatka inżynierska: Dla aplikacji wyłącznie wewnętrznych, reverse proxy zabezpieczone przez OIDC na infrastrukturze UE jest funkcjonalnie równoważne.

Cloudflare Stream (video)

Czego używamy zamiast tego: Transkodowanie za pomocą FFmpeg na infrastrukturze Binadit, dostarczane przez europejski CDN, taki jak Bunny.net.
Notatka inżynierska: Transkodowanie to obciążenie wsadowe, które działa na posiadanej już mocy obliczeniowej. Dostarczanie odbywa się zwykłym HTTP przez CDN, który dla Ciebie skonfigurujemy.

Cloudflare Bot Management

Czego używamy zamiast tego: Binadit Managed Cloud Platform. CrowdSec do wykrywania behawioralnego, z rate limiting i stronami wyzwań na brzegu sieci.
Notatka inżynierska: CrowdSec ma siedzibę we Francji i staje się coraz bardziej rozbudowany. Dla e-commerce o wysokim ruchu, DataDome (również z Francji) jest alternatywą klasy enterprise.

Jak migrujemy z Cloudflare

Typowa migracja segmentu mid-market przebiega w trzech fazach. Poniższe liczby zakładają zespół inżynierski 6-10 osób i umiarkowanie złożony stack aplikacyjny.

Dni 1-3

Inwentaryzacja i ranking ryzyka

Zestawienie każdego używanego produktu Cloudflare: CDN, DNS, reguły WAF, Workers, Pages, R2, Tunnel, Access. Mapowanie każdego z nich pod kątem narażenia danych osobowych (czy dotyczy PII?) i złożoności migracji. Wynik: lista priorytetów, zazwyczaj CDN/DNS na pierwszym miejscu.
Dni 4-10

Miękka podmiana (CDN, DNS, R2)

Utworzenie pull zones w Bunny dla tych samych nazw hostów. Testy z hostname stagingowym. Przełączenie DNS z wcześniej ustawionym niskim TTL. Migracja R2 → Bunny Storage poprzez zapis równoległy. Reguły WAF przeniesione ręcznie do Bunny WAF.
Tygodnie 2-6

Trudne elementy (Workers, Tunnel, Access)

Kod workera zostaje sprawdzony i albo przeniesiony do Bunny Edge Scripting, przepisany jako middleware po stronie origin, albo hostowany samodzielnie na Knative. Tunnel zastępujemy Netbird lub samodzielnie zarządzanym Wireguard. Access zastępujemy Pomerium lub Authelia. Obciążenia Pages przenoszone są na GitLab Pages lub self-hosted rozwiązanie.

Migracje z Cloudflare do Bunny prawie zawsze redukują miesięczne wydatki o 40-70% przy typowych wolumenach mid-market. Wyjątkami są stosy intensywnie korzystające z Workers (gdzie równoważna infrastruktura self-hosted ma wyższy koszt stały) oraz stosy Pages o wysokim ruchu (gdzie agresywny darmowy plan Cloudflare jest trudny do dorównania).

Często zadawane pytania

Zobacz wszystkie często zadawane pytania

Cloudflare ma teraz plany danych tylko dla UE - czy to rozwiązuje problem?

"Data Localization Suite" Cloudflare może utrzymać ruch UE na węzłach brzegowych UE i kluczach UE, co odpowiada na kwestię rezydencji danych. Nie rozwiązuje to kwestii jurysdykcji: Cloudflare Inc. pozostaje amerykańską korporacją podlegającą CLOUD Act. Dla większości analiz Schrems II, produkt do lokalizacji danych jest ulepszeniem, ale nie pełną suwerennością.

Czy zmiana CDN wpłynie na wydajność dla użytkowników z Europy?

Dla użytkowników europejskich w szczególności Bunny.net często działa tak samo dobrze lub lepiej niż Cloudflare, ponieważ gęstość ich europejskich POP-ów jest wyższa w przeliczeniu na ruch. Testy w rzeczywistych warunkach na migracjach e-commerce wykazały poprawę TTFB o 10-30 ms dla ruchu specyficznego dla UE. Dla użytkowników globalnych (USA, APAC), liczba POP-ów Cloudflare jest większa.

Jak radzimy sobie z zastąpieniem Cloudflare Workers?

Trzy wzorce w zależności od Workera: (1) trywialne przepisywanie żądań przenosi się do Bunny Edge Scripting bez zmian, (2) Workery komunikujące się z KV / Durable Objects wymagają przeprojektowania - zazwyczaj logika przenosi się do origin i wykorzystuje Redis lub Postgres, (3) Workery działające jako punkty końcowe API stają się małymi usługami Knative na infrastrukturze UE.

Czy Bunny.net to realna alternatywa bezpieczna w świetle Schrems II?

Bunny.net to BunnyWay d.o.o., z siedzibą w Lublanie, w Słowenii (kraj członkowski UE). Podmiot prawny w pełni podlega jurysdykcji UE. Ich opublikowana lista subprocesorów jest krótka i skoncentrowana na UE. W kontekście Schrems II analiza sprowadza się do „braku transferu do kraju trzeciego”, co jest znacznie prostsze niż sytuacja z lokalizacją danych w przypadku Cloudflare.

A co z Fastly lub Akamai?

Obie firmy mają siedzibę w USA. Fastly to San Francisco; Akamai to Cambridge, MA. Ta sama analiza CLOUD Act co w przypadku Cloudflare. Nie są łatwiejsze pod kątem Schrems II niż Cloudflare; to po prostu inni dostawcy z USA z innym zestawem funkcji.

Ile trwa migracja z Cloudflare?

Dla typowego obciążenia (CDN, DNS, podstawowy WAF, bez Workers): 1-2 tygodnie. Dla konfiguracji intensywnie wykorzystującej Workers lub zależnej od Tunnel: 4-8 tygodni. Możemy przeprowadzić całość jako migrację zarządzaną, jeśli chcesz, aby odbyło się to bez angażowania mocy przerobowych Twojego zespołu.

Zaplanuj wyjście z Cloudflare.

30-minutowa rozmowa zakresowa. Mapujemy Państwa stack względem alternatyw tylko z UE, szacujemy nakład pracy migracji i mówimy, czy to właściwa decyzja.

Umów rozmowę Porównaj innego dostawcę