Alternativa apenas UE a Cloudflare.

Cloudflare is the most US-exposed vendor in most "EU" stacks because it sits in front of the user - every visitor connects to a Cloudflare edge server before reaching your origin. The EU regions of Cloudflare are EU-located edges, but the parent company is a Delaware corporation with US-controlled key material and US-controlled traffic logs. For Schrems II purposes, Cloudflare in front of personal-data traffic is one of the most defensible problems to remove first, because the alternatives - Bunny.net (SI) and KeyCDN (CH) - have comparable feature sets and dramatically simpler legal stories.

United States Stack de substituição, apenas UE 11 serviços mapeados

Agendar uma chamada Verifique primeiro o seu domínio

Fornecedor: Cloudflare
Sede: San Francisco, CA
Jurisdição: United States
Regime jurídico: CLOUD Act, FISA 702, EO 12333

"Região UE" não é soberania. Quatro perguntas decidem.

A residência de dados diz onde estão os bits. A soberania diz que sistema legal pode obrigar ao acesso. A resposta tem de se sustentar nos quatro pontos, caso contrário a stack não é soberana.

Residência

Onde os dados estão fisicamente armazenados?

Não "na cloud": que centro de dados, em que país, sob que jurisdição.

Subprocessadores

Quem mais está no seu caminho de dados?

Cada fornecedor que toca os dados: o CDN, o relay de e-mail, o rastreador de erros, o pipeline de analytics.

Jurisdição

Quais leis podem forçar a divulgação?

Um fornecedor com sede nos EUA está sujeito à FISA 702 e à CLOUD Act, mesmo com os dados em Frankfurt.

Custódia de chaves

Quem detém realmente as chaves de cifragem?

Se o fornecedor cloud detém tanto os dados como as chaves, consegue lê-los, independentemente de qualquer DPA.

Não cumpre AWS · Azure · GCP · Região da UE

Falha em jurisdição e custódia de chaves.

Bits na UE, casa-mãe nos EUA, subprocessadores americanos no caminho predefinido, chaves geridas pelo fornecedor.

Cumpre Stack gerida pela Binadit

Passa nos quatro.

Hospedado na UE em infraestrutura com sede europeia. Zero subprocessadores americanos no caminho padrão. Chaves do cliente ou de KMS europeu. Nomeados no seu DPA Artigo 28.

Porque é que as equipas estão a sair Cloudflare

The pattern we see: a privacy or DPO review identifies Cloudflare as a US subprocessor that processes every visitor request including IP addresses, browser fingerprints (via Bot Management) and cookies. Under Schrems II that is a transfer that needs supplementary measures - typically encryption that Cloudflare cannot read, which defeats the WAF and Bot Management features that were the reason for using Cloudflare. The simpler answer is to swap to an EU-jurisdictional provider where the legal analysis collapses to "no transfer." Bunny.net is the standard target and the migration is genuinely a few hours of DNS and configuration work.

Cloudflare serviços e os seus equivalentes apenas na UE

Uma migração não é "trocar uma caixa por outra". O mapeamento abaixo é o que executamos para clientes que saem de Cloudflare com base em Schrems II: jurisdição da UE completa, sem empresa-mãe norte-americana no caminho dos dados.

Cloudflare serviço	O que usamos no lugar	Nota de engenharia
Cloudflare CDN	Implementamos e operamos uma CDN na UE para si: Bunny.net ou KeyCDN, com caching em Nginx e Varnish na sua origem.	A CDN é uma das poucas camadas que não operamos nós mesmos. Escolhemos o provedor europeu, configuramos cache headers, estratégia de purge e origin shielding, e operamos como parte do serviço gerido.
Cloudflare WAF	Binadit Managed Cloud Platform. Coraza ou ModSecurity com o OWASP Core Rule Set, mais CrowdSec para bloqueio comportamental.	As regras são ajustadas com base no seu tráfego em vez de serem entregues como um conjunto predefinido, o que é o que impede um WAF de bloquear silenciosamente clientes reais.
Cloudflare DDoS protection	Binadit Private Infrastructure. Filtragem volumétrica upstream, com rate limiting e CrowdSec na edge da aplicação.	Ataques volumétricos são absorvidos a montante dos seus servers. Abusos na camada de aplicação são tratados onde podem efetivamente ser compreendidos, junto ao seu tráfego.
Cloudflare DNS	Binadit Managed Cloud Platform. PowerDNS ou Knot, autoritativo, assinado com DNSSEC.	As zones são exportadas e importadas como ficheiros de zone standard, pelo que esta é geralmente a parte menos problemática de uma migração. Reduza os TTLs uma semana antes.
Cloudflare R2 (storage)	Binadit Managed Cloud Platform. MinIO ou Ceph RGW, compatível com S3.	A proposta de egress zero do R2 é única; em provedores europeus, o egress também é tipicamente gratuito ou muito baixo, pelo que o argumento de custo se mantém.
Cloudflare Workers	Binadit Managed Cloud Platform. Knative ou OpenFaaS no seu cluster Kubernetes.	A maioria das funções que migramos acaba por ser pequenos handlers HTTP que correm bem como containers normais, muitas vezes mais baratos e sem cold start.
Cloudflare Pages	Binadit Managed Cloud Platform. Nginx servindo assets compilados, implantado a partir do GitLab CI.	O valor principal do Pages é o pipeline de build; essa parte passa para o seu provedor de CI.
Cloudflare Tunnel (Argo)	Binadit Managed Cloud Platform. Túneis WireGuard, ou um reverse proxy Nginx na sua própria DMZ.	A Netbird tem sede na Alemanha e fornece o padrão "sem IP público" com jurisdição da UE. Wireguard self-managed é a resposta soberana padrão.
Cloudflare Access (zero trust)	Binadit Managed Cloud Platform. WireGuard com Keycloak ou Authentik à frente dos serviços internos.	Para aplicações apenas internas, um reverse proxy protegido por OIDC em infraestrutura da UE é funcionalmente equivalente.
Cloudflare Stream (video)	Transcodificação com FFmpeg na infraestrutura Binadit, entregue através de uma CDN europeia como a Bunny.net.	A transcodificação é uma carga de trabalho em lote que corre em capacidade que já possui. A entrega é HTTP normal através de uma CDN que configuramos para si.
Cloudflare Bot Management	Binadit Managed Cloud Platform. CrowdSec para detecção comportamental, com rate limiting e challenge pages no edge.	A CrowdSec tem sede em França e está cada vez mais capaz. Para e-commerce de alto tráfego, a DataDome (também francesa) é a alternativa enterprise.

Cloudflare CDN

O que usamos no lugar: Implementamos e operamos uma CDN na UE para si: Bunny.net ou KeyCDN, com caching em Nginx e Varnish na sua origem.
Nota de engenharia: A CDN é uma das poucas camadas que não operamos nós mesmos. Escolhemos o provedor europeu, configuramos cache headers, estratégia de purge e origin shielding, e operamos como parte do serviço gerido.

Cloudflare WAF

O que usamos no lugar: Binadit Managed Cloud Platform. Coraza ou ModSecurity com o OWASP Core Rule Set, mais CrowdSec para bloqueio comportamental.
Nota de engenharia: As regras são ajustadas com base no seu tráfego em vez de serem entregues como um conjunto predefinido, o que é o que impede um WAF de bloquear silenciosamente clientes reais.

Cloudflare DDoS protection

O que usamos no lugar: Binadit Private Infrastructure. Filtragem volumétrica upstream, com rate limiting e CrowdSec na edge da aplicação.
Nota de engenharia: Ataques volumétricos são absorvidos a montante dos seus servers. Abusos na camada de aplicação são tratados onde podem efetivamente ser compreendidos, junto ao seu tráfego.

Cloudflare DNS

O que usamos no lugar: Binadit Managed Cloud Platform. PowerDNS ou Knot, autoritativo, assinado com DNSSEC.
Nota de engenharia: As zones são exportadas e importadas como ficheiros de zone standard, pelo que esta é geralmente a parte menos problemática de uma migração. Reduza os TTLs uma semana antes.

Cloudflare R2 (storage)

O que usamos no lugar: Binadit Managed Cloud Platform. MinIO ou Ceph RGW, compatível com S3.
Nota de engenharia: A proposta de egress zero do R2 é única; em provedores europeus, o egress também é tipicamente gratuito ou muito baixo, pelo que o argumento de custo se mantém.

Cloudflare Workers

O que usamos no lugar: Binadit Managed Cloud Platform. Knative ou OpenFaaS no seu cluster Kubernetes.
Nota de engenharia: A maioria das funções que migramos acaba por ser pequenos handlers HTTP que correm bem como containers normais, muitas vezes mais baratos e sem cold start.

Cloudflare Pages

O que usamos no lugar: Binadit Managed Cloud Platform. Nginx servindo assets compilados, implantado a partir do GitLab CI.
Nota de engenharia: O valor principal do Pages é o pipeline de build; essa parte passa para o seu provedor de CI.

Cloudflare Tunnel (Argo)

O que usamos no lugar: Binadit Managed Cloud Platform. Túneis WireGuard, ou um reverse proxy Nginx na sua própria DMZ.
Nota de engenharia: A Netbird tem sede na Alemanha e fornece o padrão "sem IP público" com jurisdição da UE. Wireguard self-managed é a resposta soberana padrão.

Cloudflare Access (zero trust)

O que usamos no lugar: Binadit Managed Cloud Platform. WireGuard com Keycloak ou Authentik à frente dos serviços internos.
Nota de engenharia: Para aplicações apenas internas, um reverse proxy protegido por OIDC em infraestrutura da UE é funcionalmente equivalente.

Cloudflare Stream (video)

O que usamos no lugar: Transcodificação com FFmpeg na infraestrutura Binadit, entregue através de uma CDN europeia como a Bunny.net.
Nota de engenharia: A transcodificação é uma carga de trabalho em lote que corre em capacidade que já possui. A entrega é HTTP normal através de uma CDN que configuramos para si.

Cloudflare Bot Management

O que usamos no lugar: Binadit Managed Cloud Platform. CrowdSec para detecção comportamental, com rate limiting e challenge pages no edge.
Nota de engenharia: A CrowdSec tem sede em França e está cada vez mais capaz. Para e-commerce de alto tráfego, a DataDome (também francesa) é a alternativa enterprise.

Como migramos de Cloudflare

Uma migração típica de mid-market decorre em três fases. Os números abaixo assumem uma equipa de engenharia de 6 a 10 pessoas e uma stack de aplicação moderadamente complexa.

Days 1-3

Inventory & risk-rank

List every Cloudflare product in use: CDN, DNS, WAF rules, Workers, Pages, R2, Tunnel, Access. Map each to a personal-data exposure (does it touch PII?) and migration complexity. Output: priority list, usually CDN/DNS first.
Days 4-10

Soft swap (CDN, DNS, R2)

Provision Bunny pull zones for the same hostnames. Test with a staging hostname. Cut DNS over with low TTL pre-stage. R2 → Bunny Storage migration via parallel-write. WAF rules ported manually to Bunny WAF.
Weeks 2-6

Hard pieces (Workers, Tunnel, Access)

Worker code reviewed and either ported to Bunny Edge Scripting, rewritten as origin-side middleware, or self-hosted on Knative. Tunnel replaced with Netbird or self-managed Wireguard. Access replaced with Pomerium or Authelia. Pages workloads moved to GitLab Pages or self-hosted.

Cloudflare-to-Bunny migrations almost always reduce monthly spend by 40-70% at typical mid-market volumes. The exceptions are Workers-heavy stacks (where the equivalent self-hosted infrastructure has higher fixed cost) and high-traffic Pages stacks (where Cloudflare's aggressive free tier is hard to match).

Perguntas frequentes

Ver todas as perguntas frequentes

Cloudflare has EU-only data plans now - does that solve it?

Cloudflare's "Data Localization Suite" can keep EU traffic on EU edges and EU keys, which addresses residency. It does not address jurisdiction: Cloudflare Inc. remains a US corporation subject to the CLOUD Act. For most Schrems II analyses, the data-localization product is an improvement but not full sovereignty.

Will switching CDN affect performance for European visitors?

For European users specifically, Bunny.net often performs equal or better than Cloudflare because their EU POP density is higher per-traffic. Real-world tests on e-commerce migrations have shown TTFB improvements of 10-30ms for EU-specific traffic. For global users (US, APAC), Cloudflare's POP count is larger.

How do we handle Cloudflare Workers replacement?

Three patterns depending on the Worker: (1) trivial request rewrites move to Bunny Edge Scripting unchanged, (2) Workers that talk to KV / Durable Objects need a re-architect - typically the logic moves to the origin and uses Redis or Postgres, (3) Workers acting as API endpoints become small Knative services on EU infrastructure.

Is Bunny.net a real Schrems II-safe alternative?

Bunny.net is BunnyWay d.o.o., headquartered in Ljubljana, Slovenia (EU member). The legal entity is fully under EU jurisdiction. Their published subprocessor list is short and EU-focused. For Schrems II, the analysis collapses to "no third-country transfer" which is materially easier than Cloudflare's data-localization story.

What about Fastly or Akamai?

Both US-headquartered. Fastly is San Francisco; Akamai is Cambridge, MA. Same CLOUD Act analysis as Cloudflare. They are not Schrems II-easier than Cloudflare; they are different US providers with different feature sets.

How long does a Cloudflare migration take?

For a typical workload (CDN, DNS, basic WAF, no Workers): 1-2 weeks elapsed. For a Workers-heavy or Tunnel-dependent setup: 4-8 weeks. We can run the whole thing as a managed migration if you want it done without burning your team's capacity.

Planeie a sua saída de Cloudflare.

Chamada de scoping de 30 minutos. Mapeamos a sua stack contra alternativas apenas UE, estimamos o esforço de migração e dizemos-lhe se é a decisão certa.

Agendar uma chamada Comparar outro fornecedor