Blokada krajów w Cloudflare: Chiny, Rosja, USA - i jak nie zablokować Google

2026-10-28/Bezpieczeństwo

Blokada ruchu z wybranych krajów (geoblokada) to jedna reguła w Cloudflare, którą można ustawić za darmo w kilka minut. Odcina adresy IP z danego kraju, zanim w ogóle dotrą do serwera. Najczęściej blokuje się Chiny i Rosję, ale z danych o atakach wynika, że najwięcej złośliwego ruchu przychodzi z USA, a stamtąd łączy się też Googlebot. Wyjaśniam, co taka blokada naprawdę daje, jak zablokować USA bez wypadnięcia z Google i dlaczego żadna blokada nie zastąpi podstawowej ochrony strony.

Co daje blokada ruchu z wybranych krajów

Każde połączenie ze stroną ma adres IP, a każdy adres IP da się przypisać do kraju. Reguła typu „jeśli kraj = Chiny lub Rosja, odrzuć” sprawia, że takie zapytanie dostaje odmowę. Strona się nie ładuje, formularz się nie wysyła, panel logowania się nie otwiera. Jeśli blokada działa przed serwerem (np. w Cloudflare), hosting w ogóle tego ruchu nie widzi.

Ma to sens, bo duża część ruchu na zwykłych stronach firmowych nie pochodzi od ludzi. Według Cloudflare Radar w ostatnim tygodniu (koniec października 2026) 39,4% zapytań o strony WWW na świecie wysłały boty, a raport Imperva Bad Bot Report 2025 szacuje, że 37% całego ruchu w internecie to złośliwe boty. To one próbują logować się do wp-login.php, skanują wtyczki w poszukiwaniu dziur i wysyłają spam przez formularze.

Skąd naprawdę przychodzą ataki (aktualne dane)

Tu jest ważna niespodzianka. Najwięcej ataków na strony nie pochodzi z Chin ani z Rosji, tylko z chmur obliczeniowych w USA i Europie, bo serwer w chmurze można wynająć w kilka minut i za grosze.

• Cloudflare Radar, ostatnie 7 dni: źródła ataków na aplikacje WWW to USA (22,3%), Chiny (6,1%), Singapur (5,7%), Holandia (5,2%) i Niemcy (4,6%). W czołówce sieci, z których atakowano, są Google Cloud, Amazon i Microsoft.
• Wordfence, raport za IV kwartał 2025: firewall Wordfence zablokował w tym czasie 9,1 mld ataków na strony WordPress i 13,8 mld prób zgadnięcia hasła. Wśród krajów, z których szło najwięcej ataków, prowadzą USA, Niemcy i Ukraina, a Rosja jest czwarta.
• Cloudflare, DDoS Threat Report H1 2026: najwięcej ruchu z ataków DDoS pochodziło z Brazylii, USA i Indonezji, czyli z zainfekowanych urządzeń rozsianych po całym świecie.

Polska jest przy tym coraz częstszym celem. Według raportu Pełnomocnika Rządu ds. Cyberbezpieczeństwa w 2025 roku zespoły reagowania obsłużyły prawie 273 tysiące incydentów, o 144% więcej niż rok wcześniej. Raport ABW za 2025 rok wskazuje grupy powiązane z rosyjskimi i białoruskimi służbami (m.in. APT28 i UNC1151), ale te celują głównie w administrację i infrastrukturę, a nie w stronę hydraulika czy gabinetu.

Czy to zabezpiecza stronę w 100%? Nie.

Z powyższych danych wynika jasno: blokada Chin i Rosji odcina część ataków, a nie większość. Każdy, kto użyje VPN-a albo wynajmie serwer w Niemczech, przejdzie dalej. Mimo to warto ją włączyć, bo:

• usuwa ruch, z którego firma działająca w Polsce i tak nie ma klientów,
• ogranicza spam w formularzach i próby logowania do panelu,
• porządkuje statystyki w Google Analytics, bo znikają „wejścia”, które nic nie znaczą,
• kosztuje 0 zł i nie wymaga utrzymania.

To jak zamek w drzwiach: złodzieja z łomem nie zatrzyma, ale zniechęci przechodnia, który sprawdza klamki. A w internecie takich „przechodniów” są miliardy.

Blokada a szybkość strony

Każde zapytanie bota, które dociera do WordPressa, uruchamia PHP i bazę danych tak samo jak wizyta klienta. Na tanim hostingu współdzielonym setki takich zapytań na minutę potrafią zjeść limit zasobów i spowolnić stronę dla prawdziwych ludzi. Blokada ustawiona przed serwerem sprawia, że ten ruch w ogóle go nie obciąża.

Jeśli blokadę robi się przez Cloudflare, strona zyskuje przy okazji coś jeszcze: obrazki, style i skrypty są serwowane z serwerów Cloudflare najbliżej odwiedzającego, a ruch idzie po HTTP/2 i HTTP/3. To często odczuwalnie poprawia czas ładowania i wyniki Core Web Vitals. Sama blokada krajów nie przyspieszy strony, która jest ciężka z innych powodów. Wtedy pomaga dopiero przyspieszenie strony WordPress: optymalizacja zdjęć, cache i porządek we wtyczkach.

Jak ustawić blokadę krajów w Cloudflare (za darmo)

1. Cloudflare, plan darmowy (najlepsza opcja). Domenę przepina się na serwery nazw Cloudflare, a potem w Security → Security rules dodaje regułę ip.src.country in {"CN" "RU"} z akcją Block. Rekordy poczty zostają bez zmian, więc e-maile działają jak wcześniej.
2. Wtyczka do WordPressa (np. IP2Location Country Blocker). Szybciej się ją włącza, ale ruch nadal dociera do serwera, który musi go odrzucić. Wordfence blokuje kraje dopiero w płatnej wersji.

Roboty Google i Binga łączą się z adresów w USA, więc blokada Chin i Rosji nie wpływa na pozycjonowanie. Nie blokuj jednak kraju w ciemno, jeśli sprzedajesz za granicę albo masz stamtąd klientów.

Jak zablokować ruch z USA i nie zablokować Google

Dla wielu polskich firm to skuteczniejsza reguła niż sama blokada Chin i Rosji. Z danych Cloudflare Radar wynika, że z USA wychodzi 22,3% ataków na aplikacje WWW, więcej niż z Chin i Rosji razem. Problem w tym, że z USA łączy się też Googlebot, więc zwykła blokada kraju wycięłaby stronę z wyników wyszukiwania.

Rozwiązaniem jest pole Known Bots (w wyrażeniu cf.client.bot). Cloudflare utrzymuje listę zweryfikowanych robotów, m.in. Google, Binga i Facebooka, i sprawdza je po adresach, z których się łączą, a nie tylko po nazwie w nagłówku. Bot, który tylko udaje Googlebota, nie przejdzie. Reguła wygląda tak:

(ip.src.country eq "US" and not cf.client.bot)

W kreatorze reguł to dwa warunki: Country equals United States oraz Known Bots equals false. Jako akcję zamiast Block lepiej wybrać Managed Challenge, bo tak samo pokazuje to dokumentacja Cloudflare. Bot odpada, a człowiek z USA, np. Twój klient na wyjeździe albo ktoś z Polonii, przejdzie po krótkim sprawdzeniu przeglądarki.

Przed włączeniem sprawdź, co jeszcze łączy się z Twoją stroną z serwerów w USA i nie jest robotem wyszukiwarki:

• Jetpack i WordPress.com (statystyki, udostępnianie wpisów w social media, kopie zapasowe),
• powiadomienia z bramek płatności w sklepie, np. Stripe czy PayPal, które potwierdzają opłacenie zamówienia,
• monitoring dostępności strony i zewnętrzne narzędzia do kopii zapasowych,
• testy szybkości i inne narzędzia, które sprawdzają stronę z amerykańskich serwerów.

Jeśli coś z tej listy przestanie działać, dodaje się dla tej usługi wyjątek w regule (po adresie IP albo numerze sieci dostawcy). Przez pierwsze dni po włączeniu warto zaglądać do Security → Events w Cloudflare i sprawdzać, co faktycznie zostało zatrzymane.

Co jest ważniejsze niż blokada krajów

Według Wordfence tylko w IV kwartale 2025 roku ujawniono 2213 nowych luk we wtyczkach i motywach WordPressa, a zainfekowanych zostało 467 tysięcy stron. Większość włamań na strony firmowe to nie wyrafinowane ataki z zagranicy, tylko stare wtyczki i słabe hasła. Atakuje się tego, kogo najłatwiej. Podstawą jest więc:

• regularna aktualizacja WordPressa, motywu i wtyczek oraz aktualna wersja PHP,
• silne hasła i logowanie dwuetapowe do panelu,
• kopie zapasowe trzymane poza serwerem,
• usunięcie nieużywanych wtyczek i kont.

Jeśli strona już została zainfekowana, pomoże usuwanie wirusów z WordPressa. Jeśli nie chcesz pilnować tego sam, mogę to robić za Ciebie w ramach opieki nad stroną WordPress: aktualizacje, kopie, monitoring, a na życzenie także konfiguracja Cloudflare i blokady krajów. Napisz, sprawdzę Twoją stronę.

Źródła

• Cloudflare Radar - źródła ataków na warstwę aplikacji (dane z 24.10.2026)
• Cloudflare Radar - ruch botów i ludzi (dane z 24.10.2026)
• Wordfence - Quarterly WordPress Threat Intelligence Report Q4 2025
• Cloudflare - DDoS Threat Report H1 2026
• Imperva Bad Bot Report 2025 (omówienie TechRadar)
• Raport Pełnomocnika Rządu ds. Cyberbezpieczeństwa za 2025 r. (omówienie Telepolis)
• ABW - Raport o stanie bezpieczeństwa cyberprzestrzeni RP w 2025 roku
• Cloudflare Docs - Allow traffic from verified bots