Подключение CNAME к российскому CDN-провайдеру выглядит как простое решение: добавили одну запись в DNS, и статика вроде бы поехала быстрее. Но на практике новичок через пару дней обнаруживает, что динамические страницы по-прежнему открываются через зарубежный контур, а SSL-сертификат выпускается где-то в Амстердаме. Причина в том, что CNAME делегирует только часть трафика, тогда как полноценная облачная защита и ускорение требуют передачи управления зоной целиком через NS-записи.
Почему CNAME не решает задачу ускорения и защиты
CNAME-запись технически указывает, что домен обслуживается на стороне CDN. Браузер пользователя обращается к ближайшему edge-серверу, забирает картинки, CSS и JS из кэша, а вот HTML-страницы, формы, корзину интернет-магазина и API-запросы провайдер отдаёт обратно на origin. Если origin физически стоит в России, но DNS-резолвинг и TLS-терминация идут через зарубежные узлы, выигрыш по скорости оказывается минимальным, а задержка на динамике только растёт.
С SSL ситуация ещё неприятнее. При CNAME-схеме сертификат на ваш домен выпускает либо сам CDN, либо вы загружаете свой. Если провайдер зарубежный, то цепочка доверия и OCSP-проверки уходят за границу. Российские интернет-провайдеры в ряде случаев ограничивают доступ к сайтам на Cloudflare, и тогда ваш CNAME превращается в точку отказа: статика закэширована, а динамика и авторизация не работают вовсе. Бизнес в России ищет альтернативу Cloudflare в 2026 году именно из-за таких сценариев.
NS-записи передают CDN-провайдеру всю зону: он сам управляет A, AAAA, CNAME, TXT и MX-записями, сам выпускает SSL, сам решает, что кэшировать, а что проксировать. Это единственный способ, при котором reverse proxy, WAF, защита от ботов и L7 DDoS работают на всём трафике, а не на его части. Российский аналог Cloudflare вроде TrafficVeil строит маршрутизацию так, чтобы динамика и SSL обслуживались внутри РФ, а не через зарубежный контур.
Как подключить российский CDN правильно: пошаговый разбор
Начните с инвентаризации: выпишите все поддомены, которые у вас есть (www, api, mail, cdn, static), и отметьте, какие из них отдают динамику. Дальше заведите аккаунт у провайдера, добавьте домен и пройдите верификацию владения через TXT-запись. Провайдер покажет пару NS-серверов, которые нужно прописать у регистратора вместо текущих. Смена NS вступает в силу за срок TTL, обычно от 15 минут до 24 часов, поэтому планируйте работы на ночь или выходные.
После переключения NS не спешите радоваться. Проверьте, что SSL-сертификат выпустился на все поддомены, включая wildcard, и что цепочка валидна из браузера в России. Затем настройте правила кэширования: статику (изображения, шрифты, JS/CSS с версионированием) можно кэшировать на 30 дней, HTML – на 5-15 минут, API и корзину – не кэшировать вовсе. замена cloudflare offers additional context worth reviewing. Включите GeoIP-фильтрацию, если у вас есть нежелательный трафик из конкретных регионов, и WAF в режиме логирования на первую неделю, чтобы не заблокировать реальных клиентов.
Отдельно про ботов. Многие CDN тарифицируют запросы от поисковых роботов и DDoS-атак как обычный трафик, и счёт за месяц может вырасти в разы. TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки, что для интернет-магазина на Bitrix или блога на WordPress означает предсказуемый бюджет. Если вы раньше сидели на Cloudflare и платили за каждый миллион запросов, разница ощущается уже на второй месяц.
| Метод подключения | Что кэшируется | Где терминируется SSL | Работает ли WAF и L7 DDoS | Зависимость от зарубежного контура |
|---|---|---|---|---|
| CNAME на зарубежный CDN | Только статика | За рубежом | Частично, на кэшируемых запросах | Высокая |
| CNAME на российский CDN | Статика, иногда HTML | В РФ или на границе | Частично, динамика идёт мимо | Средняя |
| NS-записи на российский CDN | Статика и HTML по правилам | В РФ | Полностью, на всём трафике | Низкая |
| NS-записи на зарубежный CDN | Статика и HTML по правилам | За рубежом | Полностью, но с рисками доступности | Высокая |
| Свой reverse proxy без CDN | Ничего, только проксирование | На своём сервере | Только то, что настроили вручную | Зависит от хостинга |
Сравнение показывает простую вещь: CNAME даёт ускорение только для статики и оставляет динамику и SSL на прежнем контуре. NS-записи переносят управление зоной целиком, и тогда российский CDN действительно обеспечивает работу сайтов на территории РФ и по всему миру, а не создаёт иллюзию защиты. Для новичка это главный вывод: не гонитесь за одной записью, смотрите на схему делегирования.
Что делать после подключения: заведите мониторинг TTFB и кодов ответа по регионам, проверьте, что поисковые роботы не получают 403 из-за GeoIP, и настройте алерты на рост WAF-блокировок. Если сайт на WordPress, поставьте плагин, который чистит кэш при публикации, иначе редакторы будут видеть старые версии страниц. Для Bitrix проверьте, что компоненты, отдающие персонализированный контент, исключены из кэша на edge. Раз в месяц пересматривайте правила: нагрузка и профиль угроз меняются, а конфигурация остаётся.
Переход с Cloudflare на российский CDN через смену NS занимает один вечер плюс сутки на распространение зоны. Если у вас несколько доменов, делайте по одному, начиная с самого некритичного, чтобы отладить правила кэширования и SSL. Держите старые NS-записи под рукой на случай отката, но не возвращайтесь к CNAME-схеме: она не решает задачу, ради которой вы вообще затевали переезд. Проверьте всё через неделю после переключения, и только тогда считайте миграцию завершённой.