Cloudflare は、世界最大級のグローバル anycast ネットワークを運用しています。トラフィックは、利用可能な最も近いデータセンターへ自動でルーティングされます。現在のデータセンター所在地は、ネットワークマップ ↗ で確認できます。
Cloudflare データセンター内、および Cloudflare ネットワークとオリジンサーバーの間では、転送中のトラフィックは暗号化されます。暗号化モード（Cloudflare がサーバー証明書をどれだけ厳密に検証するか）と 暗号スイート（接続に使う具体的な暗号化アルゴリズム）は選べます。
さらに、Cloudflare データセンター内のリクエストとレスポンスの処理はメモリ上で行われます。トラフィックの内容は自動システムが扱い、キャッシュ対象のコンテンツや設定した Cache Rules を除き、ディスクには書き込まれません。自動制御により、Cloudflare の担当者が処理パイプライン内のトラフィック内容にアクセスすることはありません。キャッシュ用ディスクはすべて保存時に暗号化されます（転送中の暗号化に加え、ディスク上でも暗号化されます）。
概要として、エンドユーザーのデバイスがいずれかの Cloudflare データセンターに接続すると、リクエストは次のように処理されます。
-
サイバー攻撃に使える一部のリクエストは、アドレス情報（レイヤー 3 / ネットワーク層）に基づいて直ちに破棄されます。
-
次に、暗号化されたリクエストは復号（TLS 終端）され、設定した Cloudflare のセキュリティおよびパフォーマンス製品（Configuration Rules、WAF Custom Rules、Rate Limiting Rules など）が、traffic sequence ↗ で定義された順に検査します。この処理により、アプリケーション層（レイヤー 7）の DDoS 攻撃、自動ボットトラフィック、クレデンシャルスタッフィング（盗んだユーザー名とパスワードの組み合わせの使用）、SQL インジェクション（Web リクエストへの悪意あるデータベースコマンドの挿入）など、さまざまなサイバー攻撃を検知して防げます。
-
検査後のリクエストはキャッシュ層へ渡されます。要求されたコンテンツのキャッシュがあれば、ユーザーへ直接返します。なければ、リクエストはオリジンサーバーへ転送されます。Cloudflare データセンターとオリジンサーバーの間のトラフィックは、別の暗号化モードを設定していない限り暗号化されます。
-
オリジンサーバーからレスポンスが届くと、静的でキャッシュ対象のコンテンツは暗号化ディスクにキャッシュされます。レスポンスは、設定したセキュリティおよびパフォーマンス製品を再び通過してから、ユーザーへ返されます。
デフォルトでは、Cloudflare は世界中のすべてのデータセンターで TLS 終端（HTTPS トラフィックの復号）を行います。エンドユーザーが Cloudflare 配下の Web サイトやアプリケーションに接続する場所です。復号の場所を制限する必要がある場合は、Regional Services を設定し、TLS 終端とトラフィック処理を行うリージョンを指定できます。