XDA a publié un article sur le remplacement de chaque service Cloudflare dans un homelab, et les commentaires se sont transformés en un long fil de discussion de personnes construisant tranquillement des stratégies de sortie. Les pannes de Cloudflare cette année, le resserrement progressif des limites du plan gratuit et les frictions de confiance autour du nuage orange ont poussé les opérateurs de homelab et les petites équipes à examiner plus sérieusement les alternatives. Nous avons testé sept alternatives à Cloudflare sur les quatre services sur lesquels les gens comptent le plus : le CDN, le DNS public, le tunneling sécurisé et le WAF devant les services auto-hébergés.
Les tests ont été exécutés sur Windows 11, macOS Sequoia et Ubuntu 24.04, derrière une connexion CGNAT pour que nous puissions correctement tester la traversée NAT et la fiabilité des tunnels. Chaque sélection ci-dessous a gagné sa place parce qu’elle est pratique à exécuter, et pas seulement possible à installer.
Comparaison rapide
| Application | Meilleur pour | Plan gratuit | Prix de départ/mois | Caractéristique remarquable |
|---|---|---|---|---|
| Bunny.net | CDN à l’usage | Non, minimum $1 | $0.005/GB | Tarification par région |
| Fastly | Sites avec calcul edge intensif | Crédit d’essai $50 | Sur mesure | Contrôle au niveau VCL |
| Pangolin | Remplacement de tunnel auto-hébergé | Oui, complètement | Gratuit | WireGuard + auth en un seul binaire |
| Tailscale Funnel | Exposition publique d’un service | Oui | Gratuit | Intégré dans le Tailnet existant |
| NextDNS | DNS public avec filtrage | 300k requêtes/mois | $1.99 | Profils par appareil |
| BunkerWeb | WAF devant les services auto-hébergés | Oui | Gratuit | Basé sur Nginx, modulaire |
| Akamai | CDN entreprise + edge | Non | Sur mesure | Plus grande présence edge |
Pourquoi les gens quittent Cloudflare
Trois raisons réapparaissent constamment dans les discussions :
- Exposition aux pannes. Quand Cloudflare tombe en panne, votre DNS, CDN, tunnels et WAF tombent avec lui. Les opérateurs qui distribuent cela entre les fournisseurs se rétablissent plus rapidement.
- Expansion du plan gratuit. Les fonctionnalités autrefois gratuites ont été déplacées derrière les plans payants, et les quotas gratuits des Workers ont diminué. La ligne entre « bien pour un hobby » et « vous avez besoin de Pro » bouge constamment.
- Confidentialité et décoration du trafic. Certains homelabs préfèrent ne pas terminer TLS chez un tiers. Les tunnels auto-hébergés et les chemins directs CDN-vers-origin contournent cela.
Les sélections ci-dessous couvrent ces raisons. Aucune d’elles ne remplace la pile Cloudflare complète par elle-même, et c’est le point : distribuer les services entre les fournisseurs est la protection.
Les alternatives à Cloudflare
Bunny.net, le CDN à l’usage
Bunny.net est le CDN vers lequel les gens basculent d’abord parce que la tarification est par GB selon la région et le tableau de bord est conçu pour un ingénieur plutôt qu’une équipe. Les Storage Zones couvrent le stockage d’origine, les Pull Zones gèrent la livraison CDN, et les Magic Containers exécutent le calcul edge. Pour un site statique ou une petite charge de travail SaaS, la facture mensuelle se résume à l’argent du café.
Où cela échoue : la pile de sécurité est plus mince que celle de Cloudflare. L’atténuation des bots est basique, et il n’y a pas d’équivalent à Bot Management de Cloudflare au-delà de simples règles.
Tarification :
- Par GB selon la région, à partir de $0.005/GB en Amérique du Nord et en Europe.
- Dépense minimale mensuelle de $1.
Migration depuis Cloudflare : pointez les enregistrements DNS vers les Pull Zones de Bunny et mettez à jour le nom d’hôte d’origine. Pas d’outils spécialisés. Accordez quelques heures pour la propagation mondiale et l’échauffement du cache.
Télécharger : Tableau de bord Bunny.net
En résumé : le premier changement approprié pour quiconque exécute des sites statiques, la livraison d’images ou une petite API publique derrière Cloudflare aujourd’hui.
Fastly, l’edge pour les équipes qui veulent du contrôle
Fastly est le CDN que les grands éditeurs utilisent quand ils ont besoin de pousser la logique vers l’edge. VCL vous donne des scripts à chaque couche de la demande, Compute@Edge exécute des workers Rust ou JavaScript, et le cache est conçu pour une purge instantanée à grande échelle. L’essai gratuit (crédit de $50) est généreux suffisamment pour exécuter une vraie charge de travail à travers.
Où cela échoue : la plateforme s’attend à ce que vous sachiez ce que vous faites. Le tableau de bord n’est pas préconçu, et la facture peut grimper rapidement si vous configurez mal les TTL du cache.
Tarification :
- Crédit d’essai $50.
- Tarification personnalisée pour un trafic soutenu.
Migration depuis Cloudflare : les Page Rules et Workers ne se traduisent pas directement en VCL ou Compute@Edge. Attendez-vous à un vrai projet de migration, pas juste un changement DNS.
Télécharger : Console Fastly
En résumé : le choix quand vous dépassez les plateformes CDN préconçues et avez besoin d’écrire votre propre logique de mise en cache.
Pangolin, le remplacement du tunnel auto-hébergé
Pangolin est l’alternative open-source à Cloudflare Tunnel que les forums homelab continuent de recommander. Il regroupe WireGuard, l’authentification basée sur l’identité et une petite interface de gestion dans un conteneur. Vous l’exécutez sur un VPS avec une IP publique, enregistrez vos services en aval, et Pangolin s’occupe du reste. La configuration est à peu près un fichier docker compose et un enregistrement DNS.
Où cela échoue : vous avez toujours besoin d’un VPS. Si votre objectif était d’éviter de gérer l’infrastructure, Pangolin déplace le travail plutôt que de l’éliminer. Les fournisseurs d’authentification sont plus petits que Cloudflare Access.
Tarification :
- Gratuit, open-source, auto-hébergé.
Migration depuis Cloudflare : Cloudflare Tunnel s’associe proprement au client newt de Pangolin. Remplacez l’installation de cloudflared par l’agent Pangolin, mettez à jour DNS, et vos tunnels s’exécutent sur votre VPS.
Télécharger : Pangolin sur GitHub
En résumé : le choix open-source pour remplacer Cloudflare Tunnel sans abandonner le modèle du nom d’hôte public.
Tailscale Funnel, la voie de la moindre résistance
Tailscale Funnel expose un port de nœud Tailscale unique sur l’Internet public via HTTPS, avec authentification optionnelle via Tailscale Serve. Si vous exécutez déjà Tailscale pour l’accès à distance, Funnel est une case à cocher pour publier un service auto-hébergé. Pas de VPS supplémentaire, pas d’enregistrements DNS supplémentaires, pas de fournisseur d’authentification séparé.
Où cela échoue : un seul service par nœud par défaut, et vous ne pouvez pas facilement le mettre de l’avant avec un domaine personnalisé au sommet. Le débit est limité par votre upload domestique.
Tarification :
- Gratuit sur le plan Tailscale gratuit.
Migration depuis Cloudflare : échangez votre Cloudflare Tunnel contre tailscale funnel sur le nœud cible. Mettez à jour DNS vers le sous-domaine ts.net attribué ou placez-le derrière votre propre proxy inverse.
Télécharger : Télécharger Tailscale
En résumé : le changement le plus paresseux si vous exécutez déjà une Tailnet. Difficile à surpasser pour un service auto-hébergé.
NextDNS, le remplacement DNS Cloudflare au niveau grand public
NextDNS remplace 1.1.1.1 par des profils par appareil, des listes noires, des listes blanches et des analyses. La configuration est par appareil ou par réseau, les applications couvrent chaque plateforme qui préoccupe les gens, et le niveau gratuit gère un ménage.
Où cela échoue : le niveau gratuit est limité à 300,000 requêtes par mois, qu’un ménage actif peut dépasser. Certaines fonctionnalités d’entreprise (rétention des journaux, contrôle multi-locataire) se trouvent derrière des plans payants.
Tarification :
- Gratuit jusqu’à 300,000 requêtes par mois.
- Les plans Pro commencent à environ $1.99 par mois pour les requêtes illimitées.
Migration depuis Cloudflare : modifiez le résolveur de votre routeur de 1.1.1.1 à votre point de terminaison NextDNS. Les applications s’installent par appareil pour la prise en charge DoH ou DoT.
Télécharger : Configuration NextDNS
En résumé : le choix pour remplacer le DNS public de Cloudflare au niveau du ménage ou du petit bureau avec une véritable surface de configuration.
BunkerWeb, le WAF qui s’exécute sur votre boîte
BunkerWeb est le WAF basé sur Nginx open-source qui se place devant vos services auto-hébergés. Il regroupe ModSecurity, les listes de mauvais bots, la limitation de débit et l’authentification JWT dans un conteneur. L’interface web vous permet de gérer les règles sans éditer les fichiers de configuration, ce qui fait la différence entre l’utiliser et non.
Où cela échoue : vous exécutez Nginx, avec tout le poids opérationnel que cela implique. Le renouvellement des certificats SSL, la rotation des journaux et les limites de ressources sont votre problème.
Tarification :
- Gratuit, open-source.
- Plan Pro payant avec plugins supplémentaires.
Migration depuis Cloudflare : les Page Rules ne se mappent pas. Reproduisez vos protections (limitations de débit, blocages de pays, règles de bots) comme des règles BunkerWeb, puis pointez DNS vers votre nœud edge.
Télécharger : BunkerWeb sur GitHub
En résumé : le choix quand vous voulez un vrai WAF devant les services auto-hébergés sans envoyer le trafic via un tiers.
Akamai, le choix entreprise
Akamai est le CDN à l’autre extrémité de l’échelle de taille. La présence edge est la plus grande de l’industrie, la suite de sécurité (Kona Site Defender, Bot Manager) est lourde, et les prix correspondent. Pour un homelab, c’est excessif. Pour une entreprise réglementée qui veut quelque chose d’autre que Cloudflare pour son edge public, Akamai est le choix évident.
Où cela échoue : tarification dirigée par les ventes. L’intégration se mesure en semaines, pas en après-midis.
Tarification :
- Personnalisée, dirigée par les ventes.
Migration depuis Cloudflare : un SE d’Akamai vous écrira un plan de migration. Attendez-vous à un projet structuré.
Télécharger : Centre de contrôle Akamai
En résumé : la bonne réponse quand l’organisation a un département d’approvisionnement et un régulateur à satisfaire.
Comment choisir
Pour un homelab, appairez Bunny.net ou pas de CDN du tout avec Pangolin ou Tailscale Funnel et NextDNS. Cela distribue vos œufs entre de petits fournisseurs et rend chaque élément remplaçable.
Pour une petite SaaS, basculez le CDN vers Bunny.net, laissez DNS où il est (ou basculez vers NextDNS pour le profil d’équipe), et choisissez BunkerWeb si vous voulez un vrai WAF.
Pour une entreprise remplaçant Cloudflare à grande échelle, Fastly ou Akamai sont les pairs réalistes. Choisissez Fastly si vous voulez écrire du code à l’edge. Choisissez Akamai si vous voulez une relation vendeur qui satisfait à un examen d’approvisionnement.
Restez sur Cloudflare si votre pile dépend déjà de Workers, R2 et Zero Trust ensemble, et que vous devriez sinon reconstruire la pile de trois fournisseurs. Le risque d’un seul fournisseur est un vrai coût, mais tout comme la fragmentation de la pile.
FAQ
Y a-t-il une alternative Cloudflare gratuite pour les tunnels ? Oui. Pangolin et Tailscale Funnel fonctionnent tous les deux gratuitement. Pangolin a besoin d’un VPS, Funnel s’exécute sur n’importe quel Tailnet.
Quelle est l’alternative CDN Cloudflare la moins chère ? Bunny.net, de loin. La tarification par GB commence à un demi-sou en Amérique du Nord et en Europe, et il n’y a pas d’engagement requis au-delà du minimum mensuel de $1.
Puis-je remplacer le WAF de Cloudflare sans payer ? BunkerWeb couvre le cas open-source. Il exécute Nginx avec des règles ModSecurity et des listes de mauvais bots, et le niveau gratuit couvre tout ce dont la plupart des auto-hébergeurs ont besoin.
Dois-je aussi déplacer DNS depuis Cloudflare ? Seulement si vous souhaiter diversifier l’exposition aux pannes ou vous voulez un filtrage par appareil. NextDNS est le choix évident pour les ménages. Pour DNS entreprise, dnsimple et Route 53 sont des voisins courants.
Qu’en est-il des alternatives aux Cloudflare Workers ? Fastly Compute@Edge et Bunny Magic Containers sont les pairs les plus proches. Fastly est plus mature, Bunny est plus convivial pour les petites charges de travail.
Vaut-il la peine de remplacer Cloudflare entièrement ? Pour la plupart des homelabs, non, parce que le coût du temps dépasse les économies. Pour les équipes qui dépendent de l’indépendance du temps actif, la réponse est oui, et le bon modèle consiste à remplacer un service à la fois.
