Ein Content Delivery Network (CDN) beschleunigt deine Website, schützt sie vor Angriffen und entlastet dein Hosting. Der Unterschied zwischen „CDN aktiv“ und richtig konfiguriertem CDN ist allerdings riesig. In diesem Leitfaden zeige ich dir, worauf du achten musst – von Caching-Strategien über WAF-Regeln bis zu Metriken, mit denen du den Erfolg sauber misst.

1) Wann ein CDN Sinn ergibt

• Verteilte Zielgruppen: Nutzer aus vielen Regionen → kürzere Wege durch Edge-PoPs.

• Statische Assets: Bilder, CSS, JS, Fonts, PDFs – hohe Cache-Trefferquoten möglich.

• Dynamische Inhalte/HTML: Mit den richtigen Regeln lassen sich auch HTML, APIs & Feeds beschleunigen.

• Schutzbedarf: WAF, Rate Limiting, Bot-Management und DDoS-Mitigation vorneweg statt am Origin.

Merke: Ohne klare Ziele (Speed, Kosten, Schutz, Verfügbarkeit) tappst du auch hier im Dunkeln. Lege vorab KPIs fest.

2) So beschleunigt ein CDN wirklich

• Anycast +Edge-PoPs: Kürzere Latenz, schnelleres TTFB.

• HTTP/2 & HTTP/3 (QUIC): Bessere Auslastung der Verbindung, stabiler bei Paketverlust.

• TLS 1.3 & Session-Resumption: Weniger Handshake-Overhead.

• Brotli-Komprimierung: Schlankere Antworten (vor allem HTML/CSS/JS).

• Edge-Optimierungen: Bild-Resizing, AVIF/WebP-Auslieferung, Minifizierung, Early Hints (103).
  
  

3) Edge-Cache: die richtige Strategie

3.1 Cache-Regeln & Header

Steuere das Verhalten mit HTTP-Headern. Bewährt sind:

Für statische Assets (Versioniert): 
Cache-Control: public, max-age=31536000, immutable

Für HTML/SSR-Seiten (am Edge zwischen-cachen):
Cache-Control: public, max-age=0, s-maxage=600, stale-while-revalidate=30, stale-if-error=86400 Vary: Accept-Encoding

• s-maxage steuert CDNs/Proxies, ohne Browser zu alt zu halten.

• stale-* erlaubt die schnelle Auslieferung alter Kopien, während frisch aktualisiert wird bzw. bei Origin-Fehlern.

3.2 Cache-Key sauber definieren

• Query-Parameter normalisieren: Zähle nur relevante Parameter zum Key (?page, ?lang). Ignoriere Tracking-Parameter (utm_*, gclid).

• Cookies vorsichtig nutzen: Cookies nur dann in den Cache-Key aufnehmen, wenn sie das HTML wirklich verändern (z. B. Sprache, Login-Status).

• Gerätevarianten: Wenn nötig, unterscheide nach User-Agent oder liefere responsive, geräteunabhängige Seiten + CSS.

3.3 HTML cachen – aber kontrolliert

• Edge-TTL kurz halten (z. B. 5–10 Minuten), dafür Stale-Mechanismen aktivieren.

• Tag- oder Key-basiertes Purging nutzen, statt alles zu leeren (schnellere, feingranulare Updates).

• Personalisiertes HTML entkoppeln: Inhalte, die sich pro Nutzer ändern (z. B. Warenkorb), per Edge-Include, Client-Side Fetch oder API nachladen.
  
  

4) WAF: Angriffsfläche reduzieren, Performance behalten

Eine Web Application Firewall blockt bekannte Exploits (OWASP Top 10), fehlerhafte Bots und verdächtige Muster – bevor sie deinen Origin erreichen.

4.1 WAF-Grundlagen

• Managed Rule Sets aktivieren (Basis-Schutz).

• Custom-Regeln für deine App: Pfad- und Methodenfilter (z. B. nur POST auf /checkout ), SQLi/XSS-Signaturen, Länder/ASN-Filter, IP-Reputation.

• Virtuelle Patches: Temporär blocken, bis du am Code fixen kannst.

4.2 False Positives vermeiden

• Regeln zuerst im Log/Simulationsmodus testen.

• Ausnahmen (Bypass) für legitime Integrationen (Payment-Provider, Webhooks).

• Bekannte Good Bots (z. B. Suchmaschinen) sauber zulassen.

4.3 Rate Limiting & Bot-Management

• Pfad-spezifisch: /login, /api, /search stärker begrenzen.

• Sliding Window (Requests/Min) mit Burst-Toleranz.

• Progressive Maßnahmen: erst Slowdown/Challenge, dann Block.

• Spam-Schutz für Formulare: Honeypots, heuristische Checks statt nur Captchas.
  
  

5) DDoS-Mitigation: Ausfälle verhindern

• L3/4-Schutz (Netz-/Transportebene) gegen volumetrische Angriffe – wird am Edge absorbiert.

• L7-Schutz (HTTP/HTTPS): Mustererkennung, Challenge-Seiten, Rate-Limits.

• Origin verstecken: Origin-IP nie öffentlich preisgeben, Firewall nur für CDN-IP-Ranges öffnen.

• Autoscaling/Connection-Reuse zum Origin; keep-alive sauber konfigurieren.
  
  

6) TLS/HTTP-Tuning & Security-Header

• Nur moderne Protokolle: TLS 1.3 aktiv, alte Ciphers abschalten.

• HSTS (mit Bedacht, erst kurze Max-Age, dann hochdrehen).

• OCSP-Stapling aktivieren.

• HTTP/3 dazu schalten, HTTP/2 als Fallback.

• Security-Header setzen: Content-Security-Policy, X-Frame-Options: DENY, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy.
  
  

7) Origin-Konfiguration (Beispiel NGINX)

Wichtig: Keine User-spezifischen Cookies für allgemeine Seiten setzen – sie zerstören oft die Cache-Hit-Rate.

8) Edge-Funktionen & Personalisierung

• A/B-Tests am Edge: Variablen in Cookies schreiben, aber Cache-Key sauber halten (z. B. nur für die Test-Routen).

• Geo-Zielgruppen (z. B. Preise/Lokalisierung) über Edge-Logic oder Client-Side lösen, ohne globale Caches zu zerschießen.

• Rewrites/Redirects direkt am Edge (sauber & schnell).
  
  

9) Messen, Monitoren, Optimieren

Diese Kennzahlen sind Pflicht, wenn es um cdn performance geht:

• Cache-Hit-Rate (CHR):  hits / (hits + misses) – Ziel:

  • Statische Assets: > 90 %

  • HTML (Edge-Cache): 30–70 %, je nach Dynamik

• Origin-Offload: Anteil der Requests, die nicht den Origin erreichen (je höher, desto besser).

• TTFB nach Region: 🔎 Latenz-Hotspots finden.

• Fehlerquote (4xx/5xx) auf Edge vs. Origin.

• 95./99. Perzentil für TTFB/INP – nicht nur Mittelwerte.

• Kosten pro GB/Request (CDN vs. Origin), um Einsparungen zu belegen.

Vorgehen:

1. Baseline ohne/mit CDN ziehen.

2. Regeln live nehmen → eine Woche messen.

3. Bottlenecks adressieren (z. B. Query-Parameter whitelisten, Bilder am Edge konvertieren).

4. Monatlich Review + Purge-Praxis/Regeln nachschärfen.
   
   

10) Datenschutz, Logging & Compliance

• IP-Adressen anonymisieren (wo sinnvoll) und Log-Retention begrenzen.

• Data Residency beachten (Regionen/Routing).

• True-Client-IP/X-Forwarded-For korrekt ans Origin weiterreichen, damit du echte Nutzer-IPs in Logs/Rate-Limits nutzen kannst.

• Consent & Cookies: Tracking erst nach Einwilligung laden; Consent-Banner nicht cachen.