Die Angst vor dem Abschied vom VPS hängt selten an einem einzelnen Feature. Ein kleiner Server erledigt still zehn Aufgaben zugleich — liefert eine Site aus, erneuert Zertifikate, beantwortet DNS, leitet alte URLs um, führt ein Cron-Skript aus, leitet Mail weiter, hält eine Datenbank, speichert Uploads, bedient eine kleine API, bremst einen Scraper — und die Migrationsfrage ist in Wahrheit zehn Fragen auf einmal. Wer fragt „kann Cloudflare meinen VPS ersetzen“, bekommt Überzeugte auf beiden Seiten. Wer pro Aufgabe fragt, bekommt Antworten, die sich prüfen lassen.
Hier also die Zuordnung Aufgabe für Aufgabe, jede Zahl am 29. Juli 2026 von der lebenden Dokumentation abgelesen, mit dem Kontingent, dem Preis der Aufhebung und den ehrlichen Zeilen, in denen die Antwort „behalte den Server“ lautet. Am Ende: zwei Systeme, die bereits so leben — eines davon ein Produktions-SaaS.
Die Zuordnung
| VPS-Aufgabe | Auf dem Free-Plan | Das Kontingent | Wo es beißt |
|---|---|---|---|
| Statische Site ausliefern | Workers Static Assets | Asset-Anfragen „free and unlimited“; 20.000 Dateien, je 25 MiB | Pfade durch Worker-Code zählen gegen 100.000 Anfragen am Tag |
| TLS-Zertifikate | Universal SSL | 90-Tage-Zertifikate, Auto-Renewal ab 30 Tagen vorher | nur für proxied Hostnames |
| DNS | frei, mit ungedeckeltem DDoS-Schutz | 200 Records pro Zone (Zonen seit September 2024; ältere Free-Zonen behalten 1.000) | Nameserver müssen zu Cloudflare |
| Redirects | Single + Bulk Redirects | 10 Regeln; 10.000 Bulk-URLs | die Bulk-Quote kann im Konto hinterherhinken |
| Cron-Skripte | Cron Triggers auf einem Worker | dokumentiert 5 pro Konto, Mindestintervall 1 Minute | siehe nächster Abschnitt |
| Kleine APIs, Dynamisches | Workers | 100.000 Anfragen am Tag, je 10 ms CPU | Rechnen sprengt das CPU-Budget; Ausliefern nicht |
| Key-Value-Speicher | Workers KV | 1 GB, 100.000 Lese- / 1.000 Schreibvorgänge am Tag | 1.000 Schreibvorgänge sind weniger, als es klingt |
| Eine echte Datenbank | D1 (SQLite) | 5 GB, 5 Millionen Lese- / 100.000 Schreibzeilen am Tag | Tageslimits werfen Fehler, sie drosseln nicht |
| Objekt-Storage | R2 | 10 GB, Egress frei | Free-Tier gilt nur für Standard-Storage |
| Mail-Weiterleitung | Email Routing | frei auf allen Plänen; 200 Regeln, 200 Ziele | Weiterleiten, nicht Versenden |
| Firewall, Rate Limits | WAF Free-Tier | 5 Custom Rules, 1 Rate-Limiting-Regel | ein Rate Limit heißt wählen, was man schützt |
| Request-Logs | Workers Logs, Analytics Engine | Logs mit Sampling; 100.000 Datenpunkte am Tag | Logpush ist Enterprise; Workers Trace Events gibt es ab $5 |
Drei dieser Zeilen verdienen mehr als eine Zelle.
Der Cron-Eintrag, der nicht feuern dürfte — und feuert
Die Dokumentation sagt: der Free-Plan erlaubt 5 Cron Triggers pro Konto. Das Konto, auf dem dieses Blog läuft, führt täglich 7 aus, über fünf Distributions-Worker — seit einer Woche, mit Posts auf fünf Plattformen nach Zeitplan. Wir haben nichts verhandelt; das Limit wird gegen dieses Konto schlicht nicht durchgesetzt.
Das ist kein Schlupfloch zum Draufbauen. Es ist dasselbe Phänomen, das wir dokumentiert haben, als die Bulk-Redirects-Quote 10.000 versprach und Dashboards 20 durchsetzten: Cloudflares dokumentierte Zahlen und die Konto-Entitlements driften auseinander, in beide Richtungen, manchmal monatelang. Die Zahl lesen, dann die Zahl testen. Bei einer Migration kostet diese Gewohnheit einen Nachmittag — und erspart eine Architektur, die um ein Limit herumgebaut ist, das für Sie nie real war, oder die ein Kontingent voraussetzt, das Sie gar nicht haben.
Zertifikate sind das leise Argument
Auf einem VPS war TLS eine jährliche Verlängerung oder ein certbot-Timer. Diese Ära endet nach Plan: seit dem 15. März 2026 deckeln die Regeln des CA/Browser Forums öffentliche Zertifikate bei 200 Tagen, im März 2027 fällt die Grenze auf 100 Tage, im März 2029 auf 47 Tage, mit Wiederverwendung der Domain-Validierung von nur noch 10 Tagen. Manuelles Erneuern hört auf, eine tragfähige Gewohnheit zu sein, und wird zum Incident-Generator — ein Portfolio geparkter Domains auf einem VPS trifft diese Welle bei der ersten kurzen Verlängerung in diesem Herbst.
Hinter dem Proxy stellt Universal SSL bereits 90-Tage-Zertifikate aus und erneuert sie ab 30 Tagen vor Ablauf — unterhalb jeder Stufe dieses Zeitplans. Von allem in der Tabelle ist das die Zeile, in der der Free-Plan nicht die billigere Version der VPS-Aufgabe ist, sondern die kategorisch bessere.
Die Decke ist real, und sie ist messbar
Das 10-ms-CPU-Budget ist die eine harte Wand des Free-Plans, und wir haben auf dieser Website beide Seiten davon vermessen. Ein Worker, der ausliefert — unser MCP-Server, der aus statischen Assets antwortet — verbraucht 0 bis 2 ms des Budgets, denn Warten auf I/O zählt nicht als CPU. Ein Worker, der rechnet — die Template-Engine aus dem Agent-Readiness-Audit — riss dasselbe Budget um den Faktor acht. Das ist die ehrliche Trennlinie für eine Migration: Routen, Umleiten, Ausliefern, Weiterleiten passen mit Luft; Parsen, Rendern und Hashen in Menge nicht.
Nach der Hausregel dieser Seite steht der Preis der Aufhebung neben dem Limit: der Workers-Paid-Tarif für $5 im Monat hebt die Kappe pro Anfrage auf standardmäßig 30 Sekunden und enthält 10 Millionen Anfragen und 30 Millionen CPU-Millisekunden im Monat.
Was ehrlich auf dem Server bleibt
- Langlebige Prozesse. Alles, was stundenlang einen Socket hält, ein Protokoll jenseits von HTTP spricht oder SSH braucht. Beliebiges TCP-Proxying existiert (Spectrum), aber als Enterprise-Add-on — das ist keine Migration, das ist Beschaffung.
- Schweres Rechnen, siehe Messung oben — es sei denn, $5 und 30 Sekunden reichen.
- Die Lücken der Bezahlstufen. Snippets fehlen im Free-Plan komplett, Logpush ist Enterprise, Load Balancing und Argo sind bezahlte Add-ons. Fällt Ihre VPS-Aufgabe hierauf, lautet die Free-Plan-Antwort „nein“, nicht „ja, mit Aufwand“.
- Kontrolle, von der man nicht wusste, dass man sie hat. Auf Cloudflare Registrar lassen sich Nameserver gar nicht ändern, und Verlängerung ist eine Anweisung, keine Garantie. Eine Migration übergibt echte Hebel an einen Anbieter; das ist eine Entscheidung, kein Detail.
Und für Unentschlossene gibt es eine Brücke: Cloudflare Tunnel ist auf allen Plänen verfügbar — der VPS bleibt, wo er ist, versteckt hinter der Edge ohne offene Ports, während die Aufgaben ihn Zeile für Zeile verlassen. Nichts an dieser Tabelle ist alles oder nichts.
Zwei Systeme, die bereits so leben
Dieses Blog ist der kleine Fall: sechs Worker — die Site plus fünf Distributions-Poster —, sieben Cron-Auslösungen am Tag, ein geteilter KV-Namespace, 317 statische Dateien, ein MCP-Server, bei laufenden Kosten von exakt null, mit den Messungen als Artikel veröffentlicht.
Der größere Fall ist 301.st, die Plattform, zu der dieses Blog gehört: ein Produktions-SaaS für Domains, Redirects und Traffic-Verteilung, gebaut als Serverless-Anwendung auf Cloudflare Workers, mit D1 als Quelle der Wahrheit und KV für Cache und Sessions. Ihre Architektur-Dokumentation nennt das Designziel offen: Kunden brauchen keinen bezahlten Cloudflare-Plan — alles läuft auf freien Workers, und Workers Paid ist der Wachstumspfad, nicht der Eintrittspreis. Eine Plattform, deren Job die Domains anderer Leute sind, hat dieselbe Tabelle gewählt, die Sie gerade gelesen haben. Ein ehrlicheres Plädoyer für den Free-Plan haben wir nicht. Und wo ein Portfolio über die Zeilen hinauswächst, die man selbst betreiben kann, ist genau diese Arbeit der Grund, aus dem die Plattform existiert.