diff --git a/k8s/06-ingress.yaml b/k8s/06-ingress.yaml
index 8aa7ae5..14430b0 100644
--- a/k8s/06-ingress.yaml
+++ b/k8s/06-ingress.yaml
@@ -72,7 +72,14 @@ metadata:
     # ports.web.redirectTo.port=websecure), sind diese Zeile UND die
     # Middleware am Ende der Datei ueberfluessig. Der Namespace-Praefix im
     # Wert ist Pflicht — Traefik loest den Namen sonst nicht auf.
-    traefik.ingress.kubernetes.io/router.middlewares: wabenhain-redirect-to-https@kubernetescrd
+    #
+    # "cloudflare-only" steht bewusst an erster Stelle: wabenhain.com laeuft
+    # ueber den Cloudflare-Proxy, direkte Zugriffe auf den Origin (an
+    # Cloudflare und damit an WAF und Rate-Limits vorbei) beantwortet Traefik
+    # mit 403. Erlaubt sind nur Cloudflare-IPs und private Netze. Die
+    # Middleware liegt nicht in diesem Repo, sondern in
+    # rke2-cluster/security/cloudflare-only-middlewares.yaml (Stand 2026-10-12).
+    traefik.ingress.kubernetes.io/router.middlewares: wabenhain-cloudflare-only@kubernetescrd,wabenhain-redirect-to-https@kubernetescrd
 spec:
   # Muss zur IngressClass der Traefik-Installation passen. Das offizielle
   # Helm-Chart legt sie als "traefik" an; mit "kubectl get ingressclass"