← Challenges / cloudflare-challenges / concepts

Clearance

A cf_clearance cookie prokazuje Cloudflare, že je návštěvník ověřeným člověkem a že prošel klientským ověřením Cloudflare.

Cookie obsahuje dva typy schválení které spolupracují:

• Clearance výzvy: udělí se, když návštěvník vyřeší výzvu (například Interstitial Challenge Pages nebo Turnstile se zapnutým pre-clearance).
• Precursor clearance: průběžně aktualizováno na základě chování relace.

Cookie je bezpečně vázáno na konkrétního návštěvníka a zařízení, kterému bylo vydáno, což brání jeho opětovnému použití na jiných zařízeních.

Jako další vrstvu zabezpečení Cloudflare zákazníkům doporučuje přidat pravidlo rate limitingu na základě cf_clearance hodnotu cookie. To pomáhá zajistit, aby jeden platný cookie nemohl být jedním strojem zneužit k odesílání nadměrného množství požadavků.

Clearance výzvy se návštěvníkovi udělí, jakmile výzvu úspěšně dokončí.

Každý typ Challenge nastavuje úroveň schválení. Schválení vyšší úrovně obchází všechny Challenge na dané úrovni nebo pod ní. Schválení nižší úrovně obchází pouze Challenge na stejné úrovni.

Pokud návštěvník projde Interactive Challenge (nejvyšší úroveň zabezpečení), může obcházet všechny ostatní Challenge, dokud zůstává jeho schválení platné.

Pokud návštěvník získá schválení na nižší úrovni (Managed nebo Non-Interactive) a později narazí na Challenge vyšší úrovně, musí tuto Challenge vyšší úrovně vyřešit znovu.

Původní oprávnění je nahrazeno, pokud je později vyřešena výzva vyšší úrovně.

Clearance výzvy zůstává platná po dobu nastavenou zákazníkem (Challenge Passage), pokud Precursor neurčí, že je relace podezřelá.

Precursor clearance se v průběhu relace návštěvníka průběžně přehodnocuje. Místo aby byla vázaná na jedinou událost výzvy, funguje jako nepřetržitý proces na straně klienta, který v pravidelných intervalech znovu vyhodnocuje chování. Jakmile se objeví nové signály, clearance se dynamicky aktualizuje tak, aby odrážela aktuální úroveň důvěry v dané relaci.

Pokud Precursor vyhodnotí relaci jako podezřelou:

• Efektivní oprávnění výzvy návštěvníka může být snížena nebo zneplatněna.
• Návštěvník může být znovu vyzváni k ověření, i když platnost souboru cookie ještě nevypršela.

Tím vzniká model, ve kterém je oprávnění zároveň časově omezené (Interstitial) a vázané na chování (Precursor).

Pre-clearance v Turnstile umožňuje webům zjednodušit uživatelský zážitek pomocí cf_clearance cookies. cf_clearance cookie umožňuje návštěvníkům obejít WAF Challenges u všech následujících požadavků v zóně, včetně API požadavků, a to na základě úrovně zabezpečení nastavené zákazníkem. To může být užitečné zejména u důvěryhodných návštěvníků, protože zvyšuje použitelnost při zachování bezpečnosti.

Ve výchozím nastavení vydá Turnstile návštěvníkovi po vyřešení výzvy prostřednictvím widgetu jednorázový token. Musíte ověřit token provedením serverového volání na Siteverify API.

Když u Turnstile zapnete podporu předběžného schválení, cf_clearance cookie se návštěvníkovi vydává navíc k výchozímu tokenu Turnstile.

Cloudflare Challenges můžete integrovat tak, že necháte Turnstile vydávat cf_clearance cookie jako pre-clearance vašemu návštěvníkovi. Úroveň pre-clearance se nastavuje při vytvoření nebo úpravě widgetu pomocí parametru clearance_level v Turnstile API. Možné hodnoty konfigurace jsou:

• interactive
• managed
• jschallenge
• no_clearance

Všechny widgety mají režim pre-clearance nastavený na false a úroveň zabezpečení je nastavena na no_clearance ve výchozím nastavení.

Zákazníkům plánu Enterprise, kteří mohou povolit widgety bez předem nakonfigurovaných hostname, Cloudflare doporučuje vydávat cookies předběžného schválení u widgetů, kde je uvedeno alespoň jedno hostname shodné se zónou, kterou chcete integrovat s Turnstile.

Viz blogový příspěvek ↗ kde najdete další podrobnosti o tom, jak pre-clearance funguje ve spojení s WAF.

Interactive (Vysoká) interactive

Umožňuje uživateli se souborem cookie clearance, aby nebyl vyzván pravidly Non-Interactive Challenge, Managed Challenge ani Interactive Challenge Firewall Rules.

Managed (Střední) managed

Umožňuje uživateli se souborem cookie clearance, aby nebyl vyzván pravidly Non-Interactive Challenge nebo Managed Challenge Firewall Rules.

Non-interactive (Nízká) jschallenge

Umožňuje uživateli se souborem cookie clearance, aby nebyl vyzván pravidly Non-Interactive Challenge Firewall Rules.

Clearance cookies vygenerované widgetem Turnstile budou platné po dobu určenou hodnotou Challenge Passage na úrovni zóny. Nastavení Challenge Passage nakonfigurujete podle pokynů v Challenge Passage.

Aby fungovalo pre-clearance, musí hostname widgetu Turnstile odpovídat zóně, ve které platí pravidla WAF. Během konfigurace Turnstile v Cloudflare dashboardu máte k dispozici seznam registrovaných zón. Vyberte z tohoto seznamu odpovídající hostname.

Tento předpoklad je klíčový pro správné fungování pre-clearance. Při správném nastavení obdrží návštěvníci, kteří úspěšně vyřeší Turnstile, cookie s úrovní bezpečnostního oprávnění nastavenou zákazníkem. Při setkání s výzvou WAF ve stejné zóně pak obejdou další výzvy pro nakonfigurovanou úroveň oprávnění a nižší.

Další podrobnosti o správě hostname naleznete v Dokumentace Hostname Management.