← Případy užití / use-cases / solutions

Chraňte formuláře před spamem a zneužitím (Free, Pro a Business)

Kontaktní, registrační formuláře a formuláře pro dokončení objednávky jsou častým cílem automatizovaného zneužívání. Tento návod se věnuje ochraně formulářů: ověřování, že je návštěvník člověk, omezování opakovaných odeslání a blokování známých vzorů útoků. Základní postup využívá funkce dostupné ve všech plánech. Funkce plánů Pro a Business jsou uvedeny v samostatných rámečcích.

Turnstile ověřuje, že jsou návštěvníci lidé, aniž by zobrazoval viditelné výzvy. Tento návod používá režim Managed, který na základě rizikovosti návštěvníka automaticky zvolí neinteraktivní výzvu nebo výzvu se zaškrtávacím políčkem. Ostatní režimy widgetu najdete v Typy widgetů.

Přidání Turnstile zahrnuje tři kroky: vytvoření widgetu v dashboardu, přidání úryvku kódu na straně klienta na stránku formuláře a ověření tokenu na serveru před zpracováním odeslaného formuláře.

Uložte sitekey a secret key. Sitekey použijete v klientském fragmentu kódu a secret key pro ověřování na straně serveru.

Přidejte skript a widget Turnstile div prvek do každého formuláře, který chcete chránit. Nahraďte <YOUR-SITE-KEY> se sitekey z předchozího kroku.

<form id="contact-form" action="/submit" method="POST">
  <input type="text" name="name" placeholder="Name" required />
  <input type="email" name="email" placeholder="Email" required />
  <textarea name="message" placeholder="Message" required></textarea>
  <div class="cf-turnstile" data-sitekey="<YOUR-SITE-KEY>"></div>
  <button type="submit">Submit</button>
</form>

<script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async defer></script>

Widget se vykreslí ve formuláři a po úspěšném ověření návštěvníka vygeneruje token. Tento token je součástí odeslaného formuláře jako cf-turnstile-response .

Je vyžadováno ověřování na straně serveru. Samotný widget na straně klienta vaše formuláře nechrání, protože útočníci mohou odesílat požadavky přímo na koncový bod formuláře. Tokeny lze ověřit pouze jednou.

Než začnete zpracovávat jakékoli odeslání formuláře, zavolejte Siteverify API:

const SECRET_KEY = "<YOUR-SECRET-KEY>";

async function validateTurnstile(token, remoteip) {
  try {
    const response = await fetch(
      "https://challenges.cloudflare.com/turnstile/v0/siteverify",
      {
        method: "POST",
        headers: { "Content-Type": "application/json" },
        body: JSON.stringify({
          secret: SECRET_KEY,
          response: token,
          remoteip: remoteip,
        }),
      },
    );

    const result = await response.json();
    return result;
  } catch (error) {
    console.error("Turnstile validation error:", error);
    return { success: false, "error-codes": ["internal-error"] };
  }
}

Nahraďte "<YOUR-SECRET-KEY>" s tajným klíčem Turnstile. Endpoint vrátí objekt JSON s klíčem success pole. Odeslání formuláře zpracujte pouze v případě, že success je true.

Příklady ověřování v PHP, Python, Java a C# najdete v Ověření tokenu.

Některé škodlivé skripty úplně obejdou prohlížeč a odesílají POST požadavky přímo na koncové body vašich formulářů. Application Security pravidla rate limitingu zachycují tyto požadavky, protože ověřování na straně klienta probíhá pouze v prohlížeči.

Než vytvoříte pravidlo pro omezování četnosti požadavků, zjistěte běžnou frekvenci odesílání u koncových bodů svých formulářů. Prahová hodnota omezení by měla být nad touto výchozí úrovní, aby nedocházelo k blokování legitimního provozu.

Pokud nemáte dostatek dat o provozu pro stanovení výchozí hodnoty, začněte s konzervativním prahem a po nasazení jej upravte podle Security Events.

Vytvořte pravidlo, které omezí, kolikrát může jedna IP adresa odeslat formulář na daný koncový bod během zvoleného období. Cestu, hranici a období upravte podle potřeb svého webu.

Místo výchozí chybové stránky Cloudflare při dosažení limitu rychlosti můžete nastavit vlastní odpověď. Podrobnosti najdete v Vytvoření pravidla omezení frekvence požadavků v dashboardu.

Samotné omezování četnosti požadavků nezachytí cílené vzory útoků, jako je SQL injection nebo cross-site scripting (XSS) v polích formulářů. Application Security vlastní pravidla a spravované sady pravidel vám umožňují blokovat tyto konkrétní vzory útoků na koncové body vašich formulářů. Vlastní pravidla se vyhodnocují před pravidly pro omezování rychlosti a spravovanými sadami pravidel v pořadí spouštění.

Vytvořte vlastní pravidlo, které prověří požadavky POST na koncové body vašich formulářů ze zdrojů, jež nejsou ověřenými roboty.

Po nasazení zkontrolujte Security Events a zkontrolujte, zda pravidlo odpovídá legitimnímu provozu. Pokud jsou legitimní uživatelé vyzýváni k ověření, zužte výraz nebo přepněte na méně agresivní akci.

Bot Fight Mode vystavuje výzvě požadavky, které odpovídají známým vzorcům botů, napříč celou doménou. Je dostupný ve všech plánech a kromě zapnutí nevyžaduje žádnou další konfiguraci.

Bot Fight Mode chrání celou vaši doménu bez omezení na jednotlivé endpointy. Vlastními pravidly nelze vytvořit výjimky, kterými by šlo Bot Fight Mode obejít.

Po nasazení Turnstile, pravidel pro omezování četnosti požadavků a pravidel Application Security sledujte koncové body formulářů, abyste ověřili, že pravidla fungují, a odhalili nové vzorce útoků.

Security Events zobrazuje požadavky, na které bezpečnostní produkty Cloudflare zareagovaly nebo je označily, včetně blokování, výzev a přeskočení. Filtrujte podle cest koncových bodů formuláře a zjistěte, co je blokováno a co projde. Vysoký počet blokovaných nebo vyzvaných požadavků na cesty formuláře potvrzuje, že pravidla jsou aktivní.

Pokud jsou legitimní uživatelé vyzýváni k ověření, zužte výraz pravidla nebo zvolte méně agresivní akci.

Nastavte notifikaci, abyste dostávali upozornění při neobvyklém nárůstu bezpečnostních událostí ve vaší doméně.

Typy upozornění, spouštěcí prahové hodnoty a pokyny k nastavení najdete v Upozornění na bezpečnostní události.

Pokud se do stránky s formulářem vloží skript třetí strany, může odcizit odeslaná data, včetně platebních údajů. Client-Side Security sleduje skripty třetích stran na vašich stránkách a upozorní na změny i případné útoky na dodavatelský řetězec.

Chcete-li povolit monitorování:

Po zapnutí zkontrolujte zjištěné skripty na stránce Webová aktiva stránku v části Zdroje na straně klienta kartu a identifikujte neočekávané skripty na stránkách s formuláři. Kompletní postup nastavení najdete v Začínáme se zabezpečením na straně klienta.

Turnstile

• Začínáme s Turnstile : vytváření widgetů, přidání klientského úryvku kódu a ověřování tokenů
• Ověření tokenu : příklady validace na straně serveru ve více jazycích
• Integrace Turnstile, WAF a Bot Management : tutoriál kombinující všechny tři produkty pro ochranu přihlášení

Zabezpečení aplikace

• Custom rules : vytváření pravidel cílených na konkrétní vzory požadavků
• Rate limiting rules : ochrana endpointů před zneužitím ve velkém objemu
• Interoperabilita bezpečnostních funkcí : pořadí vyhodnocování a vzájemné působení bezpečnostních funkcí

Boti

• Bot Fight Mode : prověřování požadavků odpovídajících vzorům botů v plánu Free
• Super Bot Fight Mode : podrobné ovládání botů pro plán Pro a vyšší

Zabezpečení na straně klienta

• Začínáme se zabezpečením na straně klienta : zapnutí monitorování a kontrola zjištěných skriptů