← Případy užití / use-cases / solutions

Zastavte útoky zaměřené na převzetí účtu (Free, Pro a Business)

Pokud má váš web přihlašovací stránky, musíte se rozhodnout, jak ověřovat, že jsou návštěvníci lidé, jak přísně omezovat neúspěšné pokusy a jaké vzorce požadavků blokovat. Tento návod popisuje pět kroků: vynucení HTTPS, zapnutí ochrany proti botům, přidání Turnstile do přihlašovacího formuláře a vytvořte pravidlo Application Security pravidla rate limitingu a vlastní pravidla kvůli podezřelým vzorům a sledujte probíhající útoky pomocí SSL/TLS zabezpečení přenosu a Řešení Cloudflare pro boty. Základní postup popisuje funkce dostupné v plánech Free, Pro a Business. Funkce pro Enterprise, jako jsou vlastní umístění detekce uniklých přihlašovacích údajů a vlastní pravidla Bot Management, jsou uvedeny formou upozornění.

Přihlašovací údaje odeslané přes obyčejné HTTP jsou viditelné pro kohokoli na síťové cestě mezi návštěvníkem a vaším origin serverem. Cloudflare SSL/TLS poskytuje dvě nastavení, která vynucují připojení HTTPS: Always Use HTTPS a HTTP Strict Transport Security (HSTS). Pro další kontrolu nad tím, které šifrovací standardy vaše doména přijímá, viz Šifrovací sady.

Always Use HTTPS přesměrovává všechny požadavky návštěvníků z http na https pro všechny subdomény a hostitele.

Cloudflare nabízí ochranu proti robotům ve všech plánech, přičemž rozsah funkcí se liší podle úrovně plánu. Když ochranu proti robotům zapnete ještě před nastavením pravidel specifických pro přihlašování, získáte základní filtr proti automatizovanému provozu v celé doméně.

Bot Fight Mode vystavuje výzvě požadavky, které odpovídají známým vzorcům botů. Vztahuje se na veškerý provoz na vaší doméně a nelze jej přizpůsobit výjimkami ani pravidly pro konkrétní cesty.

Super Bot Fight Mode identifikuje provoz odpovídající vzorům známých botů, může boty podrobit Challenge nebo je blokovat a nabízí ochranu statických zdrojů. Pro každou skupinu botů nastavíte samostatnou akci: Definitely automated, Likely automated, a Ověření roboti. Můžete také konfigurace výjimek pomocí Application Security vlastní pravidla s akcí Skip.

Pro ochranu přihlašování jsou níže doporučené výchozí hodnoty. Upravte je podle vzorců svého provozu.

• Definitely automated: Managed Challenge. Po prověření Security Events a potvrzení, že nastavení neovlivňuje legitimní provoz, přepněte na Block.
• Likely automated: Managed Challenge.
• Ověření roboti: Allow.

Custom rules se spouštějí před Super Bot Fight Mode. Chcete-li vytvořit výjimky pro konkrétní cesty nebo provoz, vytvořte vlastní pravidlo s Přeskočit akci. Akce Skip umožní požadavku obejít fázi Super Bot Fight Mode, aniž by byl požadavek ukončen, takže může pokračovat zbytkem bezpečnostního zásobníku.

Přihlašovací endpointy chrání před automatizovaným zneužitím dva nástroje, každý pokrývá jiný vektor útoku:

• Turnstile ověřuje, že jsou návštěvníci lidé, aniž by zobrazoval CAPTCHU. Lze ho vložit na jakýkoli web, aniž by provoz procházel přes Cloudflare. Turnstile použijte k odhalování automatizovaného odesílání formulářů.
• Application Security pravidla rate limitingu definují limity rychlosti pro požadavky odpovídající danému výrazu a akci, která se provede po dosažení těchto limitů. Omezování rychlosti použijte k ochraně přihlašovacích koncových bodů před zneužitím, například útoky hrubou silou.

Nejsilnější pokrytí zajistí kombinace obou. Turnstile vystavuje výzvě automatizovaná odeslání na úrovni formuláře. Rate limiting zachytává vysokoobjemové útoky, které formulář obcházejí nebo se s ním vůbec nesetkají, například přímé POST požadavků na koncový bod.

Nasazení Turnstile zahrnuje tři kroky: vytvoření widgetu, přidání klientského fragmentu kódu do přihlašovacího formuláře a ověření tokenu na serveru. Turnstile podporuje více metody vykreslování včetně explicitního a implicitního vykreslování. Můžete také vložení Turnstile do HTML pomocí Cloudflare Worker pokud nemáte kontrolu nad zdrojovým kódem přihlašovacího formuláře.

Turnstile se konfiguruje na úrovni účtu.

V následujících krocích budete potřebovat sitekey i secret key.

Přidejte skript a kontejner widgetu Turnstile do přihlašovacího formuláře. Nahraďte <YOUR-SITE-KEY> se sitekey z předchozího kroku.

<form id="login-form">
	<input type="text" id="username" placeholder="Username" required />
	<input type="password" id="password" placeholder="Password" autocomplete="off" required />
	<div class="cf-turnstile" data-sitekey="<YOUR-SITE-KEY>"></div>
	<button type="submit">Log in</button>
</form>

<script
	src="https://challenges.cloudflare.com/turnstile/v0/api.js"
	async
	defer
></script>

Widget se vykreslí uvnitř div a po úspěšném absolvování ověření vygeneruje token. Při odeslání formuláře se cf-turnstile-response token je součástí dat formuláře.

Před zpracováním odeslaného formuláře odešlete token na endpoint Turnstile siteverify, abyste ověřili, že návštěvník prošel výzvou.

const SECRET_KEY = "<YOUR-SECRET-KEY>";

async function validateTurnstile(token, remoteip) {
	try {
		const response = await fetch(
			"https://challenges.cloudflare.com/turnstile/v0/siteverify",
			{
				method: "POST",
				headers: {
					"Content-Type": "application/json",
				},
				body: JSON.stringify({
					secret: SECRET_KEY,
					response: token,
					remoteip: remoteip,
				}),
			},
		);

		const result = await response.json();
		return result;
	} catch (error) {
		console.error("Turnstile validation error:", error);
		return { success: false, "error-codes": ["internal-error"] };
	}
}

Nahraďte "<YOUR-SECRET-KEY>" s tajným klíčem Turnstile. Endpoint vrátí objekt JSON s klíčem success pole. Odeslání formuláře zpracujte pouze v případě, že success je true.

Pro další detekci podvodů Turnstile podporuje Ephemeral IDs které poskytují jedinečný dočasný identifikátor pro každou relaci návštěvníka, aniž by ukládaly osobní údaje.

Úplný formát odpovědi, chybové kódy a příklady v dalších jazycích najdete v Ověření tokenu.

Turnstile poskytuje testovací klíče webu, které vracejí předvídatelné výsledky bez volání API Siteverify.

• Vždy projde: Použijte site key 1x00000000000000000000AA a tajný klíč 1x0000000000000000000000000000000AA a simulujte úspěšnou výzvu.
• Vždy blokuje: Použijte site key 2x00000000000000000000AB a tajný klíč 2x0000000000000000000000000000000AA a simulujte neúspěšnou výzvu.
• Vynutí interaktivní výzvu: Použijte site key 3x00000000000000000000FF a otestujte průběh interaktivní výzvy.

Úplný seznam testovacích klíčů a očekávaného chování najdete v Otestujte svou implementaci Turnstile.

Následující příklad vytváří pravidlo rate limitingu, které po více než pěti POST požadavcích na vaši přihlašovací cestu ze stejné IP adresy během jedné minuty vydá Managed Challenge. Začněte s Managed Challenge, nikoli s Block. Managed Challenge umožní legitimním uživatelům, kteří dosáhnou limitu, pokračovat po úspěšném absolvování challenge, zatímco automatizovaný provoz, který ji nevyřeší, zablokuje. Po sledování Security Events a ověřte, že pravidlo nevytváří falešně pozitivní výsledky, poté přepněte na Block. Upravte cestu (/login), prahovou hodnotu a období pro váš web.

Pro weby, které čelí trvalým kampaním typu credential stuffing, zvažte nasazení více pravidel omezení rychlosti se stupňující se přísností. Následující Osvědčené postupy pro Rate limiting stránka popisuje vzor stupňujícího se postihu, který používá tři pravidla: pravidlo s krátkým oknem pro rychlé nápory, pravidlo se středním oknem pro pomalejší distribuované útoky a pravidlo s dlouhým oknem, které zablokuje trvalé útočníky pro celou doménu. Výrazy pro počítání používají stavové kódy odpovědi, takže úspěšná přihlášení se do limitu nezapočítávají. Doporučené prahové hodnoty a syntaxi výrazů najdete na stránce s osvědčenými postupy.

Application Security vlastní pravidla a detekce provozu vám poskytují další signály nad rámec rychlosti požadavků, díky nimž rozpoznáte podezřelý přihlašovací provoz a zareagujete na něj. Detekce vyplňují pole požadavku (například stav uniklých přihlašovacích údajů a skóre robota), na která pak mohou odkazovat vaše vlastní pravidla.

Detekce uniklých přihlašovacích údajů prochází příchozí přihlašovací požadavky a vyhledává uživatelská jména a hesla, která se objevují ve známých databázích uniklých dat. Cloudflare údaje před porovnáním hashuje a hesla v prostém textu neukládá. Jakmile dojde ke shodě, detekce naplní pole, která můžete použít ve vlastních pravidlech a v pravidlech rate limitingu.

cf.waf.credential_check.password_leaked pole je dostupné ve všech plánech.

V plánu Free je detekce uniklých přihlašovacích údajů ve výchozím nastavení zapnutá a není potřeba žádná akce. V placených plánech můžete detekci zapnout v Cloudflare dashboardu, přes API nebo pomocí Terraformu.

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/leaked-credential-checks" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"enabled": true
	}'

resource "cloudflare_leaked_credential_check" "zone_lcc_example" {
	zone_id = var.cloudflare_zone_id
	enabled = true
}

Po zapnutí detekce může váš origin server přijímat stav uniklých přihlašovacích údajů prostřednictvím Exposed-Credential-Check hlavičky požadavku. Chcete-li tuto hlavičku předávat dál, zapněte Přidání hlavičky Leaked Credentials Checks spravovanou transformaci. Váš origin server pak může u dotčených uživatelů vynutit reset hesla.

Než nasadíte pravidla, která vyzývají nebo blokují přihlašovací provoz, vytvořte pravidlo pro přeskočení, které vyjme známý legitimní automatizovaný provoz. Tím zabráníte tomu, aby následující pravidla blokovala vaše monitorovací nástroje, kontroly stavu (health checks) a integrace partnerů.

Další informace o akci Skip a dostupných možnostech přeskočení najdete v Přeskočit akci.

Nástroje pro credential stuffing často odesílají požadavky bez standardních hlaviček prohlížeče nebo se známě podezřelými vzory User-Agent. Vytvořte vlastní pravidlo, které vydá Managed Challenge pro požadavky POST na cestu přihlášení, kde je User-Agent prázdný. Tím se zacílí na přímé požadavky POST z nástrojů jako curl, python-requests, nebo undici které nenastavují hlavičku User-Agent.

Kombinujte omezování četnosti požadavků s detekcí uniklých přihlašovacích údajů a omezte tak pokusy o přihlášení pomocí známých kompromitovaných hesel. Toto pravidlo vydá Managed Challenge, pokud stejná IP adresa odešle za jednu minutu více než tři požadavky s uniklými hesly.

Po nasazení pravidel a konfigurací z předchozích částí sledujte přihlašovací koncový bod, abyste ověřili, že pravidla fungují, a odhalili nové vzorce útoků.

Security Events zobrazuje požadavky, na které bezpečnostní produkty Cloudflare zareagovaly nebo je označily, včetně blokování, výzev a přeskočení.

Zkontrolujte Sampled logs a prohlédněte si jednotlivé požadavky. Každý záznam v protokolu zobrazuje provedenou akci, pravidlo, které ji spustilo, zdrojovou IP adresu, user agenta, cestu URI a zemi. Použijte Přidat filtr tlačítko, kterým zúžíte výsledky podle akce, zdrojové IP adresy, ASN nebo dalších polí.

Hledejte falešně pozitivní výsledky, tedy legitimní provoz, který vaše pravidla nesprávně vyzvala k ověření nebo zablokovala. Mezi běžné příznaky patří:

• Požadavky od známých monitorovacích služeb nebo poskytovatelů platebních služeb se objevují mezi blokovanými událostmi
• Vysoký počet požadavků s akcí Challenge ze zemí, kde máte skutečné uživatele
• Pravidla pro omezování četnosti požadavků se spouštějí u legitimních uživatelů během špičky provozu

Pokud zjistíte, že jsou zasaženi legitimní uživatelé, upravte prahové hodnoty rate limitingu nebo přidejte pravidla pro přeskočení konkrétních rozsahů IP adres.

Nastavte Upozornění Security Events oznámení pro příjem upozornění při prudkém nárůstu objemu bezpečnostních událostí, což vám poskytne včasné varování o nové útočné kampani. Toto oznámení patří do typu WAF kategorie Oznámení stránce. Pokyny k nastavení najdete v Vytvořit oznámení. Zákazníci s plánem Enterprise mohou použít Advanced Security Events Alert pro podrobnější filtrování.

Analýza provozu botů ukazuje rozložení skóre botů na vašem přihlašovacím endpointu v průběhu času. Náhlý nárůst provozu s nízkým skóre (skóre 1-29) na vaší přihlašovací cestě je časným signálem kampaně credential stuffing.

Cloudflare třídí provoz robotů do kategorií podle bot skóre a stavu ověření:

• Ověření roboti: Crawlery a služby, které Cloudflare potvrdil jako legitimní, například Googlebot, Bingbot nebo nástroje pro monitorování dostupnosti. Cloudflare udržuje seznam ověřených botů s přísnými požadavky.
• Automated (score 1): Cloudflare si je poměrně jistý, že jde o automatizovaný požadavek.
• Likely automated (scores 2-29): Pravděpodobně bot. Tato kategorie a kategorie Automated jsou hlavním cílem bezpečnostních pravidel, včetně scraperů, nástrojů pro credential stuffing a odesílatelů spamu.
• Pravděpodobně člověk (scores 30-99): Tyto požadavky pravděpodobně pocházejí od skutečných uživatelů. Tento provoz neprověřujte ani neblokujte.

Pokud i přes pravidla nasazená podle tohoto návodu zaznamenáváte trvalý automatizovaný provoz směřující na přihlašovací endpoint, zkontrolujte Interoperabilita bezpečnostních funkcí stránku pro ověření, že se vaše pravidla vykonávají v očekávaném pořadí, a zvažte úpravu prahových hodnot.

Zabezpečení aplikace

• Osvědčené postupy pro Rate limiting : doporučené vzory pro ochranu přihlášení a credential stuffing
• Custom rules : vytváření pravidel pomocí polí požadavku včetně bot score a uniklých přihlašovacích údajů
• Detekce uniklých přihlašovacích údajů : kontrola příchozích požadavků na přihlašovací údaje ze známých úniků dat
• Security Events : kontrola požadavků, na které zasáhly bezpečnostní produkty

Cloudflare Bots

• Bot Fight Mode : bezplatná ochrana proti botům, která prověřuje známé vzory botů
• Super Bot Fight Mode : Ochrana proti botům pro Pro a Business s konfigurovatelnými akcemi
• Bot Management : Ochrana proti botům pro Enterprise s hodnocením založeným na ML a vlastními pravidly

Turnstile

• Začínáme s Turnstile : vytváření widgetů a implementace validace na straně klienta i serveru
• Ověřování na straně serveru : ověřování tokenů Turnstile na vašem serveru
• Turnstile Pre-Clearance : předběžné prověření návštěvníků pro přihlašovací postupy SPA a AJAX

SSL/TLS

• Always Use HTTPS : přesměrování všech požadavků HTTP na HTTPS
• HTTP Strict Transport Security (HSTS) : ochrana proti downgrade útokům prohlížeče pomocí hlaviček HSTS