← Challenges / cloudflare-challenges / challenge-types

Страницы Interstitial Challenge

Промежуточная Challenge Page, то есть полноэкранная страница, которая появляется прежде, чем посетитель попадёт на целевой URL-адрес, служит барьером между посетителем и вашим сайтом или приложением, пока Cloudflare проверяет его подлинность.

Challenge Page перехватывает посетителя на пути к целевому URL: запрос задерживается, а окружение браузера проверяется на признаки автоматизации, после чего показывается Challenge. Пока посетитель не пройдёт Challenge, он не попадёт на нужную страницу. В зависимости от сигналов, обнаруженных в его браузере, посетителю может быть предложено выполнить действие, например поставить галочку или нажать кнопку, для дополнительной проверки.

Вы можете добавить Challenge Page на сайт или в приложение, создав Пользовательское правило WAF.

Проверки запускаются правилом в Web Application Firewall (WAF), Bot Management, или Ограничение скорости запросов.

Уровень интерактивности и видимости Challenge Page зависит от Action, который вы выбираете при создании правила WAF для своего сайта или приложения.

Ниже перечислены типы Challenge, доступные в качестве действий при создании правила WAF для Challenge Page.

При Non-Interactive Challenge Cloudflare определяет, является ли посетитель автоматизированным, на основе ограниченной информации, полученной из сигналов браузера с помощью внедрённого JavaScript. После этого показывается Challenge Page, которая не требует от посетителя никаких действий, кроме обработки JavaScript браузером.

Посетителю нужно дождаться, пока браузер завершит обработку JavaScript, что обычно занимает менее пяти секунд.

Если посетитель проходит Challenge, исходный запрос продолжает движение к целевому URL. Если Challenge не пройден или не может быть завершён, посетителю показывается ещё одна промежуточная Challenge Page.

В случае Managed Challenges Cloudflare динамически выбирает подходящий тип Challenge для посетителя на основе характеристик запроса и сигналов, которые передаёт его браузер. Это помогает избежать CAPTCHA ↗, что также сокращает суммарное время, которое люди по всему интернету тратят на решение CAPTCHA.

Большинство реальных посетителей проходят автоматическую проверку, а Challenge Page отображает Успешный. Однако если Cloudflare обнаружит в браузере посетителя признаки нечеловеческого поведения, ему может потребоваться пройти проверку.

Для большинства правил WAF Cloudflare рекомендует использовать Managed Challenge. Используйте другие типы проверок только при наличии конкретных проблем совместимости.

Interactive Challenge Pages требуют, чтобы посетитель взаимодействовал с Challenge и прошёл его.

Cloudflare всегда рекомендует использовать Managed Challenge. Дополнительные сведения см. в Статья в блоге Cloudflare ↗.

Challenge Pages прерывают выполнение запроса, возвращая полноценную HTML-страницу, которую браузер пользователя должен отобразить и на которой пройти проверку. Этот механизм не работает, если браузер ожидает ответ не в формате HTML, например при запросе AJAX или XHR (fetch).

Чтобы защитить вызовы API, не нарушая работу одностраничных приложений (SPA) или интеграций с API, Cloudflare рекомендует использовать Turnstile Pre-Clearance.

При включении Pre-clearance виджет Turnstile выдаёт постоянный куки допуска (cf_clearance) после того как на исходной HTML-странице подтверждено, что посетитель является человеком. Этот cookie заранее допускает посетителя к работе с чувствительными конечными точками API, защищёнными правилами WAF, что позволяет настраивать точечную защиту без навязчивой Challenge Page.

Подробности реализации см. в рекомендации по Pre-clearance для Turnstile.