← Challenges / cloudflare-challenges / concepts

Допуск

A cf_clearance cookie подтверждает Cloudflare, что посетитель является проверенным человеком и прошел клиентские проверки Cloudflare.

Cookie содержит два типа допуска которые работают вместе:

• Допуск после проверки: Предоставляется, когда посетитель проходит проверку (например, через Interstitial Challenge Pages или Turnstile с включённым pre-clearance).
• Допуск Precursor: Постоянно обновляется на основе поведения в течение сессии.

Cookie надёжно привязывается к конкретному посетителю и устройству, для которого он был выдан, что предотвращает его повторное использование на других устройствах.

В качестве дополнительного уровня защиты Cloudflare рекомендует клиентам добавить правило ограничения скорости на основе cf_clearance значение cookie. Это помогает исключить ситуацию, когда один действительный cookie используется одним устройством для отправки чрезмерного количества запросов.

Допуск после проверки предоставляется, когда посетитель успешно проходит проверку.

Каждый тип Challenge задаёт уровень допуска. Допуск более высокого уровня позволяет обойти все Challenges этого уровня и ниже. Допуск более низкого уровня позволяет обойти только Challenge того же уровня.

Если посетитель проходит Interactive Challenge (наивысший уровень безопасности), он может обходить все остальные Challenges, пока действует допуск.

Если посетитель получает допуск более низкого уровня (Managed или Non-Interactive), а затем сталкивается с Challenge более высокого уровня, ему придётся снова пройти этот Challenge.

Исходный clearance заменяется, если позже будет пройден Challenge более высокого уровня.

Допуск после проверки остаётся действительным в течение периода, заданного клиентом (Challenge Passage), если только Precursor не определит, что сессия подозрительна.

Допуск Precursor постоянно пересматривается на протяжении всей сессии посетителя. Вместо привязки к одному событию Challenge он работает как непрерывный клиентский процесс, который через равные промежутки времени заново оценивает поведение. По мере поступления новых сигналов допуск динамически обновляется, отражая текущий уровень доверия к сессии.

Если Precursor определяет, что сессия подозрительна:

• Фактический уровень Challenge clearance посетителя может быть понижен или аннулирован.
• Посетитель может быть повторно проверяются, даже если срок действия cookie ещё не истёк.

Это создаёт модель, в которой clearance одновременно является ограниченный по времени (Interstitial) и привязанный к поведению (Precursor).

Pre-clearance в Turnstile позволяет веб-сайтам упростить пользовательский опыт с помощью cf_clearance cookie. См. cf_clearance cookie позволяет посетителям обходить WAF Challenges при всех последующих запросах в зоне, включая запросы API, в соответствии с уровнем допуска безопасности, заданным клиентом. Это особенно полезно для доверенных посетителей: повышает удобство использования, сохраняя при этом безопасность.

По умолчанию Turnstile выдаёт посетителю одноразовый токен, когда тот проходит проверку через виджет. Вам необходимо проверить токен с помощью серверного вызова Siteverify API.

Когда вы включаете поддержку pre-clearance для Turnstile, cf_clearance cookie выдается посетителю в дополнение к стандартному токену Turnstile.

Вы можете интегрировать Cloudflare Challenges, разрешив Turnstile выдавать cf_clearance cookie в качестве предварительного допуска для посетителя. Уровень предварительного допуска задается при создании или изменении виджета с помощью параметра clearance_level Turnstile API. Возможные значения для этой настройки:

• interactive
• managed
• jschallenge
• no_clearance

У всех виджетов режим pre-clearance установлен в значение false а уровень допуска безопасности установлен на no_clearance по умолчанию.

Клиентам на плане Enterprise, которым разрешено включать виджеты без предварительно настроенных хостов, Cloudflare рекомендует выдавать cookie предварительного допуска только на тех виджетах, где указан хотя бы один хост, совпадающий с зоной, которую вы хотите интегрировать с Turnstile.

См. запись в блоге ↗ для получения дополнительных сведений о работе предварительного допуска с WAF.

Interactive (Высокий) interactive

Позволяет пользователю с cookie clearance не проходить проверку по правилам Firewall с действием Non-Interactive Challenge, Managed Challenge или Interactive Challenge.

Managed (Средний) managed

Позволяет пользователю с cookie clearance не проходить проверку по правилам Firewall с действием Non-Interactive Challenge или Managed Challenge.

Non-interactive (Низкий) jschallenge

Позволяет пользователю с cookie clearance не проходить проверку по правилам Firewall с действием Non-Interactive Challenge.

Куки допуска, созданные виджетом Turnstile, действуют в течение времени, заданного значением Challenge Passage на уровне зоны. Чтобы настроить параметр Challenge Passage, см. Challenge Passage.

Чтобы включить pre-clearance, убедитесь, что имя хоста виджета Turnstile совпадает с зоной, в которой действуют правила WAF. При настройке Turnstile в панели управления Cloudflare вам доступен список зарегистрированных зон. Выберите в этом списке нужное имя хоста.

Это обязательное условие критически важно для корректной работы pre-clearance. При правильной настройке посетители, успешно прошедшие Turnstile, получают cookie с уровнем clearance, заданным клиентом. При появлении WAF Challenge в той же зоне они будут обходить дополнительные Challenge для настроенного уровня clearance и ниже.

Дополнительные сведения об управлении хостами см. в Документация Hostname Management.