← Cloudflare Ruleset Engine / ruleset-engine / rules-language / fields

Справочник полей

Категории Тело Боты Геолокация Headers Проверка JWT Необработанные поля Запрос Ответ SSL/TLS URI mTLS

cf.api_gateway.auth_id_present

Показывает, содержал ли запрос токен аутентификации сессии API, как это определено в сохранённых идентификаторы сессий.

Дополнение Enterprise

cf.api_gateway.fallthrough_detected

Показывает, соответствовал ли запрос сохранённой конечной точке в Endpoint Management.

cf.api_gateway.request_violates_schema

Это поле устарело. Используйте cf.schema_validation.uploaded.violated взамен.

cf.bot_management.corporate_proxy

Показывает, поступил ли входящий запрос от идентифицированного корпоративного облачного прокси-сервера или защищённого веб-шлюза, доступных только на плане Enterprise.

Дополнение Enterprise

cf.bot_management.detection_ids

Список идентификаторов, соответствующих эвристическим обнаружениям Bot Management для запроса.

Дополнение Enterprise

cf.bot_management.ja3_hash

Предоставляет отпечаток SSL/TLS, который помогает выявлять потенциальные запросы от ботов.

Дополнение Enterprise

cf.bot_management.ja4

Предоставляет отпечаток SSL/TLS, который помогает выявлять потенциальные запросы от ботов.

Дополнение Enterprise

cf.bot_management.js_detection.passed

Показывает, проходил ли посетитель ранее проверку JS Detection.

Дополнение Enterprise

cf.bot_management.score

Отражает вероятность того, что запрос исходит от бота, выраженную оценкой от 1-99.

Дополнение Enterprise

cf.bot_management.signed_agent

Показывает, исходил ли запрос от известного агента, который идентифицирует себя с помощью Web Bot Auth и теперь классифицируется как проверенный бот или агент помечен как Intermediary.

Дополнение Enterprise

cf.bot_management.static_resource

Показывает, следует ли включать статические ресурсы при создании правила с помощью cf.bot_management.score.

Дополнение Enterprise

cf.bot_management.verified_bot

Показывает, исходил ли запрос от известного легитимного бота или поискового робота.

Дополнение Enterprise

cf.client.bot

Показывает, исходил ли запрос от известного легитимного бота или поискового робота.

cf.edge.client_tcp

Показывает, был ли запрос отправлен по TCP.

cf.edge.l4.delivery_rate

Последняя оценка скорости передачи данных для соединения с клиентом, в байтах в секунду.

cf.edge.server_ip

Представляет IP-адрес глобальной сети, на который был разрешён HTTP-запрос.

cf.edge.server_port

Представляет номер порта, на котором глобальная сеть Cloudflare получила запрос.

cf.hostname.metadata

Возвращает строковое представление для каждого имени хоста пользовательские метаданные JSON-объект, устанавливаемый для клиентов SSL for SaaS.

cf.llm.prompt.custom_topic_categories

Сопоставление пользовательских меток тем с показателями релевантности (1-99) для LLM-промпта в запросе.

Enterprise

cf.llm.prompt.detected

Показывает, обнаружил ли Cloudflare LLM-промпт во входящем запросе.

Enterprise

cf.llm.prompt.injection_score

Оценка от 1 до 99, отражающая вероятность того, что LLM-запрос в составе запроса является попыткой атаки с внедрением инструкций (prompt injection).

Enterprise

cf.llm.prompt.pii_categories

Массив строковых значений с категориями личных данных (PII), обнаруженных в промпте LLM, включённом в запрос.

Enterprise

cf.llm.prompt.pii_detected

Показывает, были ли обнаружены персональные данные (PII) в LLM-промпте, включённом в запрос.

Enterprise

cf.llm.prompt.token_count

Приблизительное количество токенов в LLM-запросе, входящем в состав запроса.

Enterprise

cf.llm.prompt.unsafe_topic_categories

Массив строковых значений с типами небезопасных тем, обнаруженных в промпте LLM.

Enterprise

cf.llm.prompt.unsafe_topic_detected

Показывает, содержит ли LLM-промпт во входящем запросе какую-либо небезопасную тематическую категорию.

Enterprise

cf.random_seed

Возвращает случайные байты для каждого запроса, которые вы можете использовать в uuidv4() функцию.

cf.ray_id

Ray ID текущего запроса.

cf.response.1xxx_code

Содержит конкретный код ошибки Cloudflare серии 1XXX.

cf.response.error_type

Строка с типом ошибки, содержащейся в возвращаемом ответе.

cf.schema_validation.learned.violated

Возвращает true когда оцениваемый запрос нарушает изученный профиль.

cf.schema_validation.uploaded.violated

Возвращает true когда оцениваемый запрос нарушает предоставленную схему.

cf.threat_score

Представляет оценку угрозы Cloudflare.

cf.timings.client_quic_rtt_msec

Сглаженное время кругового обмена (RTT) QUIC между Cloudflare и клиентом, в миллисекундах.

cf.timings.client_tcp_rtt_msec

Сглаженное время кругового обмена (RTT) TCP между Cloudflare и клиентом, в миллисекундах.

cf.timings.edge_msec

Время обработки запроса в глобальной сети Cloudflare, в миллисекундах.

cf.timings.origin_ttfb_msec

Время кругового обмена (RTT) между глобальной сетью Cloudflare и исходным сервером, в миллисекундах.

cf.timings.worker_msec

Время выполнения Cloudflare Worker, в миллисекундах.

cf.tls_cipher

Шифр для соединения с Cloudflare.

cf.tls_ciphers_sha1

Отпечаток SHA-1 списка шифров TLS-клиента в порядке получения, закодированный в Base64 в формате big-endian.

cf.tls_client_auth.cert_chain_rfc9440

Цепочка клиентских сертификатов mTLS (без учёта конечного сертификата), закодированная в виде списка структурированных полей согласно RFC 9440.

cf.tls_client_auth.cert_chain_rfc9440_too_large

Возвращает true когда цепочка клиентских сертификатов, закодированная согласно RFC 9440, превышает ограничение размера в 16 KiB.

cf.tls_client_auth.cert_fingerprint_sha1

Отпечаток SHA-1 клиентского сертификата mTLS.

cf.tls_client_auth.cert_fingerprint_sha256

Отпечаток SHA-256 клиентского сертификата mTLS.

cf.tls_client_auth.cert_issuer_dn

Отличительное имя (DN) центра сертификации (CA), выдавшего клиентский сертификат mTLS.

cf.tls_client_auth.cert_issuer_dn_legacy

Отличительное имя (DN) центра сертификации (CA), выдавшего клиентский сертификат mTLS, в устаревшем формате.

cf.tls_client_auth.cert_issuer_dn_rfc2253

Отличительное имя (DN) центра сертификации (CA), выдавшего клиентский сертификат mTLS, в RFC 2253 формате.

cf.tls_client_auth.cert_issuer_serial

Серийный номер прямого издателя клиентского сертификата mTLS.

cf.tls_client_auth.cert_issuer_ski

Идентификатор ключа субъекта (SKI) непосредственного издателя клиентского сертификата mTLS.

cf.tls_client_auth.cert_not_after

Клиентский сертификат mTLS недействителен после этой даты.

cf.tls_client_auth.cert_not_before

Клиентский сертификат mTLS недействителен до этой даты.

cf.tls_client_auth.cert_presented

Возвращает true когда mTLS-клиент предъявляет сертификат (действительный или нет).

cf.tls_client_auth.cert_revoked

Показывает, предъявил ли клиент mTLS действительный, но отозванный клиентский сертификат.

cf.tls_client_auth.cert_rfc9440

Клиентский сертификат mTLS, закодированный как последовательность байтов Structured Fields согласно RFC 9440.

cf.tls_client_auth.cert_rfc9440_too_large

Возвращает true когда mTLS-клиентский сертификат, закодированный согласно RFC 9440, превышает ограничение размера в 10 KiB.

cf.tls_client_auth.cert_serial

Серийный номер клиентского сертификата mTLS.

cf.tls_client_auth.cert_ski

Идентификатор ключа субъекта (SKI) клиентского сертификата mTLS.

cf.tls_client_auth.cert_subject_dn

Отличительное имя (DN) владельца (или заявителя) клиентского сертификата mTLS.

cf.tls_client_auth.cert_subject_dn_legacy

Отличительное имя (DN) владельца (или заявителя) клиентского сертификата mTLS в устаревшем формате.

cf.tls_client_auth.cert_subject_dn_rfc2253

Отличительное имя (DN) владельца (или заявителя) клиентского сертификата mTLS в RFC 2253 формате.

cf.tls_client_auth.cert_verified

Возвращает true когда mTLS-клиент предъявляет действительный клиентский сертификат.

cf.tls_client_extensions_sha1

Отпечаток SHA-1 расширений TLS-клиента, закодированный в Base64 в формате big-endian.

cf.tls_client_extensions_sha1_le

Отпечаток SHA-1 расширений TLS-клиента, закодированный в Base64 в формате little-endian.

cf.tls_client_hello_length

Длина сообщения client hello, отправленного в TLS-рукопожатие.

cf.tls_client_random

Значение 32-байтового случайного значения, предоставленного клиентом в TLS-рукопожатие, закодированное в Base64.

cf.tls_version

Версия TLS соединения с Cloudflare.

cf.verified_bot_category

Указывает тип и назначение верифицированного бота.

cf.waf.auth_detected

Показывает, обнаружил ли Cloudflare WAF учётные данные для аутентификации в запросе.

Enterprise

cf.waf.content_scan.has_failed

Показывает, не удалось ли сканеру файлов проверить хотя бы один из объектов содержимого, обнаруженных в запросе.

Дополнение Enterprise

cf.waf.content_scan.has_malicious_obj

Показывает, содержит ли запрос хотя бы один вредоносный объект содержимого.

Дополнение Enterprise

cf.waf.content_scan.has_obj

Показывает, содержит ли запрос хотя бы один объект содержимого.

Дополнение Enterprise

cf.waf.content_scan.num_malicious_obj

Количество вредоносных объектов содержимого, обнаруженных в запросе (ноль или более).

Дополнение Enterprise

cf.waf.content_scan.num_obj

Количество объектов содержимого, обнаруженных в запросе (ноль или более).

Дополнение Enterprise

cf.waf.content_scan.obj_results

Массив результатов сканирования в том порядке, в котором объекты содержимого были обнаружены в запросе.

Дополнение Enterprise

cf.waf.content_scan.obj_sizes

Массив размеров файлов в байтах в том порядке, в каком объекты содержимого были обнаружены в запросе.

Дополнение Enterprise

cf.waf.content_scan.obj_types

Массив типов файлов в том порядке, в каком объекты содержимого были обнаружены в запросе.

Дополнение Enterprise

cf.waf.credential_check.password_leaked

Показывает, был ли обнаруженный в запросе пароль ранее скомпрометирован в результате утечки данных.

cf.waf.credential_check.username_and_password_leaked

Показывает, были ли обнаруженные в запросе учётные данные (имя пользователя и пароль) ранее скомпрометированы в результате утечки данных.

Pro и выше

cf.waf.credential_check.username_leaked

Показывает, было ли обнаруженное в запросе имя пользователя ранее скомпрометировано в результате утечки данных.

Enterprise

cf.waf.credential_check.username_password_similar

Показывает, оказалась ли похожая версия обнаруженных в запросе учётных данных (имени пользователя и пароля) ранее скомпрометирована в результате утечки данных.

Enterprise

cf.waf.score

Общая оценка от 1 до 99, объединяющая оценку каждого вектора атаки WAF в единый показатель.

Enterprise

cf.waf.score.class

Класс оценки атаки для текущего запроса, основанный на показателе WAF attack score.

Business и выше

cf.waf.score.rce

Оценка атаки от 1 до 99, классифицирующая вектор атаки с внедрением команд или удалённым выполнением кода (RCE).

Enterprise

cf.waf.score.sqli

Оценка атаки от 1 до 99, классифицирующая вектор атаки SQL-инъекции (SQLi).

Enterprise

cf.waf.score.xss

Оценка атаки от 1 до 99, классифицирующая вектор атаки с межсайтовым скриптингом (XSS).

Enterprise

cf.worker.upstream_zone

Определяет, поступил ли запрос от Worker или нет.

http.cookie

Весь cookie в виде строки.

http.host

Имя хоста, используемое в полном URI запроса.

http.referer

HTTP Referer заголовок запроса, содержащий адрес веб-страницы, с которой был выполнен переход на запрашиваемую страницу.

http.request.accepted_languages

Список языковых тегов, указанных в Accept-Language заголовок HTTP-запроса.

http.request.body.form

Тело HTTP-запроса формы, представленное в виде Map (или ассоциативного массива).

Enterprise

http.request.body.form.names

Имена полей формы в запросе HTTP.

Enterprise

http.request.body.form.values

Значения полей формы в запросе HTTP.

Enterprise

http.request.body.mime

MIME-тип запроса, определённый по телу запроса.

http.request.body.multipart

Представление в виде Map (или ассоциативного массива), сопоставляющее имена multipart со значениями multipart в теле запроса.

Enterprise

http.request.body.multipart.content_dispositions

Список Content-Disposition заголовки для каждой части в теле multipart.

Enterprise

http.request.body.multipart.content_transfer_encodings

Список Content-Transfer-Encoding заголовки для каждой части в теле multipart.

Enterprise

http.request.body.multipart.content_types

Список Content-Type заголовки для каждой части в теле multipart.

Enterprise

http.request.body.multipart.filenames

Список имён файлов для каждой части в multipart-теле запроса.

Enterprise

http.request.body.multipart.names

Список имён для каждой части в multipart-теле запроса.

Enterprise

http.request.body.multipart.values

Список значений для каждой части в multipart-теле запроса.

Enterprise

http.request.body.raw

Неизменённое тело запроса HTTP.

Enterprise

http.request.body.size

Общий размер тела запроса HTTP (в байтах).

Enterprise

http.request.body.truncated

Показывает, было ли тело HTTP-запроса обрезано.

Enterprise

http.request.cookies

Cookie HTTP-заголовок, связанный с запросом и представленный в виде Map (ассоциативного массива).

Pro и выше

http.request.full_uri

Полный URI в том виде, в каком его получил веб-сервер.

http.request.headers

Заголовки HTTP-запроса, представленные в виде Map (или ассоциативного массива).

http.request.headers.names

Имена заголовков в запросе HTTP.

http.request.headers.truncated

Показывает, содержит ли HTTP-запрос слишком много заголовков.

http.request.headers.values

Значения заголовков в запросе HTTP.

http.request.jwt.claims.aud

aud (audience) утверждение указывает получателей, для которых предназначен JSON Web Token (JWT).

Дополнение Enterprise

http.request.jwt.claims.aud.names

aud (audience) утверждение указывает получателей, для которых предназначен JSON Web Token (JWT).

Дополнение Enterprise

http.request.jwt.claims.aud.values

aud (audience) утверждение указывает получателей, для которых предназначен JSON Web Token (JWT).

Дополнение Enterprise

http.request.jwt.claims.iat.sec

iat (issued at) утверждение указывает время (в секундах), когда был выдан JWT.

Дополнение Enterprise

http.request.jwt.claims.iat.sec.names

iat (issued at) утверждение указывает время (в секундах), когда был выдан JWT.

Дополнение Enterprise

http.request.jwt.claims.iat.sec.values

iat (issued at) утверждение указывает время (в секундах), когда был выдан JWT.

Дополнение Enterprise

http.request.jwt.claims.iss

iss (issuer) утверждение указывает субъекта, который выдал JWT.

Дополнение Enterprise

http.request.jwt.claims.iss.names

iss (issuer) утверждение указывает субъекта, который выдал JWT.

Дополнение Enterprise

http.request.jwt.claims.iss.values

iss (issuer) утверждение указывает субъекта, который выдал JWT.

Дополнение Enterprise

http.request.jwt.claims.jti

jti (JWT ID) утверждение предоставляет уникальный идентификатор JWT.

Дополнение Enterprise

http.request.jwt.claims.jti.names

jti (JWT ID) утверждение предоставляет уникальный идентификатор JWT.

Дополнение Enterprise

http.request.jwt.claims.jti.values

jti (JWT ID) утверждение предоставляет уникальный идентификатор JWT.

Дополнение Enterprise

http.request.jwt.claims.nbf.sec

nbf (not before) утверждение указывает время (в секундах), до наступления которого JWT не должен приниматься к обработке.

Дополнение Enterprise

http.request.jwt.claims.nbf.sec.names

Дополнение Enterprise

http.request.jwt.claims.nbf.sec.values

Дополнение Enterprise

http.request.jwt.claims.sub

sub (subject) утверждение указывает субъекта, к которому относится JWT.

Дополнение Enterprise

http.request.jwt.claims.sub.names

sub (subject) утверждение указывает субъекта, к которому относится JWT.

Дополнение Enterprise

http.request.jwt.claims.sub.values

sub (subject) утверждение указывает субъекта, к которому относится JWT.

Дополнение Enterprise

http.request.method

HTTP-метод, возвращаемый в виде строки из символов в верхнем регистре.

http.request.timestamp.msec

Миллисекунда, в которую Cloudflare получила запрос, в диапазоне от 0 до 999.

http.request.timestamp.sec

Отметка времени получения запроса Cloudflare, выраженная в формате UNIX time в секундах.

http.request.uri

Путь URI и строка запроса.

http.request.uri.args

Аргументы HTTP URI, связанные с запросом, представленные в виде Map (ассоциативного массива).

http.request.uri.args.names

Имена аргументов в строке запроса URI HTTP.

http.request.uri.args.values

Значения аргументов в строке запроса URI HTTP.

http.request.uri.path

Путь URI запроса.

http.request.uri.path.extension

Расширение файла в пути URI в нижнем регистре без точки (.) символ.

http.request.uri.query

Вся строка запроса без учёта ? разделитель.

http.request.version

Используемая версия протокола HTTP. Используйте это поле, если для разных версий нужны разные проверки.

http.response.code

Код состояния HTTP, который возвращается клиенту: его задаёт либо продукт Cloudflare, либо исходный сервер.

http.response.content_type.media_type

Тип содержимого в нижнем регистре (включая подтип и суффикс) без дополнительных параметров, определяемый на основе заголовка ответа Content-Type заголовок.

http.response.headers

Заголовки HTTP-ответа, представленные в виде Map (или ассоциативного массива).

http.response.headers.names

Имена заголовков в ответе HTTP.

http.response.headers.values

Значения заголовков в ответе HTTP.

http.user_agent

HTTP User-Agent заголовок запроса, содержащий характерную строку для определения операционной системы и веб-браузера клиента.

http.x_forwarded_for

Полное значение X-Forwarded-For HTTP-заголовок.

ip.src

TCP IP-адрес клиента, который может быть скорректирован для отражения фактического адреса клиента с помощью HTTP-заголовков, таких как X-Forwarded-For или X-Real-IP.

ip.src.asnum

16-битное или 32-битное целое число, представляющее номер автономной системы (AS), связанной с IP-адресом клиента.

ip.src.city

Город, связанный с IP-адресом клиента.

ip.src.continent

Код континента, связанный с IP-адресом клиента.

ip.src.country

Двухбуквенный код страны в ISO 3166-1 Alpha 2 формате.

ip.src.is_in_european_union

Определяет, поступает ли запрос из страны, входящей в Европейский союз (ЕС).