← Варианты использования / use-cases / solutions

Защита форм от спама и злоупотреблений (Free, Pro и Business)

Формы обратной связи, регистрации и оформления заказа часто становятся мишенью для автоматизированных злоупотреблений. В этом руководстве рассматривается защита форм: проверка того, что посетитель является человеком, ограничение повторных отправок и блокировка известных шаблонов атак. Основной сценарий использует функции, доступные на всех тарифах. Функции тарифов Pro и Business вынесены в отдельные примечания.

Turnstile подтверждает, что посетитель является человеком, не показывая видимых испытаний. В этом руководстве используется режим Managed, который автоматически выбирает между невидимой проверкой и проверкой с помощью флажка в зависимости от уровня риска посетителя. Об остальных режимах виджета см. Типы виджетов.

Подключение Turnstile состоит из трёх шагов: создайте виджет в дашборде, добавьте клиентский код на страницу формы и проверьте токен на сервере перед обработкой отправленных данных.

Сохраните sitekey и secret key. Sitekey понадобится в клиентском фрагменте кода, а secret key потребуется для проверки на стороне сервера.

Добавьте скрипт и виджет Turnstile div элемент к каждой форме, которую нужно защитить. Замените <YOUR-SITE-KEY> на sitekey из предыдущего шага.

<form id="contact-form" action="/submit" method="POST">
  <input type="text" name="name" placeholder="Name" required />
  <input type="email" name="email" placeholder="Email" required />
  <textarea name="message" placeholder="Message" required></textarea>
  <div class="cf-turnstile" data-sitekey="<YOUR-SITE-KEY>"></div>
  <button type="submit">Submit</button>
</form>

<script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async defer></script>

Виджет отображается в форме и генерирует токен, когда посетитель проходит проверку. Этот токен добавляется в отправляемые данные формы как cf-turnstile-response поле.

Необходима серверная проверка. Один только клиентский виджет не защищает ваши формы, поскольку злоумышленники могут отправлять запросы напрямую на конечную точку формы. Токены можно проверить только один раз.

Вызывайте Siteverify API перед обработкой любой отправки формы:

const SECRET_KEY = "<YOUR-SECRET-KEY>";

async function validateTurnstile(token, remoteip) {
  try {
    const response = await fetch(
      "https://challenges.cloudflare.com/turnstile/v0/siteverify",
      {
        method: "POST",
        headers: { "Content-Type": "application/json" },
        body: JSON.stringify({
          secret: SECRET_KEY,
          response: token,
          remoteip: remoteip,
        }),
      },
    );

    const result = await response.json();
    return result;
  } catch (error) {
    console.error("Turnstile validation error:", error);
    return { success: false, "error-codes": ["internal-error"] };
  }
}

Замените "<YOUR-SECRET-KEY>" на секретный ключ Turnstile. Конечная точка возвращает объект JSON с success поле. Обрабатывайте отправку формы только в том случае, если success это true.

Примеры проверки на PHP, Python, Java и C# см. в Проверка токена.

Некоторые вредоносные скрипты полностью пропускают браузер и отправляют POST-запросы напрямую в конечные точки ваших форм. Application Security правила ограничения частоты запросов перехватывают эти запросы, поскольку проверка на стороне клиента выполняется только в браузере.

Прежде чем создавать правило ограничения частоты запросов, проверьте обычную частоту отправки для конечных точек ваших форм. Пороговое значение ограничения должно быть выше этого базового уровня, чтобы не блокировать легитимный трафик.

Если у вас недостаточно данных о трафике для определения базового уровня, начните с консервативного порога и скорректируйте его на основе Security Events после развёртывания.

Создайте правило, ограничивающее количество отправок с одного IP-адреса на конечную точку формы за определённый период. Настройте путь, порог и период под ваш сайт.

Вместо отображения стандартной страницы ошибки Cloudflare при достижении лимита скорости вы можете настроить собственный ответ. Подробнее см. Создание правила ограничения скорости в панели управления.

Ограничение скорости запросов само по себе не отслеживает целенаправленные шаблоны атак, такие как SQL-инъекции или межсайтовый скриптинг (XSS), в полях форм. Application Security пользовательские правила и управляемые наборы правил позволяют блокировать такие специфические паттерны, нацеленные на эндпоинты ваших форм. Пользовательские правила выполняются раньше правил ограничения частоты запросов и managed rulesets в порядок выполнения.

Создайте пользовательское правило, которое применяет действие Challenge к POST-запросам на конечные точки ваших форм от источников, не являющихся подтверждёнными ботами.

После развёртывания проверьте Security Events чтобы проверить, срабатывает ли правило на легитимный трафик. Если легитимные пользователи получают проверку, сузьте выражение или выберите менее строгое действие.

Bot Fight Mode выдаёт проверку запросам, соответствующим известным паттернам ботов, по всему вашему домену. Он доступен на всех тарифах и не требует никакой настройки, кроме включения.

Bot Fight Mode защищает весь ваш домен без ограничений по конечным точкам. Создать исключения с помощью custom rules, чтобы обойти Bot Fight Mode, нельзя.

После развёртывания Turnstile, правил ограничения частоты запросов и правил Application Security отслеживайте конечные точки форм, чтобы убедиться в работе правил и выявлять новые паттерны атак.

Security Events показывает запросы, на которые отреагировали или которые пометили продукты безопасности Cloudflare, включая блокировки, проверки и пропуски. Отфильтруйте по путям конечных точек ваших форм, чтобы увидеть, что блокируется, а что проходит. Большое количество заблокированных или проверяемых запросов к путям форм подтверждает, что правила активны.

Если challenge получают легитимные пользователи, сузьте выражение правила или выберите менее агрессивное действие.

Настройте уведомление, чтобы получать оповещения при необычном всплеске событий безопасности на вашем домене.

Типы оповещений, пороговые значения срабатывания и инструкции по настройке описаны в Оповещения о событиях безопасности.

Если на страницу с формой внедряется сторонний скрипт, он может похищать отправленные данные, включая платёжную информацию. Client-Side Security отслеживает изменения сторонних скриптов на ваших страницах и потенциальные атаки на цепочку поставок.

Чтобы включить мониторинг:

После включения проверьте обнаруженные скрипты на странице Web assets страницу в разделе Ресурсы на стороне клиента на вкладке, чтобы выявить неожиданные скрипты на страницах с формами. Полный порядок настройки см. в Начало работы с защитой на стороне клиента.

Turnstile

• Начало работы с Turnstile : создание виджетов, добавление клиентского фрагмента кода и проверка токенов
• Проверка токена : примеры проверки на стороне сервера на разных языках программирования
• Интеграция Turnstile, WAF и Bot Management : руководство, объединяющее все три продукта для защиты входа

Безопасность приложений

• Custom rules : создание правил для конкретных шаблонов запросов
• Правила ограничения скорости : защита конечных точек от массовых злоупотреблений
• Совместимость функций безопасности : порядок выполнения и взаимодействие функций безопасности

Боты

• Bot Fight Mode : проверка запросов, соответствующих шаблонам ботов, на планах Free
• Super Bot Fight Mode : детальное управление защитой от ботов на планах Pro и выше

Безопасность на стороне клиента

• Начало работы с защитой на стороне клиента : включение мониторинга и просмотр обнаруженных скриптов