← Варианты использования / use-cases / solutions

Защита от захвата аккаунтов (Free, Pro и Business)

Если на вашем сайте есть страницы входа, нужно решить, как проверять, что посетитель является человеком, насколько жёстко ограничивать неудачные попытки входа и какие паттерны запросов блокировать. Это руководство охватывает пять этапов: включение HTTPS, включение защиты от ботов, добавление Turnstile к форме входа, создайте Application Security правила ограничения частоты запросов и пользовательские правила на подозрительные паттерны и отслеживайте текущие атаки с помощью SSL/TLS транспортная безопасность и Решения Cloudflare для защиты от ботов. Основной процесс описывает функции, доступные на тарифах Free, Pro и Business. Функции Enterprise, такие как пользовательские места обнаружения скомпрометированных учетных данных и пользовательские правила Bot Management, приведены в виде отдельных врезок.

Учётные данные, переданные по обычному HTTP, видны любому, кто находится на сетевом пути между посетителем и вашим исходным сервером. Cloudflare SSL/TLS предоставляет два параметра, обеспечивающих принудительное использование HTTPS-соединений: Always Use HTTPS и Строгая транспортная безопасность HTTP (HSTS). Для дополнительного контроля над тем, какие стандарты шифрования принимает ваш домен, см. Наборы шифров.

Always Use HTTPS перенаправляет все запросы посетителей с http к https для всех поддоменов и хостов.

Cloudflare предоставляет защиту от ботов на всех тарифах, но набор функций зависит от тарифного плана. Если включить защиту от ботов до настройки правил для страницы входа, вы получите базовый фильтр автоматизированного трафика для всего домена.

Bot Fight Mode выдаёт проверку запросам, соответствующим известным паттернам ботов. Он применяется ко всему трафику вашего домена, и его нельзя настроить с помощью исключений или правил для отдельных путей.

Super Bot Fight Mode определяет трафик, соответствующий паттернам известных ботов, может проверять или блокировать ботов, а также защищает статические ресурсы. Для каждой группы ботов настраивается отдельное действие: Definitely automated, Likely automated, а также Проверенные боты. Вы также можете настройка исключений с помощью Application Security пользовательские правила на действие Skip.

Для защиты входа рекомендуются следующие начальные значения. Скорректируйте их с учетом особенностей вашего трафика.

• Definitely automated: Managed Challenge. После проверки Security Events и подтверждения того, что настройка не влияет на легитимный трафик, переключитесь на Block.
• Likely automated: Managed Challenge.
• Проверенные боты: Allow.

Custom rules выполняются до Super Bot Fight Mode. Чтобы создать исключения для определённых путей или трафика, создайте пользовательское правило с Пропустить действие. Действие Skip позволяет запросу миновать этап Super Bot Fight Mode без прерывания запроса, так что он продолжает проходить через остальную часть стека безопасности.

Два инструмента защищают эндпоинты входа от автоматизированных злоупотреблений, и каждый закрывает свой вектор атаки:

• Turnstile подтверждает, что посетитель является человеком, без показа CAPTCHA. Его можно встроить на любой сайт без пропуска трафика через Cloudflare. Используйте Turnstile, чтобы противодействовать автоматической отправке форм.
• Application Security правила ограничения частоты запросов задают лимиты частоты запросов, соответствующих выражению, и действие, которое нужно выполнить при достижении этих лимитов. Используйте ограничение частоты запросов, чтобы защитить эндпоинты входа от злоупотреблений, например от brute-force атак.

Вместе они обеспечивают наиболее полную защиту. Turnstile выдаёт проверку автоматизированным отправкам на уровне формы. Ограничение частоты запросов перехватывает высокообъёмные атаки, которые обходят форму или вовсе с ней не взаимодействуют, например прямые POST запросов к конечной точке.

Внедрение Turnstile включает три шага: создание виджета, добавление клиентского фрагмента кода в форму входа и проверку токена на вашем сервере. Turnstile поддерживает несколько методы рендеринга включая явный и неявный рендеринг. Вы также можете внедрение Turnstile в HTML с помощью Cloudflare Worker если у вас нет доступа к исходному коду формы входа.

Turnstile настраивается на уровне аккаунта.

Для следующих шагов вам понадобятся оба ключа: sitekey и secret key.

Добавьте скрипт и контейнер виджета Turnstile в форму входа. Замените <YOUR-SITE-KEY> на sitekey из предыдущего шага.

<form id="login-form">
	<input type="text" id="username" placeholder="Username" required />
	<input type="password" id="password" placeholder="Password" autocomplete="off" required />
	<div class="cf-turnstile" data-sitekey="<YOUR-SITE-KEY>"></div>
	<button type="submit">Log in</button>
</form>

<script
	src="https://challenges.cloudflare.com/turnstile/v0/api.js"
	async
	defer
></script>

Виджет отображается внутри div и создаёт токен, когда посетитель проходит проверку. При отправке формы cf-turnstile-response токен включён в данные формы.

Перед обработкой отправки формы отправьте токен в конечную точку Turnstile siteverify, чтобы подтвердить, что посетитель прошёл проверку.

const SECRET_KEY = "<YOUR-SECRET-KEY>";

async function validateTurnstile(token, remoteip) {
	try {
		const response = await fetch(
			"https://challenges.cloudflare.com/turnstile/v0/siteverify",
			{
				method: "POST",
				headers: {
					"Content-Type": "application/json",
				},
				body: JSON.stringify({
					secret: SECRET_KEY,
					response: token,
					remoteip: remoteip,
				}),
			},
		);

		const result = await response.json();
		return result;
	} catch (error) {
		console.error("Turnstile validation error:", error);
		return { success: false, "error-codes": ["internal-error"] };
	}
}

Замените "<YOUR-SECRET-KEY>" на секретный ключ Turnstile. Конечная точка возвращает объект JSON с success поле. Обрабатывайте отправку формы только в том случае, если success это true.

Для дополнительного выявления мошенничества Turnstile поддерживает Ephemeral IDs предоставляющих уникальный временный идентификатор для каждого сеанса посетителя без хранения персональных данных.

Полный формат ответа, коды ошибок и примеры на других языках см. в Проверка токена.

Turnstile предоставляет тестовые site key, которые возвращают предсказуемые результаты без обращения к Siteverify API.

• Всегда проходит: Используйте site key 1x00000000000000000000AA и секретный ключ 1x0000000000000000000000000000000AA чтобы смоделировать успешную проверку.
• Всегда блокирует: Используйте site key 2x00000000000000000000AB и секретный ключ 2x0000000000000000000000000000000AA чтобы смоделировать неудачную проверку.
• Принудительно запускает интерактивную проверку: Используйте site key 3x00000000000000000000FF чтобы протестировать процесс интерактивной проверки.

Полный список тестовых ключей и ожидаемого поведения см. в Проверьте свою реализацию Turnstile.

В следующем примере создаётся правило ограничения частоты запросов, которое выдаёт Managed Challenge после более чем пяти POST-запросов к пути входа с одного и того же IP-адреса в течение одной минуты. Начните с Managed Challenge, а не с Block. Managed Challenge позволяет легитимным пользователям, которые достигли лимита, пройти проверку и продолжить работу, при этом блокируя автоматизированный трафик, который не может её пройти. После того как вы понаблюдаете за Security Events чтобы убедиться, что правило не даёт ложных срабатываний, переключитесь на действие Block. Настройте путь (/login), пороговое значение и период для вашего сайта.

Для сайтов, которые сталкиваются с продолжительными атаками credential stuffing, рассмотрите развертывание нескольких правил ограничения частоты запросов с нарастающей строгостью. Рекомендации по ограничению скорости запросов страница описывает шаблон нарастающих санкций на основе трёх правил: правило с коротким окном для быстрых всплесков активности, правило со средним окном для более медленных распределённых атак и правило с длинным окном, блокирующее постоянных злоумышленников на весь домен. Выражения для подсчёта используют коды состояния ответа, поэтому успешные входы не учитываются в лимите. Рекомендуемые пороговые значения и синтаксис выражений см. на странице с рекомендациями.

Application Security пользовательские правила и Обнаружения трафика дают дополнительные сигналы помимо частоты запросов, чтобы выявлять подозрительный трафик входа и реагировать на него. Обнаружения заполняют поля запроса (например, статус утечки учётных данных и оценку бота), на которые затем могут ссылаться ваши пользовательские правила.

Обнаружение утекших учётных данных проверяет входящие запросы на вход, сопоставляя имена пользователей и пароли с базами данных известных утечек. Cloudflare хеширует учётные данные перед сравнением и не хранит пароли в открытом виде. Как только обнаруживается совпадение, эта функция заполняет поля, которые можно использовать в пользовательских правилах и правилах ограничения частоты запросов.

cf.waf.credential_check.password_leaked поле доступно на всех тарифах.

На плане Free обнаружение утёкших учётных данных включено по умолчанию, и никаких действий не требуется. На платных планах вы можете включить обнаружение в панели управления Cloudflare, через API или с помощью Terraform.

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/leaked-credential-checks" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"enabled": true
	}'

resource "cloudflare_leaked_credential_check" "zone_lcc_example" {
	zone_id = var.cloudflare_zone_id
	enabled = true
}

После включения обнаружения ваш исходный сервер может получать статус утечки учётных данных через Exposed-Credential-Check заголовка запроса. Чтобы передавать этот заголовок, включите параметр Добавление заголовка Leaked Credentials Checks managed transform. После этого ваш источник может инициировать сброс пароля для затронутых пользователей.

Прежде чем развёртывать правила, которые проверяют или блокируют трафик входа, создайте правило пропуска, которое исключает известный легитимный автоматизированный трафик. Это защитит ваши инструменты мониторинга, проверки работоспособности и партнёрские интеграции от блокировки последующими правилами.

Подробнее о действии Skip и доступных параметрах пропуска см. в Пропустить действие.

Инструменты для credential stuffing часто отправляют запросы без стандартных заголовков браузера или с известными вредоносными значениями User-Agent. Создайте пользовательское правило, которое применяет Managed Challenge к POST-запросам на путь входа, если User-Agent пуст. Это правило нацелено на прямые POST-запросы от таких инструментов, как curl, python-requests, или undici не устанавливающих заголовок User-Agent.

Сочетайте ограничение частоты запросов с обнаружением скомпрометированных учётных данных, чтобы ограничивать попытки входа с использованием известных скомпрометированных паролей. Это правило применяет Managed Challenge, если один и тот же IP-адрес отправляет более трёх запросов со скомпрометированными паролями за одну минуту.

После развёртывания правил и настроек из предыдущих разделов отслеживайте конечную точку входа, чтобы убедиться в работе правил и выявлять новые паттерны атак.

Security Events показывает запросы, на которые отреагировали или которые пометили продукты безопасности Cloudflare, включая блокировки, проверки и пропуски.

Просмотрите Sampled logs чтобы просмотреть отдельные запросы. Каждая запись журнала показывает выполненное действие, сработавшее правило, исходный IP-адрес, user agent, путь URI и страну. Используйте Добавить фильтр кнопку, чтобы отфильтровать результаты по полям action, source IP, ASN и другим.

Обращайте внимание на ложные срабатывания: легитимный трафик, который ваши правила ошибочно заблокировали или подвергли дополнительной проверке. Типичные признаки:

• Запросы от известных сервисов мониторинга или платёжных систем, которые попадают в заблокированные события
• Большое количество запросов, получивших challenge, из стран с вашими реальными пользователями
• Срабатывание правил ограничения скорости запросов на легитимных пользователях в периоды пиковой нагрузки

Если вы заметили, что это затрагивает легитимных пользователей, скорректируйте пороги ограничения скорости или добавьте правила с действием Skip для отдельных диапазонов IP-адресов.

Настройте Оповещение Security Events уведомление, позволяющее получать оповещения при резком увеличении числа событий безопасности и заранее узнавать о начале новой волны атак. Такое уведомление относится к типу WAF категория из Уведомления страницу. Инструкции по настройке см. в Создать уведомление. Клиенты с тарифом Enterprise могут использовать Advanced Security Events Alert для более точной фильтрации.

Аналитика бот-трафика показывает распределение Bot Score на вашей конечной точке входа с течением времени. Внезапный всплеск трафика с низким Bot Score (значения 1-29) на пути входа является ранним признаком кампании credential stuffing.

Cloudflare разделяет бот-трафик на категории на основе Bot Score и статуса подтверждения:

• Проверенные боты: Краулеры и сервисы, которые Cloudflare подтвердила как легитимные, например Googlebot, Bingbot или инструменты для мониторинга доступности. Cloudflare поддерживает список проверенных ботов со строгими требованиями.
• Automated (оценка 1): Cloudflare практически уверен, что запрос автоматизирован.
• Likely automated (оценки 2-29): вероятно, бот. Эта категория вместе с категорией Automated является основной целью для правил безопасности и включает скраперы, инструменты credential stuffing и отправителей спама.
• Вероятно человек (оценки 30-99): судя по всему, эти запросы поступают от реальных пользователей. Не применяйте к этому трафику Challenge и не блокируйте его.

Если, несмотря на правила, развёрнутые согласно этому руководству, вы продолжаете видеть устойчивый автоматизированный трафик на странице входа, изучите Совместимость функций безопасности страницу, чтобы убедиться, что правила выполняются в ожидаемом порядке, и при необходимости скорректируйте пороговые значения.

Безопасность приложений

• Рекомендации по ограничению скорости запросов : рекомендуемые схемы защиты входа и противодействия credential stuffing
• Custom rules : создание правил с использованием полей запроса, включая оценку ботов и утечки учётных данных
• Обнаружение утечек учётных данных : проверка входящих запросов на наличие учётных данных из известных утечек
• Security Events : просмотр запросов, обработанных продуктами безопасности

Cloudflare Bots

• Bot Fight Mode : бесплатная защита от ботов, проверяющая известные шаблоны ботов
• Super Bot Fight Mode : защита от ботов на планах Pro и Business с настраиваемыми действиями
• Bot Management : защита от ботов уровня Enterprise с оценкой на основе машинного обучения и пользовательскими правилами

Turnstile

• Начало работы с Turnstile : создание виджетов и реализация проверки на стороне клиента и сервера
• Проверка на стороне сервера : проверка токенов Turnstile на вашем сервере
• Turnstile Pre-Clearance : предварительная проверка посетителей для процессов входа SPA и AJAX

SSL/TLS

• Always Use HTTPS : перенаправление всех запросов HTTP на HTTPS
• Строгая транспортная безопасность HTTP (HSTS) : предотвращение атак с понижением версии протокола с помощью заголовков HSTS