← Документация WAF / custom-rules

Пользовательские наборы правил (уровень зоны)

Пользовательские наборы правил — это коллекции пользовательских правил, которые можно развернуть на уровне зоны или уровень аккаунта.

Как и пользовательские правила, пользовательские наборы правил позволяют управлять входящим трафиком, фильтруя запросы.

Например, пользовательский набор правил можно применять ко всем входящим запросам зоны или только к их части.

На уровне зоны создавать и развёртывать пользовательские наборы правил могут все клиенты. Пользовательские наборы правил на уровне аккаунта требуют плана Enterprise. Подробности см. в Доступность.

Создание пользовательского набора правил не активирует его. Пользовательские наборы выполняются только тогда, когда правило с execute ссылается на них из набор правил точки входа фазы — набор правил верхнего уровня, который Cloudflare оценивает для каждого запроса в данной фаза.

Чтобы развернуть пользовательский набор правил для зоны:

1. Создайте пользовательский набор правил на уровне зоны с одним или несколькими правилами. Либо определите существующий пользовательский набор правил, который хотите развернуть, с помощью Список наборов правил зоны (операция API).
2. Добавьте правило с execute (действие) к http_request_firewall_custom (набор правил точки входа фазы), со ссылкой на ID пользовательского набора. Это правило указывает Cloudflare выполнять пользовательский набор при совпадении выражения правила.

Следующий запрос создаёт новый пользовательский набор правил на уровне зоны с двумя правилами. Ответ будет включать ID нового пользовательского набора правил в id .

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Custom Ruleset 1",
		"description": "My First Custom Ruleset (zone)",
		"kind": "custom",
		"phase": "http_request_firewall_custom",
		"rules": [
				{
						"expression": "(ip.src.country in {\"GB\" \"FR\"} and cf.bot_management.score < 20 and not cf.bot_management.verified_bot)",
						"action": "challenge",
						"description": "challenge GB and FR based on bot score"
				},
				{
						"expression": "not http.request.uri.path wildcard \"/api/*\"",
						"action": "challenge",
						"description": "challenge not /api"
				}
		]
	}'

{
	"result": {
		"id": "f82ccda3d21f4a02825d3fe45b5e1c10",
		"name": "Custom Ruleset 1",
		"description": "My First Custom Ruleset (zone)",
		"kind": "custom",
		"version": "1",
		"rules": [
			{
				"expression": "(ip.src.country in {\"GB\" \"FR\"} and cf.bot_management.score < 20 and not cf.bot_management.verified_bot)",
				"action": "challenge",
				"description": "challenge GB and FR based on bot score"
			},
			{
				"expression": "not http.request.uri.path wildcard \"/api/*\"",
				"action": "challenge",
				"description": "challenge not /api"
			}
		],
		"last_updated": "2025-11-09T10:27:30.636197Z",
		"phase": "http_request_firewall_custom"
	},
	"success": true,
	"errors": [],
	"messages": []
}

Разверните пользовательский набор правил, добавив правило с "action": "execute" в http_request_firewall_custom набора правил точки входа фазы.

1. Вызовите Получение набора правил точки входа зоны (операция), чтобы получить определение набора правил точки входа для фазы http_request_firewall_custom (фаза). Вам понадобится ID зоны для этой задачи.

   Необходимые разрешения API-токена

   Хотя бы одно из следующих разрешения токена обязательно:

   • Zone WAF Write
   • Zone WAF Read
   Получение набора правил точки входа зоны

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/phases/http_request_firewall_custom/entrypoint" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"description": "Zone-level phase entry point",
   		"id": "<ENTRY_POINT_RULESET_ID>",
   		"kind": "zone",
   		"last_updated": "2025-11-16T15:40:08.202335Z",
   		"name": "zone",
   		"phase": "http_request_firewall_custom",
   		"rules": [
   			// ...
   		],
   		"version": "10"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

2. Если набор правил точки входа уже существует (то есть если вы получили 200 OK код состояния и определение набора правил), запишите ID набора правил из ответа. Затем вызовите Создание правила в наборе правил зоны операцию, чтобы добавить execute (правило) в существующий набор правил, развёртывающее пользовательский набор правил, созданный на шаге 1 (замените f82ccda3d21f4a02825d3fe45b5e1c10 вашим идентификатором пользовательского набора правил).
   Поскольку выражение — true пользовательский набор правил будет выполняться для всех входящих запросов. По умолчанию правило будет добавлено в конец списка правил, уже имеющихся в наборе.

   Необходимые разрешения API-токена

   Хотя бы одно из следующих разрешения токена обязательно:

   • Zone WAF Write
   Создание правила в наборе правил зоны

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets/$ENTRY_POINT_RULESET_ID/rules" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"action": "execute",
   		"expression": "true",
   		"action_parameters": {
   				"id": "f82ccda3d21f4a02825d3fe45b5e1c10"
   		},
   		"description": "Execute custom ruleset"
   	}'

   {
   	"result": {
   		"id": "<ENTRY_POINT_RULESET_ID>",
   		"name": "zone",
   		"description": "Zone-level phase entry point",
   		"kind": "zone",
   		"version": "11",
   		"rules": [
   			// ... any existing rules
   			{
   				"id": "<RULE_ID>",
   				"version": "1",
   				"action": "execute",
   				"action_parameters": {
   					"id": "f82ccda3d21f4a02825d3fe45b5e1c10"
   				},
   				"expression": "true",
   				"description": "Execute custom ruleset",
   				"last_updated": "2025-11-18T18:08:14.003361Z",
   				"ref": "<RULE_REF>",
   				"enabled": true
   			}
   		],
   		"last_updated": "2025-11-18T18:08:14.003361Z",
   		"phase": "http_request_firewall_custom"
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

3. Если набор правил точки входа не существует (то есть если вы получили 404 Not Found код состояния на шаге 1), создайте его с помощью Создание набора правил зоны. Включите одно правило в массив rules (массив), который выполняет пользовательский набор правил для всех входящих запросов зоны. Замените f82ccda3d21f4a02825d3fe45b5e1c10 вашим идентификатором пользовательского набора правил.

   Необходимые разрешения API-токена

   Хотя бы одно из следующих разрешения токена обязательно:

   • Zone WAF Write
   Создание набора правил зоны

   curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "zone",
   		"description": "Zone-level phase entry point",
   		"kind": "zone",
   		"phase": "http_request_firewall_custom",
   		"rules": [
   				{
   						"action": "execute",
   						"action_parameters": {
   								"id": "f82ccda3d21f4a02825d3fe45b5e1c10"
   						},
   						"expression": "true",
   						"description": "Execute custom ruleset"
   				}
   		]
   	}'

Используйте различные операции в Rulesets API для работы с созданным и развёрнутым вами пользовательским набором правил. В следующей таблице приведён список типовых задач при работе с пользовательскими наборами правил на уровне зоны:

Подробнее о работе с пользовательскими наборами правил через Cloudflare API см. Работа с пользовательскими наборами правил в документации по Ruleset Engine.