Come configurare Cloudflare per proteggere un sito dai DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare protegge al meglio un sito quando le richieste lo attraversano e l'applicazione sa gestire il traffico restante.** Attivare una sola impostazione non protegge ogni percorso verso il server.

Immagina un negozio online. Gli attaccanti possono inondare le immagini dei prodotti, chiamare ripetutamente una ricerca costosa o contattare direttamente il server. Consumano risorse diverse, quindi la configurazione richiede più livelli.

## 1. Inserisci Cloudflare nel percorso delle richieste

Abilita lo stato proxied per i record DNS supportati del sito. I visitatori raggiungono così Cloudflare prima dell'origin, il server che esegue realmente il sito. Un record DNS-only risolve il nome; non instrada il traffico HTTP del sito attraverso questo percorso di protezione.

```text
Browser -> Cloudflare -> Origin -> Database
```

È la base: il filtraggio di Cloudflare aiuta soltanto le richieste che lo raggiungono. Controlla tutti gli hostname pubblici usati dal negozio, incluso quello dell'API, non solo il dominio principale.

## 2. Chiudi l'accesso diretto all'origin

Se gli attaccanti possono ancora raggiungere direttamente l'origin, possono aggirare i filtri. Limita gli ingressi web pubblici agli intervalli IP Cloudflare appropriati e mantienili aggiornati. In alternativa, valuta Cloudflare Tunnel, che apre connessioni in uscita e può eliminare la necessità di porte web pubbliche in ingresso.

Mantieni l'accesso amministrativo su un percorso protetto separato e i database fuori da Internet pubblico. Prova sia l'accesso normale tramite Cloudflare sia il rifiuto dell'accesso diretto. Nascondere un indirizzo IP non basta. Vedi la [protezione dell'origin](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtra gli attacchi preservando i clienti reali

Esamina la protezione DDoS gestita e i controlli disponibili nel piano. Aggiungi regole WAF appropriate: un WAF controlla le richieste HTTP cercando schemi sospetti prima di inoltrarle. Protezione DDoS e WAF affrontano problemi sovrapposti ma diversi; nessuno dei due dimostra che ogni richiesta accettata sia economica per l'applicazione.

Parti da regole spiegabili, esamina il traffico coinvolto e correggile in modo mirato se bloccano clienti legittimi. Un gran numero di richieste bloccate non è di per sé una misura di successo. Cloudflare documenta [configurazione e regolazione DDoS](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Proteggi separatamente le operazioni costose

Una richiesta per un'immagine in cache è normalmente molto meno costosa per l'origin di una ricerca che scansiona molti record. Applica limiti di frequenza agli endpoint costosi in base all'uso normale e alla capacità del servizio sottostante.

- Per login o invio OTP, combina limiti all'edge con limiti applicativi per account o destinazione. Un singolo IP può rappresentare molti utenti reali.
- Per ricerca o generazione di report, limita il lavoro attivabile da ogni richiesta; limitare solo il numero di richieste può lasciare pericolose quelle costose.
- Per API autenticate, considera cliente o API key insieme ai segnali di rete. Attaccanti distribuiti possono usare molti indirizzi IP.

Non esiste una soglia universalmente sicura. Osserva i picchi legittimi, introduci limiti con cautela e misura sia il sollievo per il backend sia le richieste valide rifiutate.

## 5. Usa la cache quando la condivisione è sicura

Memorizza immagini pubbliche e file statici in cache, così le richieste ripetute possono essere servite senza raggiungere l'origin. Nel negozio, questo riduce le risorse spese per servire ripetutamente la stessa immagine.

Carrelli personali e pagine account richiedono regole diverse, perché gli utenti non devono ricevere dati altrui. Controlla chiavi di cache e condizioni di bypass prima di memorizzare risposte dinamiche. La cache riduce il lavoro ripetuto; non rende automaticamente sicuri login o checkout sotto carico.

## 6. Usa le verifiche di emergenza con un piano di ripristino

La modalità Under Attack può introdurre una verifica del browser durante un incidente. Valutala sulle rotte browser interessate e rimuovi la misura temporanea quando opportuno. Client automatici e webhook di pagamento potrebbero non completare verifiche browser: le loro rotte richiedono autenticazione adatta e controlli mirati.

Infine, verifica che i clienti reali possano navigare e completare il checkout monitorando latenza dell'origin, CPU, pressione sul database ed errori. Se un attacco di rete diretto satura la connessione dell'origin, coordina la protezione a monte con il provider di hosting. L'obiettivo è mantenere un servizio utile, non promettere che nessun attacco provocherà disservizi.

1. Inserisci Cloudflare nel percorso delle richieste

2. Chiudi l'accesso diretto all'origin

3. Filtra gli attacchi preservando i clienti reali

4. Proteggi separatamente le operazioni costose

5. Usa la cache quando la condivisione è sicura

6. Usa le verifiche di emergenza con un piano di ripristino

Domande correlate