Como configurar Cloudflare para proteger um site contra DDoS?

Question

IT Interview Practice · Accepted Answer

**Cloudflare protege melhor quando as requisições passam por ele e a aplicação suporta o tráfego restante.** Ativar uma configuração não protege todos os caminhos até o servidor.

Imagine uma loja online. Atacantes podem inundar imagens de produtos, chamar repetidamente uma busca cara ou acessar diretamente o servidor. Cada ação consome recursos diferentes, exigindo várias camadas.

## 1. Coloque Cloudflare no caminho da requisição

Ative o status proxied nos registros DNS compatíveis do site. Os visitantes chegam ao Cloudflare antes do origin, o servidor que realmente executa o site. Um registro DNS-only resolve o nome, mas não encaminha o tráfego HTTP por essa proteção.

```text
Browser -> Cloudflare -> Origin -> Database
```

Essa é a base: filtrar no Cloudflare só ajuda requisições que chegam até ele. Verifique todos os hostnames públicos da loja, incluindo a API, não apenas o domínio principal.

## 2. Feche o acesso direto ao origin

Se atacantes ainda alcançam o origin diretamente, podem contornar a filtragem. Restrinja a entrada web pública aos intervalos IP apropriados do Cloudflare e mantenha-os atualizados. Como alternativa, avalie Cloudflare Tunnel, que conecta para fora e pode eliminar portas web públicas de entrada.

Mantenha administração em um caminho protegido separado e bancos fora da internet pública. Teste acesso normal pelo Cloudflare e rejeição do acesso direto. Esconder o IP não basta. Veja [proteção do origin](https://developers.cloudflare.com/fundamentals/security/protect-your-origin-server/).

## 3. Filtre ataques preservando clientes reais

Revise a proteção DDoS gerenciada e os controles do seu plano. Adicione regras WAF adequadas: o WAF examina padrões suspeitos nas requisições HTTP antes de encaminhá-las. Proteção DDoS e WAF tratam problemas parcialmente sobrepostos, mas diferentes; nenhum comprova que toda requisição aceita é barata para a aplicação.

Comece com regras explicáveis, examine o tráfego afetado e ajuste pontualmente se clientes legítimos forem bloqueados. Muitos bloqueios não são, por si só, uma métrica de sucesso. Consulte a [configuração e o ajuste de DDoS](https://developers.cloudflare.com/ddos-protection/get-started/).

## 4. Proteja operações caras separadamente

Uma imagem em cache geralmente custa muito menos ao origin que uma busca que varre muitos registros. Aplique limites de taxa aos endpoints caros com base no uso normal e na capacidade da dependência.

- Para login ou OTP, combine limites na borda com limites por conta ou destino na aplicação. Um IP pode representar muitos usuários reais.
- Para buscas e relatórios, limite o trabalho iniciado por requisição; controlar apenas a quantidade pode deixar requisições caras perigosas.
- Para APIs autenticadas, considere cliente ou chave API além dos sinais de rede. Atacantes distribuídos podem usar muitos IPs.

Não há limite universalmente seguro. Observe picos legítimos, introduza limites com cuidado e meça tanto o alívio do backend quanto as requisições válidas rejeitadas.

## 5. Use cache onde compartilhar é seguro

Cacheie imagens públicas e arquivos estáticos para atender repetições sem chegar ao origin. Na loja, isso reduz recursos gastos enviando repetidamente a mesma imagem.

Carrinhos pessoais e páginas de conta exigem regras diferentes, pois ninguém deve receber dados de outra pessoa. Revise chaves de cache e condições de bypass antes de cachear respostas dinâmicas. Cache reduz repetição; não torna login ou checkout automaticamente seguros sob carga.

## 6. Use desafios emergenciais com um plano de recuperação

Under Attack mode pode introduzir um desafio de navegador durante um incidente. Avalie-o nas rotas de navegador afetadas e remova a medida temporária quando apropriado. Clientes de máquina e webhooks de pagamento podem não concluir esses desafios; suas rotas precisam de autenticação adequada e controles direcionados.

Por fim, verifique se clientes reais navegam e concluem compras enquanto monitora latência do origin, CPU, pressão no banco e erros. Se um ataque direto de rede saturar a conexão do origin, coordene proteção upstream com a hospedagem. O objetivo é manter serviço útil, não prometer que nenhum ataque causará interrupção.

1. Coloque Cloudflare no caminho da requisição

2. Feche o acesso direto ao origin

3. Filtre ataques preservando clientes reais

4. Proteja operações caras separadamente

5. Use cache onde compartilhar é seguro

6. Use desafios emergenciais com um plano de recuperação

Perguntas relacionadas