تقدم هذه المقالة قواعد عملية كبداية لتحسين حماية الموقع بدون حظر العملاء الشرعيين.
نظرة عامة
تسمح Cloudflare WAF Custom Rules بحظر أو تحدي أو استثناء الزيارات بناءً على شروط الطلب. أما Managed Rules فتوفر حماية جاهزة ضد الهجمات الشائعة. ابدأ بقواعد منخفضة المخاطر، راقب Security Events، ثم شدّد الإعدادات تدريجياً.
الخطوات الموصى بها
- فعّل Managed Rules المناسبة لتقنية الموقع، مثل قواعد WordPress لمواقع WordPress.
- أضف Managed Challenge لمسارات الدخول الحساسة مثل
/wp-login.phpأو/adminأو/administrator. - قيّد مسارات الإدارة حسب الدولة أو عناوين IP موثوقة فقط إذا كان ذلك مناسباً لطبيعة العمل.
- استخدم Rate Limiting لصفحات الدخول أو البحث أو الدفع أو API عند توفره.
- احظر الزيارات غير المرغوبة الواضحة بعد مراجعة السجلات.
- أنشئ قواعد Skip فقط لحالات false positive مع توثيق السبب.
- راجع Cloudflare Security Events بعد كل تغيير في القواعد.
أخطاء شائعة يجب تجنبها
- حظر دول كاملة بدون موافقة تجارية واضحة.
- استخدام Block بينما Managed Challenge أكثر أماناً.
- استثناء كل ميزات WAF لموقع كامل بسبب مشكلة في مسار واحد.
- عدم اختبار الدخول والدفع وواجهات API بعد تعديل القواعد.
نشر المقالة:
