← Решения Cloudflare по борьбе с ботами / bots / additional-configurations
Custom rules
Защита от ботов в Cloudflare работает через два взаимодополняющих механизма: встроенные настройки, которые задаются переключателями в Security Settings, а также Пользовательские правила WAF который вы пишете с использованием поля Bot Management. Понимание того, когда использовать каждый из подходов, помогает избежать создания дублирующих правил и упрощает настройку безопасности.
Следующие функции настраиваются с помощью переключателей и раскрывающихся списков в Security Settings. Они не требуют написания каких-либо выражений правил.
| Возможность | Что это делает | Доступность |
|---|---|---|
| Block AI bots | Блокирует AI-краулеров (GPTBot, ClaudeBot, Bytespider и других) с помощью автоматически обновляемого управляемого правила | Все тарифы |
| AI Labyrinth | Направляет несоответствующие требованиям AI-краулеры в лабиринт сгенерированного контента | Все тарифы |
| Managed robots.txt | Добавляет директивы запрета для AI-краулеров в начало вашего robots.txt |
Все тарифы |
| Super Bot Fight Mode > Definitely automated | Блокирует или применяет Challenge к трафику с Bot Score со значением 1 | Pro, Business, Enterprise |
| Super Bot Fight Mode > Likely automated | Блокирует или применяет Challenge к трафику с показателем бота 2-29 | Business, Enterprise |
| Проверенные боты | Управляемая категория ботов с высоким уровнем доверия (Googlebot, Bingbot и другие) | Pro, Business, Enterprise |
| Защита статических ресурсов | Распространяет действия против ботов на статические типы файлов | Pro, Business, Enterprise |
| Оптимизация для WordPress | Пропускает loopback-запросы WordPress через защиту от ботов | Pro, Business, Enterprise |
| JavaScript detections | Внедряет лёгкий скрипт для выявления клиентов, которые не могут выполнять JavaScript | Все тарифы (автоматически на Free) |
Настройки ботов обновляются автоматически по мере того, как Cloudflare выявляет новые сигнатуры ботов и AI-краулеров, тогда как пользовательские правила приходится обновлять вручную. Они не учитываются при подсчёте вашего лимиты пользовательских правил, и применять их единообразно по всему домену без риска ошибок в выражениях.
Варианты использования Custom rules
Custom rules полезны, когда вам нужны возможности, которых нет во встроенных настройках. Следующие сценарии требуют Пользовательские правила WAF с поля Bot Management. Поля Bot Management доступны клиентам с Bot Management подписку.
Защита по конкретным путям
Поскольку настройки Bot применяются ко всему трафику домена, для разных путей может потребоваться другой подход к обработке ботов с помощью настраиваемых правил, например более строгая защита для /login/ чем на /public/.
Пример
Блокируйте вероятно автоматизированный трафик только на конечной точке входа:
(cf.bot_management.score lt 30 and not cf.bot_management.verified_bot and http.request.uri.path eq "/login")Пользовательские пороговые значения оценки
Definitely automated и Likely automated параметры в Super Bot Fight Mode используют фиксированные группы показателей бота (1 и 2-29). Если нужен другой порог, например, применение Challenge ко всему трафику с показателем ниже 20, потребуется пользовательское правило.
Условная логика
Если вам нужно объединить показатель бота с другими полями запроса, такими как страна, ASN, путь URI, отпечаток JA3/JA4 или user agent, используйте пользовательские правила. Настройки ботов не поддерживают составные условия.
Пример
Применяйте проверку только к трафику из определённых ASN, который, вероятно, является автоматизированным:
(cf.bot_management.score lt 30 and not cf.bot_management.verified_bot and ip.src.asnum in {64496 65536})Пользовательские действия
Настройки ботов предлагают Block, Managed Challenge, а также Allow в качестве действий.
Если вам нужны другие действия, например Log (для тестирования правил перед их применением), Interactive Challenge, или Пропустить (чтобы обойти другие правила), нужны пользовательские правила.
Таргетинг по ID обнаружения
Чтобы реагировать на конкретные эвристические обнаружения ботов, такие как захват аккаунта или скрапинг шаблонов вам потребуются пользовательские правила с использованием cf.bot_management.detection_ids поле. Настройки ботов не отображают отдельные Detection ID.
Передача данных о ботах на исходный сервер
Чтобы отправлять оценки ботов, статус верифицированного бота или отпечатки JA3/JA4 на исходный сервер, используйте Transform Rules (включая Managed Transforms) или Snippets. Они не входят во встроенные настройки ботов.
Порядок выполнения
Custom rules выполняются до управляемых правил Super Bot Fight Mode. Если пользовательское правило применяет завершающее действие (например, Block или Managed Challenge), запрос не доходит до настроек ботов.
См. Совместимость функций безопасности, где это описано подробнее.