- Бесплатный тариф Cloudflare закрывает базовую защиту от ботов и накруток: Firewall-правила, Bot Fight Mode, SSL и фильтрацию по гео — без каких-либо платежей.
- Cloudflare работает как обратный proxy: скрывает реальный IP сервера и фильтрует трафик до того, как он дойдёт до хостинга.
- Bot Fight Mode — отдельный бесплатный переключатель именно против ботов и накруток, он дополняет, а не заменяет обычные Firewall-правила.
- Перед изменением правил делайте резервную копию конфигурации — в случае проблем сайт можно вернуть в исходное состояние за минуту через «Pause Cloudflare on Site».
Сайты сталкиваются с постоянной угрозой со стороны ботов и накруток, которые могут нанести ущерб как репутации, так и работоспособности веб-ресурса. Однако, благодаря сервису Cloudflare, даже сайты на бесплатном тарифе могут защитить себя от подобных атак. В этой статье мы рассмотрим шаги защиты с помощью Cloudflare, включая добавление сайта, правила фильтрации, Bot Fight Mode, работу с поддоменами и SSL, а также восстановление настроек в случае проблем.
Проверить безопасность своего сайта можно бесплатно: проверка сайта на безопасность онлайн.
Если помимо самостоятельной настройки Cloudflare нужен более глубокий разбор — например, пентест сайта или аудит уже действующей защиты, — этим занимается отдельная услуга информационной безопасности YuSMP: специалисты проверяют не только периметр на уровне CDN, но и код, конфигурацию сервера и данные.
Как работает Cloudflare: принцип защиты
Технически Cloudflare — это обратный proxy-сервер (reverse proxy), который встаёт между посетителями сайта и вашим хостингом. После подключения весь входящий трафик идёт сначала на серверы Cloudflare и только затем — если запрос прошёл проверки — на ваш сервер. Это даёт два эффекта сразу: реальный IP-адрес хостинга скрывается от посетителей (и от ботов, которые пытаются атаковать его напрямую), а подозрительный трафик — боты, накрутки счётчиков, DDoS-запросы — отсеивается ещё на стороне Cloudflare, не нагружая ваш сервер.
Именно поэтому бесплатный тариф закрывает базовые сценарии защиты: фильтрация идёт до сервера, а не на нём, так что даже слабый хостинг получает защиту уровня CDN-провайдера с собственной сетью из сотен точек присутствия.
Шаг 1: регистрация аккаунта и подключение сайта
- Регистрация аккаунта: Перейдите на официальный сайт и зарегистрируйтесь, следуя инструкциям.
- Добавление сайта: После регистрации, введите адрес сайта в поле для добавления нового веб-ресурса на панели управления.
- Выбор тарифного плана: Выберите бесплатный тарифный план.
- Обновление DNS: он предложит вам обновить настройки DNS для домена. Вам нужно будет указать Cloudflare как вашего нового хостинг-провайдера.
- Подтверждение: После обновления DNS подтвердите изменения на панели управления хостинга.
Шаг 2: правила Firewall и защита от ботов
- Открываем доступ хорошим ботам: В настройках, перейдите в раздел "Firewall" и создайте новое правило, разрешающее доступ для известных поисковых систем и других полезных ботов.
- Проверяем всех тех, кто пытается попасть через HTTP или через IPV6: Создайте правило, которое блокирует доступ для всех запросов через HTTP и IPV6, за исключением избранных.
- Проверяем прямые заходы и обращения с протоколом ниже HTTP/2: Настройте на блокировку прямых заходов и обращений с протоколом ниже HTTP/2, так как это может указывать на нежелательную активность.
- Открываем доступ только конкретным странам: Создайте правило, которое разрешает доступ только из выбранных стран, и блокирует все запросы из других регионов.
Bot Fight Mode: бесплатная защита именно от ботов и накруток
Firewall-правила выше настраиваются вручную и требуют, чтобы вы сами описали признаки нежелательного трафика. Bot Fight Mode работает иначе: это отдельный переключатель в разделе «Security → Bots», который бесплатно включает автоматическое распознавание известных ботов, скриптов и автоматизированных инструментов по их поведению и техническим признакам запроса — без ручной настройки правил. Именно эта функция ближе всего к формулировке «защита от ботов и накруток» из заголовка статьи: она блокирует или отправляет на проверку (Managed Challenge) трафик, который выглядит как накрутка счётчиков, парсинг или брутфорс, а не как обычный посетитель.
На платных тарифах Bot Fight Mode заменяется на более продвинутые режимы с ML-скорингом и подробной аналитикой по каждому запросу. Разница в возможностях — в таблице.
| Режим защиты от ботов | Тариф | Как работает |
|---|---|---|
| Bot Fight Mode | Free (бесплатно) | Автоматически распознаёт известных ботов и скрипты по эвристикам, блокирует или отправляет на Managed Challenge |
| Super Bot Fight Mode | Pro / Business | Добавляет JS-детекцию, отдельные правила для «хороших» и «плохих» ботов, аналитику по категориям трафика |
| Bot Management | Enterprise | ML-скоринг каждого запроса, кастомные модели под конкретный сайт, интеграция с SIEM |
Шаг 3: DNS для поддоменов и активация SSL
- Добавление поддоменов: Перейдите в раздел "DNS" и добавьте необходимые записи DNS для поддоменов.
- Активация SSL: предоставляется бесплатный SSL-сертификат. Включите SSL на панели управления и убедитесь, что все запросы защищены шифрованием.
Шаг 4: резервное копирование конфигурации и откат
- Резервное копирование конфигурации: Перед внесением каких-либо значительных изменений рекомендуется сделать резервную копию текущей конфигурации.
- Откат: В случае возникновения сложностей или нежелательных последствий после внесения изменений, вы можете откатиться к предыдущей конфигурации, восстановив резервную копию.
Правила фильтрации выполняются в порядке, определенном пользователем. Это значит, что порядок их размещения в списке имеет значение. Правила выполняются в том порядке, в котором они указаны на вашем аккаунте. Если запрос соответствует нескольким, применяются действия первого совпадающего правила в списке и игнорирует остальные.
Работа с поддоменами и SSL
Предоставляются удобный менеджмент поддоменами и SSL-сертификатами через свою панель управления. При добавлении веб в Cloudflare, все существующие поддомены автоматически передаются на обработку. Вы можете добавить дополнительные поддомены и настроить для них соответствующие DNS-записи.
Что касается SSL, есть бесплатные SSL-сертификаты для всех сайтов на платформе. После добавления в Cloudflare, SSL активируется автоматически. Вы можете выбрать уровень защиты (Flexible, Full, Full (Strict)) и выполнить дополнительные установки SSL через панель управления.
| Режим SSL/TLS | Как шифрует | Когда использовать |
|---|---|---|
| Flexible | Только между браузером и Cloudflare; от Cloudflare до сервера — по HTTP | Временное решение, если на сервере ещё нет своего SSL-сертификата |
| Full | Весь путь до сервера зашифрован, но валидность сертификата на сервере не проверяется | На сервере установлен любой сертификат, включая самоподписанный |
| Full (Strict) | Весь путь зашифрован, сертификат на сервере проверяется на валидность и срок действия | Рекомендуемый режим при установленном доверенном сертификате (Let's Encrypt или коммерческом) |
Мониторинг: как отследить накрутки и ботовый трафик
Включённые правила не работают сами по себе «в фоне» — их эффективность нужно периодически проверять по реальным данным. В разделе «Analytics & Logs → Traffic» видно распределение запросов по странам, ASN (провайдерам) и типу клиента; резкий всплеск запросов из одной страны или сети, не совпадающий с ростом реальных заказов и заявок, — типичный признак накрутки счётчиков или скликивания рекламы. В разделе «Security → Events» отдельно видно, какие запросы Firewall и Bot Fight Mode уже заблокировали или отправили на Managed Challenge, с указанием правила-источника — это позволяет быстро понять, ловит ли текущая настройка реальные накрутки или пропускает их.
Оплата Cloudflare из России в 2026 году
Отдельный вопрос, который часто останавливает от подключения, — как платить за Cloudflare из России. На бесплатном тарифе он не встаёт вовсе: Free-план, который описан в этой статье (Firewall-правила, Bot Fight Mode, SSL, DNS), не требует оплаты и банковской карты для активации — им можно пользоваться неограниченно долго. Платёжные сложности возникают только при переходе на платные тарифы (Pro, Business) или подписку WARP+, и для сайта, которому нужна базовая защита от ботов и накруток, апгрейд чаще всего не обязателен.
Восстановление настроек в случае проблем
Если что-то пошло не так в процессе регулировки или использования сервиса, есть несколько способов вернуть все к исходным установкам:
- Использование Cloudflare Analytics: инструменты аналитики из раздела «Traffic» и «Events» помогают увидеть, какое именно правило заблокировало легитимный трафик или, наоборот, пропустило накрутку — подробнее в разделе про мониторинг выше.
- Пересмотр фильтрации: Если после внесения изменений в правила фильтрации произошли трудности с доступом к сайту или его работой, пересмотрите и пересортируйте правила в соответствии с приоритетами. Может быть, некоторые блокируют необходимые запросы, поэтому их следует изменить или временно отключить.
- Проверка настроек SSL: Если возникли сложности с SSL-соединением (например, сайт не загружается или появляется предупреждение о небезопасном соединении), пересмотрите адаптацию SSL в панели. Проверьте правильность выбранного уровня защиты (Flexible, Full, Full (Strict)) и соответствие SSL-сертификата вашему домену.
- Журнал изменений: раздел «Audit Log» фиксирует, кто и когда менял правила Firewall, DNS-записи и настройки SSL — по нему проще найти, какое именно изменение вызвало проблему, прежде чем откатывать его вручную.
- Восстановление DNS-записей: Если вы внесли изменения в DNS-записи и хотите вернуть их, просто отредактируйте соответствующие записи в панели.
- Быстрое отключение без правки DNS: кнопка «Pause Cloudflare on Site» на вкладке Overview моментально прекращает проксирование трафика через Cloudflare, не трогая DNS-записи, — самый быстрый способ проверить, вызвана ли проблема настройками Cloudflare или чем-то на стороне сервера.
- Обращение в службу поддержки: Если проблема требует специализированного вмешательства, вы всегда можете обратиться в службу поддержки. Они предоставляют помощь по любым вопросам, связанным с использованием и настройкой.
Следует помнить, что при внесении изменений всегда полезно делать резервные копии настроек или записей DNS, чтобы в случае проблем можно было легко восстановить предыдущее состояние.
Частые вопросы о защите сайта в Cloudflare
Хватит ли бесплатного тарифа Cloudflare, чтобы защититься от накруток?
Для большинства сайтов — да. Bot Fight Mode и Firewall-правила на Free-плане блокируют основную массу автоматических накруток счётчиков и переходов. Платный апгрейд (Super Bot Fight Mode, Bot Management) имеет смысл, только если накрутки идут через продвинутых ботов, которые имитируют поведение человека, или если нужна детальная аналитика по каждому заблокированному запросу.
Чем Bot Fight Mode отличается от обычных Firewall-правил?
Firewall-правила вы настраиваете вручную по конкретным признакам (страна, протокол, User-Agent). Bot Fight Mode — готовый автоматический механизм, который сам распознаёт известных ботов и скрипты по эвристикам Cloudflare, без ручной настройки условий. Их можно и нужно использовать вместе.
Нужно ли платить за Cloudflare, если сайт небольшой?
Нет. Free-план — это не триал: ограничений по сроку использования у него нет, а описанных в статье функций (Firewall, Bot Fight Mode, SSL, DNS) достаточно для защиты небольшого и среднего сайта. Оплата понадобится только при переходе на Pro/Business ради расширенной аналитики или снятия отдельных лимитов.
Какой режим SSL выбрать, если на сервере уже есть свой сертификат?
Full (Strict) — он проверяет валидность сертификата на сервере и защищает весь путь трафика от браузера до хостинга. Flexible стоит использовать только как временное решение, если на сервере пока нет собственного SSL-сертификата.
Как понять, что Firewall-правило заблокировало настоящего посетителя, а не бота?
Загляните в раздел «Security → Events»: там видно каждый заблокированный запрос с указанием правила-источника, IP и User-Agent. Если по логам блокируются запросы из ожидаемых стран с обычными браузерными User-Agent — правило слишком строгое, его стоит смягчить или добавить исключение.
Что делать, если после настройки Cloudflare сайт перестал открываться?
Быстрее всего — нажать «Pause Cloudflare on Site» на вкладке Overview: это мгновенно отключает проксирование без изменения DNS-записей и показывает, вызвана ли проблема настройками Cloudflare. Дальше нужно проверить последние изменения в Audit Log, пересмотреть Firewall-правила и режим SSL — вероятная причина обычно в одном из них.
Проверим безопасность вашего ПО
Пентест и аудит защищённости — закроем уязвимости до атакующих.
