Regras WAF e Bot Fight Mode: proteja seu site na Cloudflare
A Cloudflare inclui no plano grátis 5 regras WAF personalizadas e o Bot Fight Mode. O que cada uma faz, quando usar e o erro que deixa visitantes sem acesso ao seu site.
Você abre sua análise em uma segunda-feira e vê 3.000 visitas novas na sua página de contato. Nenhuma escreveu pelo WhatsApp. Eram bots testando rotas, e seu site gastou recursos atendendo a eles enquanto seus clientes reais esperavam.
A Cloudflare oferece duas ferramentas para isso, e ambas já vêm incluídas no plano grátis.
O que são as regras personalizadas do WAF?
São filtros que você escreve para decidir o que fazer com cada visita: deixar passar, desafiar ou bloquear. Segundo a documentação da Cloudflare, cada regra tem uma expressão que descreve o tráfego e uma ação aplicada quando há correspondência. As regras são avaliadas em ordem, e uma ação Block interrompe a avaliação das seguintes.
Se o seu site ainda não está na Cloudflare, comece por o que o plano grátis inclui.
Quantas regras cada plano inclui?
O plano grátis inclui até 5 regras personalizadas por zona. A mesma documentação da Cloudflare detalha os limites de cada plano:
| Plano | Regras personalizadas | Regex |
|---|---|---|
| Free | 5 | Não |
| Pro | 20 | Não |
| Business | 100 | Sim |
| Enterprise | 1.000 | Sim |
Cinco regras bastam para um site institucional se você as escolher bem. As ações disponíveis incluem Block, Managed Challenge e Skip.
Quais regras vale criar primeiro?
As que protegem sua área de administração e barram o tráfego que não serve para você. Nos casos de uso, a Cloudflare lista exemplos como exigir endereços IP conhecidos na área de administração, desafiar bots nocivos, bloquear tráfego por país ou bloquear requisições pela pontuação de ataque.
Para um negócio com clientes na Colômbia, nos EUA e na Espanha, uma boa primeira regra é desafiar o acesso ao seu painel de administração fora dos seus locais habituais. A segunda pode ser desafiar bots nocivos nas rotas que mais recebem spam. Se você também usa formulários, combine isso com o Cloudflare Turnstile.
Erro comum: usar a ação Block em uma regra de país sem conferir seus dados. Se um cliente viaja ou compra desse país, ele fica de fora e você não percebe. Comece com Managed Challenge e passe para Block só quando confirmar que o tráfego não é seu.
O que é o Bot Fight Mode e em que ele é diferente?
É um recurso gratuito da Cloudflare que detecta tráfego com padrões de bots conhecidos e lhes impõe desafios caros em recursos. Segundo a documentação do Bot Fight Mode, ele protege todo o domínio, sem se limitar a certas rotas, e não pode ser ajustado com regras personalizadas do WAF: as ações Skip, Bypass e Allow não têm efeito sobre ele.
Para ativá-lo, entre no painel, abra Security Settings, filtre por Bot traffic e ligue o Bot fight mode. A Cloudflare avisa que ele pode desafiar tráfego de API ou de apps móveis. Se você tem integrações próprias, como um webhook que conecta seu CRM, teste-as depois de ativá-lo.
Como testo uma regra sem perder clientes?
Comece com a ação Managed Challenge e revise o tráfego por alguns dias. Um visitante real passa pelo desafio e segue navegando, enquanto um bot costuma ficar preso. Anote quantas requisições caem em cada regra e compare com suas conversas de WhatsApp desses mesmos dias: se o número de clientes não cai, a regra está bem ajustada.
E as regras gerenciadas?
São conjuntos de regras que a Cloudflare mantém para você contra ataques conhecidos. A documentação das regras gerenciadas indica que o Free Managed Ruleset está disponível em todos os planos da Cloudflare. Você não precisa escrevê-las: seu trabalho é conferir que continuem ativas e não entrem em conflito com suas próprias regras.
Se o que preocupa você é quais bots de IA entram para ler seu conteúdo, isso é controlado por outro arquivo: veja quais bots de IA permitir e quais bloquear no robots.txt.
Em resumo
Aquelas 3.000 visitas fantasmas não se resolvem com pânico, e sim com uma ou duas regras bem pensadas. Ative o Bot Fight Mode, crie suas primeiras regras com Managed Challenge e revise o tráfego antes de passar para Block. Se preferir que alguém configure por você, conheça nosso serviço de hospedagem e domínios.
Perguntas frequentes
O WAF da Cloudflare é grátis?
Em parte. Segundo a Cloudflare, o plano grátis permite até 5 regras personalizadas por zona e o Free Managed Ruleset está disponível em todos os planos.
Qual é a diferença entre uma regra personalizada e o Bot Fight Mode?
A regra personalizada atua só onde você define. O Bot Fight Mode protege todo o domínio, não pode ser ajustado com regras WAF e não admite exceções.
Posso bloquear países inteiros no plano grátis?
Sim, a Cloudflare inclui como caso de uso bloquear tráfego por país com regras personalizadas. Faça isso só se nenhum cliente seu viaja ou compra de lá.
O Bot Fight Mode pode afetar minha API ou meu app?
Sim. A Cloudflare avisa que ele pode desafiar o tráfego de API ou de apps móveis e, para exceções, recomenda o Super Bot Fight Mode.
Qual ação devo usar primeiro em uma regra nova?
Managed Challenge. Um cliente real consegue passar pelo desafio, enquanto um bloqueio direto o deixa de fora sem aviso.
Não fique só na teoria: aplique no seu negócio
Implementamos hospedagem e domínios de ponta a ponta, com a sua operação real. A primeira conversa não tem custo.
