Cloudflare WAF עבור 1C-Bitrix: הגנה מבוטים ו-DDoS
אתר מסחר אלקטרוני על Bitrix מקבל כמה אלפי בקשות ביום ל-/bitrix/admin/ מבוטים שמנסים לפצח סיסמאות. במקביל, מתקפת DDoS מכוונת לדף החיפוש, ויוצרת עומס על מסד הנתונים. המודול המובנה של Bitrix security מטפל בחלק מהאיומים, אבל הוא מעבד בקשות רק לאחר שהן מגיעות ל-PHP. Cloudflare WAF מסנן תנועה לפני שהיא מגיעה לשרת שלך, חוסך עד 80% ממשאבי השרת ומפחית עלויות אירוח ב-30–50%. החיסכון הממוצע עומד על 40% מתקציב האירוח (לדוגמה, $200 לחודש לחנויות טיפוסיות). לצוות שלנו ניסיון מוכח של למעלה מ-10 שנים עם Bitrix ולמעלה מ-50 פרויקטים מוצלחים, מה שמבטיח הגנה חזקה. התחלת הגנה מ-$500 להגדרה בסיסית.
איומים שמנוטרלים על ידי Cloudflare WAF
WAF (חומת אש ליישומי אינטרנט) מנתח בקשות HTTP ברמת ה-CDN וחוסם בקשות זדוניות לפני שהן מגיעות לשרת. המודול המובנה של Bitrix set_real_ip_from 103.21.244.0/22; set_real_ip_from 103.22.200.0/22; set_real_ip_from 103.31.4.0/22; set_real_ip_from 104.16.0.0/13; # остальные диапазоны Cloudflare real_ip_header CF-Connecting-IP; פועל על PHP ויוצר עומס נוסף. Cloudflare WAF מהיר פי 10–20 כי הכללים מבוצעים בקצה הרשת. האיומים העיקריים שהוא מנטרל כוללים הזרקת SQL, סקריפטים בין-אתרים (XSS), מעבר נתיבים (Path Traversal), התקפות כוח גס ו-DDoS. כתוצאה מכך, עד 99% מהתנועה הזדונית נחסמת לפני הגעה לשרת, וזמן התגובה למשתמשים אמיתיים יורד ב-40%.
הגדרה שלב אחר שלב של Cloudflare WAF עבור 1C-Bitrix
העברת DNS ל-Cloudflare
- העבר את הדומיין לשרתי ה-NS של Cloudflare. 2. ברשומות DNS עבור A/AAAA/CNAME, הפעל את מצב "Proxied" (ענן כתום) — אחרת WAF לא יעבוד. 3. הגדר העברת IP אמיתי לשרת. דוגמת קונפיגורציית nginx:
דוגמת קונפיגורציית nginx עבור IP אמיתי
set_real_ip_from 103.21.244.0/22;
set_real_ip_from 103.22.200.0/22;
set_real_ip_from 103.31.4.0/22;
set_real_ip_from 104.16.0.0/13;
# остальные диапазоны Cloudflare
real_ip_header CF-Connecting-IP;רשימה עדכנית של טווחי ה-IP של Cloudflare: Cloudflare IPs
הפעלת כללים מנוהלים עם חריגים
בלוח הבקרה של Cloudflare → Security → WAF → Managed Rules, הפעל:
| ערכת כללים | מטרה | המלצה עבור Bitrix |
|---|---|---|
| Cloudflare Managed Ruleset | חסימת SQLi, XSS, Path Traversal | הפעל, והוסף חריגים עבור admin/ ו-upload.php |
| Cloudflare OWASP Core Ruleset | OWASP ModSecurity Core Rule Set | הפעל עם רגישות מופחתת עבור פאנל הניהול |
כללי חריגים:
-
/bitrix/admin/— דלג (אל תחיל WAF על פאנל הניהול) -
/bitrix/1c_exchange.php— דלג (סנכרון 1C) -
/bitrix/tools/upload.php— דלג (העלאת קבצים)
כללים מותאמים אישית להגנה על פאנל הניהול והחיפוש
הגדר כללים לחסימת כוח גס, סורקי פגיעויות והגנה על התחברות:
Блокировка брутфорса на admin:
(http.request.uri.path eq "/bitrix/admin/index.php" and http.request.method eq "POST" and not ip.src in {151.101.0.0/16 104.16.0.0/13}) → Rate Limiting: 5 POST/мин с IP, при превышении — Challenge
Блокировка сканеров уязвимостей:
(http.request.uri.path contains "/bitrix/admin/" and http.user_agent contains "sqlmap") or (http.request.uri.path eq "/login/" and http.request.method eq "POST" and cf.threat_score gt 10) → Block (403) или Managed Challengeהגבלת קצב עבור דפי חיפוש וסינון
דפי חיפוש וסינון (facet) הם מטרות נפוצות למתקפות DDoS בשכבת היישום. הגבל:
Expression: http.request.uri.path eq "/search/" and http.request.method eq "GET"
Rate: 30 requests per minute per IP
Action: Block for 1 hourעבור סינון הקטלוג, הגבל בנוסף את מספר פרמטרי Блокировка брутфорса на admin: (http.request.uri.path eq "/bitrix/admin/index.php" and http.request.method eq "POST" and not ip.src in {151.101.0.0/16 104.16.0.0/13}) → Rate Limiting: 5 POST/мин с IP, при превышении — Challenge Блокировка сканеров уязвимостей: (http.request.uri.path contains "/bitrix/admin/" and http.user_agent contains "sqlmap") or (http.request.uri.path eq "/login/" and http.request.method eq "POST" and cf.threat_score gt 10) → Block (403) или Managed Challenge ב-URL.
ניהול בוטים
ב-Cloudflare → Security → Bots, בחר:
| מצב | זמין בתוכנית | תכונות |
|---|---|---|
| Bot Fight Mode | חינם | הגנה בסיסית, חוסם בוטים ברורים |
| Super Bot Fight Mode | Pro+ | חוסם בוטים זדוניים, מאפשר בוטי חיפוש (Yandex, Google) |
ודא ב-Bot Analytics ש-Yandex.Bot ו-GoogleBot אינם מסומנים כתוצאות חיוביות שגויות.
ניטור וכיול
לאחר הפעלת הכללים, עקוב במשך 24–48 שעות במצב "Log" (ללא חסימה). Cloudflare מראה אילו כללים מופעלים ועל אילו בקשות לגיטימיות. לאחר הניתוח, עבור למצב "Block" או "Challenge".
למה חריגים לפאנל הניהול ולסנכרון 1C חשובים
Bitrix מייצר בקשות שבדומה לחתימתן נראות כמו התקפות — URLs ארוכים בפאנל הניהול, POST עם העלאת קבצים, או חבילות XML מ-1C. ללא חריגים, WAF יחסום פעולות ניהול לגיטימיות ויעצור את סנכרון 1C. כללי "Skip" עבור Expression: http.request.uri.path eq "/search/" and http.request.method eq "GET" Rate: 30 requests per minute per IP Action: Block for 1 hour ו-? פותרים בעיה זו לחלוטין מבלי לפגוע באבטחה.
איך Cloudflare WAF משפיע על הביצועים
WAF פועל ברמת ה-CDN, ולא מעמיס על השרת. שמירת תוכן סטטי במטמון והעברת בקשות לגיטימיות מאיצים את טעינת הדפים. הגבלת קצב עבור דפי חיפוש וסינון מונעת מתקפות DDoS בשכבת היישום. הגדרה נכונה מבטלת עיכובים למשתמשים אמיתיים. זמן התגובה יורד ב-40%, ועומס מסד הנתונים יורד ב-60% בזכות חסימת בקשות זדוניות לפני שהן מגיעות לשרת.
תוצרים ומה כלול
| שלב | פרטים |
|---|---|
| העברת DNS | העברת NS ל-Cloudflare, הגדרת IP אמיתי על השרת |
| כללים מנוהלים | הפעלת Cloudflare Managed Ruleset ו-OWASP Core Ruleset עם חריגים ל-Bitrix |
| כללים מותאמים אישית | חסימת כוח גס על פאנל הניהול, סורקי פגיעויות, הגנה על דף ההתחברות |
| הגבלת קצב | הגבלת בקשות לחיפוש ולסינון הקטלוג |
| ניהול בוטים | הפעלת Bot Fight Mode, אישור בוטי חיפוש |
| ניטור | ניתוח לוגים במצב Log, כיול כללים |
| תיעוד | תיאור השינויים, מדריך למנהל |
כל התוצרים מתועדים עם הוראות שלב אחר שלב. לוח זמנים: 3–5 ימים להגדרה בסיסית, 1–2 שבועות עם ניטור וכיול סופי של הכללים. עלות החל מ-$500. אנו מבטיחים מינימום תוצאות חיוביות שגויות ופעילות יציבה של Bitrix.
לייעוץ בנושא הגדרת Cloudflare WAF לפרויקט Bitrix שלך, צור קשר. נעריך את לוח הזמנים והעלות באופן אישי. הזמן הגנה היום — זה זול יותר מאשר אובדן נתונים מכוח גס או השבתת אתר עקב DDoS.