En bref. JavaScript Detections ne peut pas être désactivé tant que Bot Fight Mode de Cloudflare est activé.

Définition : Cloudflare active automatiquement JavaScript Detections pour les clients de Bot Fight Mode, et ce réglage ne peut pas être désactivé tant que Bot Fight Mode est activé. Cette fonctionnalité ajoute un script invisible côté client aux réponses des pages HTML et enregistre son résultat dans le cookie cf_clearance.

Points clés

Dans sa documentation sur Bot Fight Mode, Cloudflare présente ce produit gratuit comme un moyen de détecter et d’atténuer le trafic des robots sur un domaine.
La même documentation indique que JavaScript Detections est automatiquement activé pour les clients de Bot Fight Mode.
La documentation de référence de JavaScript Detections précise que le script est injecté pour les pages HTML ou les consultations de pages, tandis que les appels AJAX, le trafic des API et celui des applications mobiles ne sont pas affectés.
Cette documentation indique que la détection a une durée de validité de 15 minutes et utilise des chemins commençant par /cdn-cgi/challenge-platform/.

Que se passe-t-il lorsque Bot Fight Mode est activé ?

Bot Fight Mode et Super Bot Fight Mode utilisent la technologie sur laquelle repose Bot Management de Cloudflare. Selon Cloudflare, ces deux produits protègent des domaines entiers sans restriction de points de terminaison (endpoints), et les règles WAF personnalisées ne permettent aucune personnalisation, aucun ajustement ni aucune reconfiguration. La page consacrée à Bot Fight Mode précise également que ce produit fonctionne en dehors du Ruleset Engine : les règles WAF personnalisées et les Page Rules ne permettent donc ni de le contourner ni d’en ignorer l’exécution.

JavaScript Detections est un type de vérification (challenge) distinct de Challenge Pages et de Turnstile. Cloudflare le décrit comme un extrait de code JavaScript léger et invisible. Il est injecté uniquement en réponse aux requêtes de pages HTML ou de consultation de pages, à l’exclusion des appels AJAX. Après l’injection, le navigateur exécute le code et Cloudflare émet un cookie cf_clearance. Le résultat attribue la valeur true ou false au champ cf.bot_management.js_detection.passed.

Ce réglage automatique diffère de l’API JavaScript Detections. Cloudflare présente cette API comme un moyen de choisir des pages HTML précises et d’appeler window.cloudflare.jsd.executeOnce. Sa documentation déconseille de combiner l’activation à l’échelle de la zone avec l’injection manuelle. Cette procédure sélective au moyen de l’API est décrite dans la documentation de JavaScript Detections et permet un contrôle par page avec les offres compatibles.

Que doit autoriser une CSP ?

Une politique de sécurité du contenu (Content Security Policy, ou CSP) est une politique HTTP qui définit les sources qu’un navigateur peut utiliser pour les scripts et les autres ressources. La documentation de Bot Fight Mode de Cloudflare exige que les pages dotées d’une CSP autorisent le chemin de Challenge Platform et les scripts servis depuis le domaine d’origine.

/cdn-cgi/challenge-platform/
script-src self

Lorsqu’une CSP utilise des nonces sur les balises de script, Cloudflare indique lire le nonce dans l’en-tête CSP de la réponse et ajouter des nonces correspondants aux scripts injectés. En l’absence de nonce dans la politique, Cloudflare décrit une erreur dans la console lorsque l’exécution du code intégré à la page est bloquée et que JavaScript Detections est activé. La même documentation déconseille unsafe-inline et recommande les nonces CSP. JavaScript Detections n’est pas pris en charge lorsque le nonce est défini au moyen d’une balise <meta>.

Que vérifier après l’activation ?

Examiner l’en-tête CSP d’une réponse HTML et vérifier que le chemin de Challenge Platform est autorisé. Charger ensuite une page dans un navigateur et rechercher, dans la réponse ou le code source de la page, un chemin de script commençant par /cdn-cgi/challenge-platform/. Cloudflare indique que l’exécution du script est différée après le chargement de la page et utilise un fil d’exécution distinct lorsque cela est possible.

Le résultat de la détection laisse l’application des mesures contre les robots à une règle WAF personnalisée. La documentation de référence de JavaScript Detections de Cloudflare précise qu’une règle WAF personnalisée utilisant cf.bot_management.js_detection.passed est nécessaire pour bloquer une requête dont la vérification échoue ou lui imposer une vérification supplémentaire. Elle préconise d’appliquer cette règle après la première requête de l’utilisateur et recommande l’action Managed Challenge, car les problèmes de réseau, les bloqueurs de publicités, la désactivation de JavaScript et les applications mobiles natives peuvent affecter le résultat.

Termes associés

Questions fréquentes

Puis-je désactiver uniquement JavaScript Detections ?

Non. Lorsque Bot Fight Mode est activé, Cloudflare indique que JavaScript Detections est automatique et ne peut pas être désactivé. L’API distincte permet de limiter l’injection à certaines pages, mais Cloudflare décrit cette procédure pour les clients qui peuvent désactiver le réglage dans le tableau de bord.

L’échec d’une vérification JavaScript Detections bloque-t-il automatiquement une requête ?

Non. Selon Cloudflare, un résultat d’échec nécessite une règle WAF personnalisée pour qu’une requête soit bloquée ou soumise à une vérification supplémentaire. Le champ documenté est cf.bot_management.js_detection.passed.

Que se passe-t-il si mon site utilise un nonce CSP dans une balise meta ?

Cloudflare indique qu’un nonce défini au moyen d’une balise <meta> n’est pas pris en charge par JavaScript Detections. La méthode prise en charge décrite dans la documentation consiste à placer le nonce dans l’en-tête CSP de la réponse.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Peut-on désactiver JavaScript Detections lorsque Bot Fight Mode de Cloudflare est activé ?