En bref. Une règle Skip du WAF Cloudflare ne peut pas contourner Bot Fight Mode, car Bot Fight Mode est évalué en dehors du Ruleset Engine.

Définition : Une règle d’exclusion (skip rule) du pare-feu applicatif web (WAF) de Cloudflare laisse Bot Fight Mode actif. Bot Fight Mode s’exécute en dehors du moteur de règles de Cloudflare (Ruleset Engine), de sorte que les actions Skip, Bypass et Allow des règles personnalisées du WAF n’ont aucun effet sur ce produit.

Points clés

Cloudflare présente Bot Fight Mode comme un produit simple et gratuit qui détecte et atténue le trafic des robots sur un domaine. Documentation de Bot Fight Mode
Une règle d’exclusion du WAF est une règle personnalisée qui utilise l’action Skip pour contourner certaines fonctions de sécurité pour les requêtes correspondantes. Guide de l’action Skip de Cloudflare
Les cibles de l’action Skip documentées par Cloudflare comprennent les règles de limitation de débit, les règles gérées (Managed Rules) et Super Bot Fight Mode. Bot Fight Mode en est exclu. Options disponibles pour l’action Skip

Pourquoi la règle d’exclusion ne fonctionne-t-elle pas ?

La documentation de Bot Fight Mode de Cloudflare situe ce produit en dehors de la configuration des règles personnalisées du WAF. La limitation qu’elle décrit concernant les règles précise que les règles personnalisées du WAF et les Page Rules laissent Bot Fight Mode actif. La raison tient à l’architecture : Bot Fight Mode est évalué dans une chaîne de traitement distincte du Ruleset Engine, sur laquelle les actions Skip, Bypass et Allow n’ont aucun effet.

La même documentation décrit Bot Fight Mode comme protégeant des domaines entiers, sans restriction à certains points de terminaison. Une expression portant sur le chemin dans une règle personnalisée peut identifier les requêtes auxquelles appliquer une action du WAF, tandis que Bot Fight Mode continue d’évaluer la requête dans sa propre chaîne de traitement.

Que peut contourner une action Skip du WAF ?

Le guide de l’action Skip de Cloudflare définit une règle d’exclusion comme une règle personnalisée configurée avec l’action Skip. Il précise que Skip peut s’appliquer aux règles de limitation de débit, aux Managed Rules, aux règles de Super Bot Fight Mode et à plusieurs autres produits de sécurité. Le guide exclut Bot Fight Mode des cibles de l’action Skip dans l’offre Free.

Les noms des produits pris en charge peuvent être représentés par la sélection pertinente pour cette question :

Skip
  Rate limiting rules
  Managed Rules
  Super Bot Fight Mode

La sélection de Super Bot Fight Mode dans cette liste s’applique à la phase de ce produit dans le Ruleset Engine. Cette sélection cible Super Bot Fight Mode, et l’ajout d’une seconde règle correspondant au même trafic ne change pas le périmètre du produit concerné.

En quoi les chaînes d’évaluation de Cloudflare diffèrent-elles ?

La documentation de Cloudflare sur l’interopérabilité des fonctions de sécurité indique que les fonctions reposant sur le Ruleset Engine s’exécutent selon une succession fixe de phases. Cette séquence place les règles personnalisées dans http_request_firewall_custom, puis les règles de limitation de débit, les Managed Rules et Super Bot Fight Mode. Une action terminale comme Block ou Managed Challenge arrête le traitement d’une requête avant les phases suivantes, tandis qu’une action Skip peut contourner les phases ultérieures qu’elle prend en charge.

La même documentation situe Bot Fight Mode en dehors de ce système de phases. Elle précise que Bot Fight Mode s’exécute en dehors du Ruleset Engine et que les règles personnalisées ne peuvent pas le contourner. C’est pourquoi une action Skip peut agir sur Super Bot Fight Mode alors que cette même action n’a aucun effet sur Bot Fight Mode.

Quelles exceptions sont possibles ?

La documentation de Bot Fight Mode de Cloudflare oriente les exploitants qui ont besoin d’exceptions pour un trafic particulier, comme leurs propres clients d’API ou leurs outils de supervision, vers Super Bot Fight Mode. Cloudflare indique que Super Bot Fight Mode s’exécute sur le Ruleset Engine et prend en charge les règles Skip. Cloudflare présente le choix de cette offre comme une alternative à une exception du WAF.

La même documentation de Bot Fight Mode décrit une interaction distincte avec les règles IP Access : Bot Fight Mode peut encore se déclencher lorsque des règles IP Access existent, tandis qu’il reste inactif lorsqu’une règle IP Access correspond d’abord à la requête. Pour une requête déjà soumise à un défi, Cloudflare affiche le libellé Bot Fight Mode dans le champ Service, sous Security > Analytics > Events.

Termes associés

Questions fréquentes

Une règle d’exclusion peut-elle s’appliquer à un seul chemin d’URL ?

Une règle personnalisée peut correspondre à des propriétés de la requête, comme un chemin, et son action Skip peut contourner les phases du Ruleset Engine prises en charge. Bot Fight Mode reste en dehors de ces cibles prises en charge.

L’exclusion de Super Bot Fight Mode exclut-elle aussi Bot Fight Mode ?

Cloudflare les décrit comme des produits distincts. Une action Skip peut contourner Super Bot Fight Mode, tandis que Bot Fight Mode possède sa propre chaîne d’évaluation et que les règles personnalisées le laissent actif.

Où puis-je vérifier quel produit est intervenu sur une requête ?

Ouvrez Security > Analytics, sélectionnez Events, puis consultez le champ Service. Cloudflare indique que les requêtes soumises à un défi par Bot Fight Mode portent le libellé de ce produit.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Une règle d’exclusion du WAF Cloudflare peut-elle contourner Bot Fight Mode ?