Cloudflare Free: что входит в HTTP DDoS-защиту сайта

Паспорт: что именно рассматриваем

Этот обзор помогает предварительно выбрать конфигурацию для публичного сайта с обычными HTTP/HTTPS-операциями. Для интернет-магазина или API такой выбор начинается с полезного действия клиента: получить страницу, войти, проверить заказ, вызвать разрешённый метод. Наличие записи в панели защиты само по себе не подтверждает, что действие завершится.

Артём Избаенков развивает Solar Space в ГК «Солар». В «Атласе защиты» ко всем поставщикам, включая Solar, применяются одинаковые критерии и ограничения доказательств. Это авторский документальный разбор, а не независимое лабораторное испытание или сертификация.

• HTTP DDoS Attack Protection
• Primary setup (Full)

Путь запроса и границы ответственности

Для Free документация называет full setup единственным вариантом DNS-подключения: Cloudflare становится авторитетным DNS-провайдером зоны. Это отличается от подключения отдельного имени через partial CNAME setup с сохранением прежнего авторитетного DNS. Нельзя переносить инструкцию платного варианта на выбранный тариф.

Внутри зоны важен статус самой записи. Proxied направляет HTTP/HTTPS через Cloudflare; DNS-only возвращает адрес origin и не проводит веб-запрос через этот прокси. Размещение DNS-зоны и включение HTTP-защиты для нужного имени — разные условия.

Это собственная схема по документации, не топология реального заказчика. DNS здесь определяет путь обращения, но не заменяет анализ HTTP-запроса. Работоспособность почты, проверочных записей и других сервисов при миграции нужно рассматривать отдельно. Переключение DNS-only также не является безусловно безопасным откатом: меняются путь и область защиты.

• Primary setup (Full)
• CNAME setup (Partial)
• Proxy status

Что включено и насколько точечно это настраивается

Документация HTTP ruleset подтверждает доступность на всех тарифах и постоянное включение набора правил. Правила обновляет Cloudflare; перечисление известных векторов описывает замысел продукта, а не измеренную способность сохранить конкретный магазин или API под любой нагрузкой.

Для Free описан один override: внутри него могут быть несколько настроек правил, но нельзя задать собственное выражение области действия. Он применяется ко всему входящему трафику. Это не «только одно защитное правило» и не возможность независимо настроить множество адресных исключений для разных путей. Изменять можно действие и чувствительность в предусмотренных пределах; некоторые правила доступны только для чтения.

Инструкция для Enterprise предлагает сначала наблюдать действия в Log, но отдельно ограничивает этот режим Enterprise-клиентами. Поэтому переносить её на Free как готовый режим теневой проверки нельзя. Перед реальным изменением нужна своя согласованная проверка полезных сценариев, условия остановки и возврата; в этом обзоре изменения не выполнялись.

• HTTP DDoS Attack Protection
• Configure in the dashboard
• Get started

Четырнадцать общих критериев

Метки относятся к утверждениям, а не к качеству бренда. «Документировано» означает описание в источнике; «заявлено» сохраняет атрибуцию поставщику; «нет данных» не означает отсутствие функции. Пользовательское состояние и эффективность этой конфигурации не наблюдались и не измерялись.

• Primary setup (Full)
• Proxy status
• Network ports
• Connection limits
• Configure in the dashboard
• Analytics
• Contacting Cloudflare Support
• Scale predictably Build without boundaries
• HTTP DDoS Attack Protection
• Cloudflare Self-Serve Subscription Agreement
• Russian Internet users are unable to access the open Internet

Семь специальных вопросов к HTTP-защите

Сетевая защита префикса и доступность веб-операции требуют разных проверок. Здесь применены семь специальных вопросов L7 из методологии версии 1.0. Одинаковая таблица понадобится и второму обзору этой когорты; сравнение возможно только после подтверждения сопоставимых конфигураций.

• Primary setup (Full)
• Proxy status
• Universal SSL
• Full (strict)
• Network ports
• Connection limits
• HTTP DDoS Attack Protection
• Configure in the dashboard
• Analytics

TLS и полезный клиент важнее галочки в панели

Для HTTPS-сценария нужно отдельно проверять TLS на участках клиент—Cloudflare и Cloudflare—origin. Universal SSL выдаётся для активной зоны и в full setup покрывает корневое имя и поддомены первого уровня. Для origin режим Full (strict) проверяет срок действия сертификата, доверенный центр или Origin CA и соответствие имени. В обычном Full проверка сертификата origin отсутствует. Сертификат перед посетителем не подтверждает корректность второго участка.

Документированное ограничение Free Universal SSL — поддержка SNI и ECDSA у клиента. Это повод проверить реальные браузеры, библиотеки и устройства своего сервиса, а не основание считать их совместимыми по умолчанию. Проверки этих клиентов здесь не проводились.

В текущей странице Connection limits указаны Proxy Read Timeout 125 секунд, URL до 16 KB и суммарные заголовки запроса и ответа до 128 KB каждый. Увеличение первого лимита описано для Enterprise. Это пределы проксирования, а не скорость отражения атаки, гарантированная длительность бизнес-операции или измеренная задержка. Размеры загрузок и особые протоколы проверяются по отдельной применимой спецификации.

Если в пути обработки появляется Challenge Page, клиент может получить HTML вместо ожидаемого не-HTML ответа: документация прямо отмечает проблему AJAX/XHR. Такой риск надо рассмотреть для JSON API, мобильного приложения и полезной автоматизации. Здесь не утверждается, что каждый запрос Free обязательно получает challenge или что дополнительные антибот-продукты включены в выбранный предмет.

• Universal SSL
• Full (strict)
• Full
• Browser compatibility
• Connection limits
• Interstitial Challenge Pages

Выборка событий не заменяет картину доступности

Таблица DDoS analytics для Free указывает sampled logs, тогда как более высокие тарифы описаны иначе. Также документация допускает события без публичного идентификатора внутреннего DDoS-правила. Из этого нельзя вывести полноту журнала, долю ошибочных блокировок или число сохранённых пользовательских операций.

Для практического выбора заранее разделите четыре вопроса: что пришло к edge, какое действие применено, что дошло до origin и завершилась ли полезная операция. Ответы могут требовать разных наблюдений. Отсутствующая запись в выборке не доказывает отсутствие запроса; красивый график mitigated requests не является отчётом о работоспособности приложения.

Отдельно зафиксировано расхождение границ Adaptive: общая таблица допускает для Free только error-adaptive rules, а профильная страница связывает пакет HTTP Adaptive с Enterprise и Advanced DDoS Protection. HTTP-страница отдельно описывает правило ошибок origin на всех планах. Эти описания не объединены в обещание расширенного адаптивного пакета Free. Профилирование по странам, User-Agent и ML-возможности ему здесь не приписаны.

• Analytics
• Cloudflare DDoS Protection
• Adaptive DDoS Protection
• HTTP DDoS Attack Protection

Нулевая цена тарифа и стоимость эксплуатации

В публичном разделе Network & CDN тариф Free указан как $0 в месяц и предназначен поставщиком для некритичных личных проектов. В таблице для него не указан Uptime SLA. Маркетинговая формулировка unmetered DDoS не превращается в гарантированную полосу отдельного origin, неограниченный объём полезных операций или обязательство доступности вашего приложения.

Страница поддержки направляет Free к сообществу; стандартные обращения ограничены биллингом, аккаунтом и регистратором. Chat и emergency phone не входят в указанные возможности этого тарифа; SLA ответа для Free не обещан. Это документальные условия поддержки, а не результат обращения автора к поставщику.

Даже при базовой цене $0 остаются работа с DNS и TLS, содержание origin, мониторинг и собственный разбор инцидента. Полная смета, налоговый режим, условия конкретного договора и применимая оплата для организации из РФ не установлены. Доступность публичной документации из текущей среды не доказывает доступность услуги или разрешённость договора в нужной юрисдикции. Регион обслуживания и размещение журналов конкретной зоны также неизвестны.

Публичный Self-Serve Subscription Agreement (Last Updated 12.09.2025), пункт 2.2.1(h), ограничивает обработку или сбор данных личных либо корпоративных кредитных карт на веб-ресурсе с Free Services, если иное явно не разрешено Cloudflare письменно. Техническое открытие страницы магазина не подтверждает допустимость платёжного сценария. Нужны проверка применимого договора и фактического пути данных; юридический вывод о конкретной схеме оплаты здесь не делается.

В публикации от 26.06.2025 Cloudflare сообщил об ограничениях доступа к защищаемым сайтам со стороны российских интернет-провайдеров. Это датированное заявление поставщика о сетевой доступности, а не установленное состояние всех сетей на 23.10.2026 и не доказательство отказа самой DDoS-защиты. Доступность для нужных пользователей следует подтверждать отдельно; открывшаяся документация этого не доказывает.

• Scale predictably Build without boundaries
• Contacting Cloudflare Support
• Cloudflare DDoS Protection
• Cloudflare Self-Serve Subscription Agreement
• Russian Internet users are unable to access the open Internet

Карточка предварительного решения

Заполните её для одного сайта или API до выбора конфигурации. Это вопросы для владельца сервиса, не разрешение менять рабочую инфраструктуру или проводить нагрузку.

1. Какое полезное действие клиента должно завершаться и по какому признаку это видно?
2. Какие имена и операции входят в предмет; можно ли использовать full DNS setup без нарушения других сервисов?
3. Готовы ли оба участка TLS и совместимы ли реальные клиенты с выбранными сертификатами?
4. Укладываются ли протоколы, заголовки, длительности и загрузки в применимые лимиты?
5. Достаточен ли один общий override; что произойдёт с API и автоматизацией при выбранной реакции?
6. Хватает ли выборки событий и собственных наблюдений для разбора потери полезной операции?
7. Приемлемы ли поддержка, применимый договор, регион данных и эксплуатационная стоимость; нет ли в сценарии обработки или сбора данных кредитных карт, ограниченных условиями Free?
8. Кто согласует изменения, проверит результат и выполнит заранее подготовленный возврат?

Выбранный вариант может быть кандидатом, если допустимы DNS-подключение, его управляемость, наблюдаемость и поддержка. Если обязательны независимые политики для множества путей, иной способ включения или договорные гарантии, нужно искать подтверждённую конфигурацию под эти требования. Это критерий применимости Free, а не общий приговор Cloudflare.

• Cloudflare Self-Serve Subscription Agreement

Вывод и границы дальнейшего сравнения

Подтверждён конкретный документальный предмет: базовая HTTP DDoS-защита проксируемой зоны на Free с ограниченной настройкой. Не подтверждены эффективность на вашем трафике, ошибочные ограничения, пропускная способность origin и доступность договора для РФ. Измеренных результатов и наблюдений кабинета здесь нет.

Сравнивать этот вариант с Prolexic Routed только по цене или размеру глобальной сети некорректно: в предыдущей карточке рассматривалась защита сетевой инфраструктуры через BGP/GRE. Для общей таблицы таких разных единиц действует NOT_COMPARABLE. Следующее сценарное сравнение возможно с другой подтверждённой HTTP-конфигурацией и одинаковым полезным сценарием.

Версия 1.1 сохраняет технический срез 21 октября 2026 года и добавляет прочитанные 23 октября общие Self-Serve условия и датированное сообщение поставщика о сетевой доступности в РФ. Это уточнение источников, а не новый тест или полная повторная проверка всех тарифных полей. Перед практическим выбором изменяемые условия требуют повторного чтения; дата и причина правок сохраняются в журнале карточки.