Jak používat režim „Under Attack“ od Cloudflare při DDoS útoku na web

Režim „Under Attack“ od Cloudflare je rychlé obranné opatření, které během DDoS útoku na váš web zobrazí návštěvníkům krátkou bezpečnostní kontrolu a tím filtruje boty a škodlivý provoz. Aktivací této funkce v administraci Cloudflare, v sekci Security, můžete během několika minut zpomalit masivní HTTP/HTTPS požadavky, ochránit skutečné uživatele a odlehčit zatížení serveru. Tento režim ale není trvalým řešením – měl by být používán společně s korektním nastavením DNS proxy, pravidly WAF, omezením rychlosti požadavků (rate limiting), konfigurací cache a zabezpečením původního serveru.

V tomto návodu si krok za krokem ukážeme, jak režim Under Attack zapnout, kdy jej použít, jaké doplňkové nastavení je vhodné a jak po ukončení útoku bezpečně režim vypnout. Cílem je poskytnout praktický kontrolní seznam, který pomůže rychle obnovit dostupnost vašeho webu během krizové situace.

Co je režim Under Attack od Cloudflare?

Režim Under Attack je nouzová bezpečnostní funkce poskytovaná Cloudflare. Po jeho aktivaci Cloudflare krátce ověří prohlížeče návštěvníků vašeho webu. Tento proces obvykle trvá jen několik sekund a brání automatizovaným botům, jednoduchým HTTP flood útokům nebo škodlivým klientům mimo prohlížeče v přímém zatěžování serveru.

Primárním cílem tohoto režimu je zmírnit útoky na aplikační vrstvě – tedy na úrovni Layer 7. Typickými příklady jsou tisíce GET požadavků za sekundu na homepage, intenzivní pokusy o přihlášení na WordPress, náročné dotazy na vyhledávací stránce nebo falešný provoz na nákupním košíku. Under Attack režim nabízí rychlou první obranu v takových případech.

Důležité je rozlišit, že režim filtruje webové požadavky – pokud je ale cílem útoku přímo IP adresa vašeho serveru, pokud máte veřejně dostupné služby mimo Cloudflare proxy nebo je útok na nižší síťové vrstvě (Layer 3/4), je nutné přijmout další opatření. Klíčové je mít DNS záznamy nastavené na Cloudflare proxy (oranžový mrak), skrýt originální IP adresu a zabezpečit hostingový server. Pro bezpečnou infrastrukturu doporučujeme prostudovat i články Služby bezpečného web hostingu a instalace SSL certifikátu.

Jak poznat DDoS útok: Co zkontrolovat před aktivací režimu Under Attack?

Ne každé zpomalení webu znamená DDoS útok. Podobné příznaky mohou způsobit chybný plugin, zablokovaná databáze, úloha cron s vysokým zatížením CPU nebo nesprávné nastavení cache. Proto je vhodné před zapnutím režimu Under Attack provést rychlou diagnostiku. Pokud ale server výrazně nestíhá a uživatelé dostávají chyby 502, 503 či 504 a v logu jsou neobvykle vysoké nároky na zdroje, není radno otálet.

Typické indikátory DDoS útoku

• Rychlý nárůst provozu o 5, 10 nebo i 50násobek běžné hodnoty.
• Stovky požadavků za sekundu směřujících na jednu konkrétní stránku či endpoint.
• Provoz z různých zemí se stejnými nebo podobnými user-agent hodnotami.
• Cílení na náročné URL jako jsou admin, login, vyhledávání či košík ve WordPressu, WooCommerce, OpenCartu či vlastním řešení.
• Vyčerpání CPU, RAM, PHP-FPM workerů nebo limitů připojení MySQL na serveru.
• Náhlý nárůst chyb 4xx a 5xx v Cloudflare Analytics.
• Skuteční uživatelé mají přístup přerušovaný, zatímco boty neustále posílají požadavky.

Například e-shop, který běžně přijímá 2 000 požadavků za minutu, přijme během 10 minut až 80 000 požadavků za minutu, přičemž 70 % z nich je směřováno na košík nebo vyhledávání. To je jasná známka Layer 7 útoku. V takovém případě je vhodné režim Under Attack aktivovat během prvních 5 minut, následně cíleně přidat pravidla WAF a omezení rychlosti.

Kdy použít režim Under Attack?

Režim Under Attack není určen k trvalému zapnutí, protože návštěvníkům zobrazuje krátkou čekací obrazovku, která může negativně ovlivnit uživatelský zážitek, zejména na stránkách zaměřených na konverze, platebních procesech nebo API službách. Nejlepší je režim aktivovat pouze během útoku a po jeho odeznění vrátit bezpečnostní nastavení do normálu.

Kdy je vhodné režim použít

• Pokud web zaznamenává intenzivní a abnormální HTTP/HTTPS požadavky.
• Server rychle vyčerpává zdroje a zvyšuje se počet chyb 502/503.
• Pokud Cloudflare WAF ještě není nastaven s vlastními pravidly a je potřeba rychlá ochrana.
• Pokud je bot provoz výrazně větší než skutečný uživatelský provoz.
• Útok cílí na webové stránky, formuláře, přihlašovací obrazovky nebo vyhledávací endpointy.

Kdy používat opatrně

• Při intenzivním provozu mobilních aplikací, platebních bran, webhooků nebo API.
• Pokud v době útoku probíhá kritické prohledávání webu roboty vyhledávačů.
• Pokud vaši korporátní uživatelé používají starší prohlížeče nebo přistupují z omezených sítí.
• Jestliže máte na webu poddomény, které nejsou za Cloudflare proxy.

V případě API aplikací režim Under Attack zasahuje celé domény, což může způsobit selhání některých integrací. Proto je vhodné pro API poddomény nastavit samostatná pravidla WAF, whitelist nebo jinou úroveň zabezpečení. Podrobný návod najdete v článku Průvodce bezpečností API a omezením rychlosti.

Jak zapnout režim Under Attack? Praktický návod krok za krokem

Následující kroky slouží jako rychlý kontrolní seznam pro okamžité nasazení v průběhu útoku. Uživatelské rozhraní Cloudflare se může časem mírně měnit, ale základní princip zůstává stejný: vyberete doménu, zvýšíte bezpečnostní úroveň a ověříte provoz přes Cloudflare.

1. Přihlaste se do svého Cloudflare účtu

Nejprve se přihlaste do Cloudflare a vyberte doménu, která je pod útokem. Pokud spravujete více domén, ujistěte se, že pracujete na té správné. Nesprávné zapnutí režimu může způsobit zbytečné zdržení a útok na skutečný cíl pokračuje.

2. Zkontrolujte, že DNS záznamy jsou nastaveny na proxy (oranžový mrak)

Pro efektivní fungování režimu musí veškerý webový provoz procházet přes Cloudflare. V DNS nastavení se ujistěte, že záznamy A, AAAA a CNAME mají aktivní proxy – oranžový mrak. Záznamy ve stavu „DNS only“ (šedý mrak) neprojdou bezpečnostní vrstvou Cloudflare. Zvláštní pozornost věnujte hlavní doméně, www subdoméně a všem používaným subdoménám.

Pokud je originální IP adresa serveru veřejně dostupná, útočníci mohou obejít Cloudflare a přímo zaútočit na server. Doporučujeme proto na firewallu serveru povolit HTTP/HTTPS provoz pouze z IP rozsahů Cloudflare. V případě potřeby se obraťte na svého hostingového poskytovatele nebo využijte návod Jak nastavit DNS pro Cloudflare.

3. V sekci Security aktivujte režim Under Attack

V administraci Cloudflare vyberte doménu a v sekci Security nebo Overview najděte možnost „Under Attack Mode“. Aktivací této funkce začne Cloudflare zobrazovat návštěvníkům krátkou bezpečnostní stránku s ověřením. V některých panelech se tato volba může jmenovat také „I am Under Attack“ pod Security Level.

Změna se obvykle projeví během několika minut. Sledujte pak Cloudflare Analytics, Security Events a využití serverových zdrojů. Pokud začne klesat počet CPU cyklů a otevřených spojení, režim funguje. Pokud však chyby přetrvávají, je potřeba přidat další bezpečnostní pravidla.

4. Otestujte uživatelskou zkušenost

Po zapnutí režimu otestujte přístup k webu z různých sítí – mobilního internetu, kancelářské sítě nebo jiné lokality. Vyzkoušejte hlavní stránku, produktové stránky, přihlašování a průběh objednávky. Pokud po ověřovací obrazovce návštěvníci stránky normálně načtou, vše je v pořádku. Pokud uživatelé uvíznou v nekonečné smyčce ověření, zkontrolujte blokování cookies, kompatibilitu prohlížeče a případné konflikty s Cloudflare bezpečnostními pravidly.

5. Identifikujte cílové URL útoku

Režim Under Attack poskytuje obecnou ochranu, ale nejlepší výsledky přinese cílené nastavení. Pomocí Cloudflare Security Events, webové analytiky, logů hostingu a aplikačních logů vyhledejte URL s nejvyšším počtem požadavků. Typicky to mohou být například /wp-login.php, /xmlrpc.php, /search, /cart, /api/login či /checkout.

Po identifikaci cílových URL můžete vytvořit vlastní WAF pravidla na základě země původu, user-agenta, HTTP metody, cesty URI nebo skóre bota. Například u přihlašovací stránky lze omezit počet požadavků z jedné IP pomocí managed challenge. Pro WordPress jsou užitečné také návody Bezpečnostní opatření WordPress.

Rozdíly mezi režimem Under Attack a dalšími bezpečnostními nástroji Cloudflare

Cloudflare nabízí různé bezpečnostní nástroje pro různé situace. Režim Under Attack funguje jako rychlý a obecný filtr v nouzové situaci, zatímco WAF a rate limiting jsou cílenější, trvalejší a přívětivější k uživatelskému zážitku.

V praxi je efektivní obrana taková, že nejprve snížíte tlak režimem Under Attack, dále analyzujete vzory útoků, přidáte WAF a rate limiting pravidla a nakonec doladíte cache a firewall na origin serveru pro dlouhodobou stabilitu.

Doporučená další nastavení Cloudflare během útoku

Režim Under Attack můžete zapnout jediným kliknutím, ale účinnost DDoS obrany závisí na doplňkových opatřeních. Níže najdete nejčastější doporučení ověřená v praxi.

Vytvořte cílenou ochranu pomocí WAF pravidel

Cloudflare WAF umožňuje nastavit pravidla podle specifických podmínek. Například můžete vyžadovat challenge pro POST požadavky na /wp-login.php pouze z určitých zemí. Tím izolujete útok na konkrétní části bez zbytečného zatížení celého webu.

• Omezte přístup na admin a přihlašovací stránky pouze na vybrané země nebo IP rozsahy.
• Blokujte nepoužívané endpointy jako XML-RPC.
• Pro podezřelé user-agenty nastavte managed challenge.
• Omezujte časté požadavky na konkrétní URI pomocí rate limiting.

Nastavte správnou úroveň cache

Při DDoS útoku se rychle vyčerpávají zdroje serveru, pokud musí odpovídat na každý požadavek. Statické soubory, obrázky, CSS, JavaScript a cachovatelné stránky by měly být servírovány z Cloudflare edge serverů. V dynamických systémech jako WordPress využijte cache pluginy, Cloudflare cache pravidla a správné cache-control hlavičky.

Například u zpravodajských nebo blogových webů lze anonymním návštěvníkům zobrazovat cachované stránky po dobu 5 až 30 minut. Toto nastavení zlepšuje i mimo útok dobu odezvy a snižuje zatížení hostingu. Další tipy k optimalizaci výkonu najdete v Průvodce zrychlením webových stránek.

Nastavte realistické limity pro rate limiting

Rate limiting je velmi účinný na náročných endpointách, ale špatně nastavené limity mohou blokovat opravdové uživatele. Například na stránce vyhledávání je běžné 5–15 požadavků za minutu, 100 je již podezřelé. Na přihlašovací stránce je 10 neúspěšných pokusů za 5 minut většinou známkou útoku.

Příklad nastavení: u /wp-login.php můžete povolit maximálně 10 požadavků za minutu z jedné IP s následným managed challenge a po 50 požadavcích za 5 minut dočasný blok. U API endpointů volte jemnější limity založené na uživatelských session, IP, tokenu a metodu požadavku.

Skrývejte originální IP a nastavte firewall

Častou chybou je nechat originální IP adresu serveru veřejně dostupnou. Staré DNS záznamy, subdomény přistupující přímo přes IP, webové služby zamotaně propojené s mailovými záznamy nebo špatná konfigurace mohou útočníkovi umožnit obejít Cloudflare a útočit přímo.

Na serveru povolte příchozí provoz na porty 80 a 443 pouze z IP rozsahů Cloudflare. Další služby jako SSH, ovládací panely či databáze by měly být přístupné jen lokálně nebo přes VPN, s omezením IP, silnými hesly a dvoufaktorovou autentizací. Pro zabezpečení hostingu doporučujeme články Nastavení zabezpečení cPanel a nastavení firewallu VPS.

Specifika WordPress, WooCommerce a korporátních webů

Každý web má odlišnou návštěvnost a rizika. Režim Under Attack může ovlivnit blog, WooCommerce obchod a SaaS portál různě. Proto je potřeba definovat kritické cesty dle typu webu.

WordPress

Nejčastější cíle jsou /wp-login.php a /xmlrpc.php. Pokud XML-RPC nevyužíváte, jeho blokace je bezpečná. Pro administrátorský přístup můžete omezit přístup podle země či IP. Dbejte, aby bezpečnostní pluginy a Cloudflare pravidla nekolidovaly – vícenásobná výzva k ověření může uživatele uvést do nekonečné smyčky.

WooCommerce

Košík, platby a uživatelské účty vyžadují opatrnost. Tyto stránky jsou dynamické a neměly by být agresivně cachované. Po aktivaci režimu Under Attack ověřte, že callbacky platebních bran a webhooky fungují bez problémů. Pokud je třeba, přidejte IP platebních služeb na whitelist nebo nastavte speciální pravidla pro tyto endpointy.

Korporátní weby a API

Korporátní portály, CRM integrace a mobilní aplikace často neumějí zpracovat JavaScriptovou výzvu k ověření. Proto není vhodné aplikovat režim Under Attack na celou doménu, ale raději spravovat API poddoménu zvlášť s tokenovou autentizací, rate limitingem a whitelistem. Například zatímco u www.example.com zapnete režim Under Attack, api.example.com by mělo mít vlastní bezpečnostní nastavení.

Metriky, které sledovat po zapnutí režimu Under Attack

Pro ověření efektivity je potřeba sledovat čísla – samotná dostupnost webu nestačí. Hodnotit je třeba chybovost, zatížení serveru i chování skutečných uživatelů.

• Cloudflare Security Events: počet požadavků, které byly vyzvány k ověření nebo zablokovány.
• HTTP stavové kódy: změny u 403, 429, 502, 503 a 504.
• Využití CPU a RAM serveru: očekává se pokles po aktivaci režimu.
• Počet PHP-FPM workerů a MySQL připojení: ukazují uvolnění aplikační vrstvy.
• Šířka pásma a počet požadavků: poměr filtrace vs. celkového provozu.
• Konverze skutečných uživatelů: testujte odesílání formulářů, objednávek, přihlášení a platby.

Pokud celkový počet požadavků zůstane stejný, ale počet požadavků na origin server klesne o 60 %, znamená to, že Cloudflare úspěšně absorboval většinu zátěže. Pokud ale zátěž MySQL zůstává vysoká, může být útok zaměřen na konkrétní náročný dotaz a je třeba analyzovat aplikační logy.

Jak bezpečně vypnout režim Under Attack po ukončení útoku?

Po odeznění útoku není vhodné režim Under Attack nechávat zapnutý dlouhodobě, protože přidává další krok ověřování pro každého návštěvníka, což může snížit konverze, efektivitu prohledávání a spokojenost uživatelů. Vypínání režimu by mělo být stejně pečlivé jako jeho zapínání.

Postup bezpečného návratu k normálu

• Počkejte minimálně 30–60 minut, než provoz stabilně klesne na běžnou úroveň.
• Zkontrolujte v Cloudflare Security Events, že počet vyzvaných a zablokovaných požadavků klesá.
• Než režim vypnete, ujistěte se, že máte aktivní cílená WAF a rate limiting pravidla.
• Snižte bezpečnostní úroveň na High nebo Medium, které jsou uživatelsky přívětivější.
• Testujte web z různých zařízení a sledujte počet 5xx chyb.
• Po dobu 24 hodin sledujte logy, zda se útok neobnovuje.

Dobrou praxí je sestavit po útoku podrobnou zprávu, která zaznamená čas začátku útoku, cílové URL, nejvyšší počet požadavků, přijatá opatření, úspěšná pravidla a trvalá vylepšení. Takový dokument výrazně zrychlí reakci při případném dalším incidentu.

Časté chyby, kterým se vyhnout

Během DDoS útoku je potřeba rychle jednat, ale nesprávné nastavení může poškodit skutečné uživatele. Zde jsou nejčastější chyby:

• Myslet si, že režim Under Attack ochrání i bez proxy DNS záznamů.
• Neskrývat originální IP adresu a neomezovat přístup na firewallu jen na Cloudflare IP adresy.
• Pouštět challenge na celou doménu bez otestování API, webhooků a platebních callbacků.
• Psát příliš široká WAF pravidla, která blokují opravdové uživatele.
• Agresivně cachovat stránky, které by cachované být neměly, například košík, platby nebo uživatelské účty.
• Nechat režim Under Attack zapnutý týdny po útoku.
• Rozhodovat jen podle Cloudflare panelu bez analýzy serverových logů.

U e-shopů může například zablokování platebních callbacků znamenat značné ztráty na příjmech. Proto je lepší nejdříve nová pravidla testovat v režimu logování nebo s managed challenge a teprve po ověření je přepnout na tvrdé blokování.

Jak plánovat odolnější ochranu na infrastruktuře Hostragons?

Cloudflare poskytuje silnou první obrannou linii, ale úspěch DDoS ochrany nekončí jen u CDN. Hostingová infrastruktura, optimalizace software, nastavení SSL, správná správa DNS a zálohování jsou nedílnou součástí komplexní bezpečnosti. Pro weby hostované u Hostragons platí, že Cloudflare filtruje provoz, hostingová vrstva zpracovává pouze čistý provoz a aplikace je optimalizovaná tak, aby nezatěžovala zbytečně databázi.

Před spuštěním projektu je důležité mít správně nastavené DNS záznamy, funkční SSL certifikát a vybrat webový server a hostingové zdroje dle očekávané návštěvnosti. V tom mohou pomoci odkazy Dotaz na doménu a registrace názvu, Balíčky web hostingu, řešení korporátního hostingu a Bezplatný SSL certifikát.

Pro projekty s vysokou návštěvností nebo rizikem útoků doporučujeme místo sdíleného hostingu zvolit VPS nebo managed server, kde lze flexibilně nastavit firewall, web server, PHP-FPM, Redis, objektovou cache a databázi. Ať už vyberete jakoukoli platformu, režim Under Attack by měl být používán jen jako nouzový nástroj, zatímco trvalá bezpečnostní architektura je založená na WAF, analýze logů a pravidelných aktualizacích.

Rychlý kontrolní seznam: prvních 15 minut při DDoS útoku

Čas během útoku hraje klíčovou roli. Tento seznam shrnuje, co může technický tým nebo majitel webu stihnout během prvních 15 minut.

• Přihlásit se do Cloudflare a vybrat správnou doménu.
• Zkontrolovat, že DNS záznamy mají aktivní proxy (oranžový mrak).
• Aktivovat režim Under Attack.
• Otestovat hlavní stránky, přihlášení, košík, platby a API endpointy.
• V Cloudflare Security Events identifikovat cílové URL útoku.
• Přidat na nejvíce napadené cesty vlastní WAF nebo rate limiting pravidla.
• Zkontrolovat stav CPU, RAM, PHP-FPM a MySQL na serveru.
• Ověřit, zda není origin IP přístupná přímo.
• Prověřit, zda platby, webhooky a klíčové integrace potřebují whitelist.
• Přesně zaznamenat všechny kroky s časovou značkou.

Pravidelným nacvičováním tohoto postupu se sníží panika a zlepší kvalita zásahu při skutečném útoku. U větších webů se doporučuje tento proces zdokumentovat jako součást incident response plánu.

Často kladené otázky

Poskytuje režim Under Attack kompletní ochranu webu?

Ne. Režim Under Attack je účinný především proti botům a HTTP/HTTPS flood útokům na aplikační vrstvě, ale sám o sobě není kompletní ochranou. Pro maximální bezpečnost je nutné mít proxied DNS záznamy, skrýt origin IP, nastavit WAF, rate limiting, cache a firewall na serveru.

Způsobí režim Under Attack problémy SEO?

Krátkodobé použití režimu obvykle neškodí SEO. Pokud by ale zůstal dlouhodobě zapnutý, může negativně ovlivnit efektivitu crawlování vyhledávači a uživatelský zážitek. Proto je vhodné po útoku režim vypnout a pokračovat s cílenými bezpečnostními pravidly.

Jak dlouho by měl být režim Under Attack aktivní?

Režim by měl zůstat zapnutý po celou dobu zvýšeného útoku a poté minimálně 30–60 minut sledovat situaci před postupným vypnutím. Před vypnutím se ujistěte, že jsou aktivní trvalá pravidla WAF a rate limiting.

Může režim Under Attack ovlivnit API nebo platební systémy?

Ano, může. Některé API klienty, webhooky a platební callbacky neumí zvládnout browser-based ověření. Proto je důležité tyto endpointy otestovat a případně přidat na whitelist nebo nastavit speciální pravidla.

Je potřeba kromě Cloudflare dělat i další opatření na hostingu?

Ano. Cloudflare poskytuje silnou první obranu, ale originální IP musí být skrytá, firewall by měl povolit provoz pouze z Cloudflare IP, software by měl být aktuální a cache správně nastavená. Bezpečný hosting je klíčovou součástí odolnosti proti DDoS.

Závěr

Režim Under Attack od Cloudflare je efektivní nouzový nástroj, který rychle zmírní dopad DDoS útoku na váš web. Při správném nastavení DNS proxy snižuje botí provoz, odlehčuje server a zvyšuje šanci, že skuteční uživatelé se na stránku dostanou. Nejlepší výsledky přinese kombinace tohoto režimu s pravidly WAF, omezením rychlosti požadavků, optimalizací cache a zabezpečením origin serveru.

Pro větší odolnost vašeho webu vůči útokům pravidelně kontrolujte nastavení infrastruktury, správu DNS a SSL certifikátů. Prozkoumejte nabídku Hostragons na hosting, domény a SSL, abyste si vytvořili bezpečné a stabilní prostředí pro svůj web.