Sådan bruger du Cloudflare "Under Attack" mode på et DDoS-ramt website

Cloudflare Under Attack mode er en akut forsvarsindstilling til websites under DDoS-angreb, hvor besøgende præsenteres for en kort sikkerhedsvalidering, så bot-trafik filtreres fra. Når du aktiverer Under Attack mode via Cloudflare-panelet under Security, kan du på få minutter bremse intense HTTP/HTTPS-anmodninger, beskytte ægte brugere og lette trykket på din server. Modet er dog ikke en permanent løsning – den skal bruges sammen med korrekt DNS proxy-konfiguration, WAF-regler, rate limiting, caching og sikring af din origin-server.

Denne guide gennemgår trin for trin, hvordan du aktiverer Cloudflare Under Attack mode, hvornår det bør bruges, hvordan det understøttes af andre indstillinger, og hvordan du vender sikkert tilbage til normal drift efter angrebet. Målet er at give dig en brugbar tjekliste, så du hurtigt kan genoprette tilgængeligheden på dit site, hvis panikken rammer.

Hvad er Cloudflare Under Attack mode?

Cloudflare Under Attack mode er en akut sikkerhedsforanstaltning, hvor Cloudflare udfører en hurtig browser-validering på besøgende. Valideringen varer typisk et par sekunder og gør det svært for automatiserede bots, simple HTTP flood-tools eller ondartede non-browserklienter at overbelaste dit site.

Formålet er at dæmpe Layer 7-angreb – altså angreb på applikationslaget. Eksempler kan være tusindvis af GET-anmodninger til forsiden, massive POST-forsøg på WordPress-login, dyre søgeforespørgsler eller falsk trafik til checkout. Under Attack mode er et effektivt førstehjælpstiltag i disse situationer.

Vigtigt: Under Attack-mode filtrerer webanmodninger, men hvis din server-IP er kendt eller hvis Layer 3/4-angreb (netværk/transport) foregår, kræves ekstra beskyttelse. DNS-records skal være proxied via Cloudflare, din origin-IP skal skjules, og serveren skal sikres korrekt. Se Tjenester til sikker webhosting og installation af SSL certifikat for relaterede guides.

Tegn på DDoS-angreb: Hvad bør du tjekke før Under Attack-mode?

Ikke alle langsomme websites skyldes DDoS. Fejlbehæftede plugins, database-låsning, resource-tunge cron jobs eller forkert caching kan også give symptomer. Diagnosér hurtigt inden du aktiverer Under Attack-mode. Hvis serveren ikke svarer, brugere får 502, 503 eller 504, og logs viser eksplosiv trafik, bør du ikke vente med nødindstillingen.

Typiske tegn på DDoS

• Pludselig trafikstigning til 5, 10 eller 50 gange det normale.
• Hundredvis af anmodninger per sekund til én side eller endpoint.
• Trafik fra mange lande men ens user-agent.
• Angreb mod admin-, login-, search- eller cart-URL’er på WordPress, WooCommerce, OpenCart eller specialsoftware.
• CPU, RAM, PHP-FPM workers eller MySQL max connections rammer loftet.
• Cloudflare Analytics rapporterer markant flere 4xx og 5xx fejl.
• Ægte brugere har sporadisk adgang, bots sender konstant requests.

Eksempel: En webshop der normalt får 2.000 requests pr. minut, springer til 80.000 på ti minutter, hvor 70% rammer cart eller search. Dette er et klart Layer 7-angreb. Under Attack mode bør aktiveres inden for fem minutter og suppleres med WAF- og rate limiting-regler mod de ramte URL’er.

Hvornår bør Cloudflare Under Attack mode bruges?

Under Attack mode er ikke til permanent brug – den viser en venteskærm for alle besøgende, hvilket kan påvirke brugeroplevelsen, især ved checkout, betaling eller API-trafik. Det er bedst kun at aktivere den midlertidigt under angreb og slå den fra, når trafikken er normal igen.

Typiske situationer hvor Under Attack-mode er passende

• Pludselig og unormal HTTP/HTTPS-trafik.
• Serverressourcer bruges op og 502/503-fejl stiger.
• Cloudflare WAF er endnu ikke finjusteret og et hurtigt skjold er nødvendigt.
• Bot-trafik overstiger menneskelig trafik markant.
• Websider, formularer, login eller search endpoints udsættes for angreb.

Situationer hvor du bør være forsigtig

• Hvis du har mange API, mobilapp, betalingsgateway eller webhook-anmodninger.
• Når søgemaskinebots crawler kritisk.
• Hvis erhvervskunder tilgår sitet fra gamle browsere eller restriktive netværk.
• Hvis du har subdomæner uden Cloudflare proxy.

Ved API-trafik kan Under Attack-mode på hele domænet skabe integrationsproblemer. Planlæg allowlist, særskilte WAF-regler eller sikkerhedsniveau for API-subdomæner. Se Guide til API-sikkerhed og rate limiting for detaljer.

Sådan aktiveres Cloudflare Under Attack mode – trin for trin

Her er en praktisk tjekliste til hurtig handling under angreb. Cloudflare-panelet kan ændre sig over tid, men princippet er det samme: vælg dit domæne, hæv sikkerhedsniveauet, og få trafikken valideret.

1. Log ind på Cloudflare

Log ind og vælg det angrebne domæne. Har du flere domæner, så vær sikker på du vælger den rigtige zone – det sparer tid og minimerer fejl.

2. Kontroller at DNS-records er proxied

For at Under Attack-mode virker, skal webtrafikken gennem Cloudflare. Tjek at A, AAAA og CNAME-records har orange sky (proxied). Grå sky (DNS only) får ikke Cloudflare-beskyttelse. Tjek især www, hoveddomænet og brugte subdomæner.

Hvis din origin-IP er synlig, kan angribere gå udenom Cloudflare og angribe direkte. Begræns derfor HTTP/HTTPS-trafik til kun Cloudflare’s IP-ranges på serverens firewall. Hostingudbydere kan hjælpe, eller brug Hvordan man opsætter Cloudflare DNS til guidance.

3. Aktiver Under Attack Mode under Security

Under Security eller Overview finder du Under Attack Mode. Ved aktivering får besøgende en kort valideringsside. Nogle paneler kalder det I am Under Attack under Security Level.

Ændringen virker typisk straks. Overvåg Cloudflare Analytics, Security Events og serverressourcer samtidigt. Hvis CPU og connections falder, fungerer modet. Fortsætter fejl, skal yderligere regler skrives.

4. Test ægte brugeroplevelse

Efter aktivering bør du teste sitet fra forskellige netværk: mobil, kontor og gerne geografisk adskilt. Test forsiden, produktsider, login og betaling. Kan brugere nå ind efter valideringen, virker modet efter hensigten. Ved uendelige valideringsloops: tjek cookieindstillinger, browserkompatibilitet og Cloudflare-regelkonflikter.

5. Identificér hvilke URL’er angrebet rammer

Under Attack-mode beskytter bredt, men den største effekt fås med målrettede regler. Brug Cloudflare Security Events, Web Analytics, hosting logs og applikationslogs til at finde de mest ramte paths – fx /wp-login.php, /xmlrpc.php, /search, /cart, /api/login eller /checkout.

Med WAF Custom Rules kan du filtrere på land, user-agent, HTTP-metode, URI-path eller bot-score. Fx kan du udfordre IP’er med mange login-forsøg. Til WordPress: WordPress sikkerhedsforanstaltninger er et naturligt internt link.

Forskellen på Under Attack-mode og andre Cloudflare-sikkerhedsværktøjer

Cloudflare tilbyder flere sikkerhedsværktøjer med forskellige formål. Under Attack-mode er et akut filter; WAF og Rate Limiting er mere målrettede og balancerede for brugeroplevelsen.

En god forsvarsstrategi: Først dæmpes presset med Under Attack-mode, derefter analyseres angrebsmønstre, så indføres WAF og rate limiting, og til sidst styrkes caching og origin-firewall for langtidsholdbar beskyttelse.

Ekstra Cloudflare-indstillinger under angreb

Under Attack-mode kan aktiveres med ét klik, men DDoS-beskyttelsen afhænger af supplerende indstillinger. Her er de mest effektive praksisser.

Målrettet beskyttelse med WAF-regler

Cloudflare WAF gør det muligt at filtrere på specifikke kriterier. Fx kan du udfordre POST-anmodninger til /wp-login.php fra bestemte lande. På den måde isoleres angrebet uden at sløve hele sitet.

• Begræns adgang til admin/login for bestemte lande/IP-ranges.
• Bloker endpoints som XML-RPC hvis de ikke bruges.
• Udfordr mistænkelige user-agent-værdier.
• Rate limit på URI-paths med mange requests.

Korrekt cache-niveau

Hvis origin-serveren besvarer alle requests under DDoS, bliver ressourcer hurtigt opbrugt. Statisk indhold, billeder, CSS, JS og cachebare sider bør serveres fra Cloudflare edge. For WordPress og lignende kan du kombinere page cache-plugins, Cloudflare cache rules og passende cache-control headers.

Eksempel: På nyheds- eller blogsites kan sider til anonyme besøgende caches i 5-30 minutter – det reducerer TTFB og sparer hosting-ressourcer også uden angreb. Se websted hastighedsforøgelsesguide for mere.

Realistiske rate limiting-thresholds

Rate limiting er effektivt på dyre endpoints, men thresholds skal matche brugeradfærd, ellers rammes ægte brugere. Fx laver normale brugere 5-15 searches pr. minut, men 100 er unormalt. På login kan 10 fejlslagne forsøg på fem minutter være mistænkeligt.

Eksempel: For /wp-login.php kan du udfordre IP’er med over 10 requests pr. minut og blokere dem med over 50 på fem minutter. API-endpoints bør rate limites på session, IP, token og metode.

Skjul origin-IP og begræns firewall

En klassisk fejl er at lade origin-IP være synlig. Gamle DNS-records, direkte IP-subdomæner, mail-mix eller lækkede configs kan gøre serveren sårbar udenom Cloudflare.

Åbn kun port 80/443 for Cloudflares IP-ranges. SSH, panel, database og admin-porte må ikke være offentlige – brug IP-whitelisting, stærke passwords, 2FA og helst VPN. Se cPanel sikkerhedsindstillinger og konfiguration af VPS firewall for guides.

Specielt for WordPress, WooCommerce og erhvervssites

Websites har forskellig trafikstruktur – en blog, en WooCommerce-shop og et SaaS-panel reagerer forskelligt på Under Attack-mode. Tilpas til din type site.

WordPress-sites

Ofte rammes /wp-login.php og /xmlrpc.php. Hvis XML-RPC ikke bruges, bør det blokeres. Admin-panelet kan begrænses til bestemte lande/IP’er. Kombinér ikke for mange sikkerhedsplugins og Cloudflare-challenges, da det kan give brugerloops.

WooCommerce-shops

Cart, betaling og konto-sider skal ikke caches aggressivt, da de er dynamiske. Under Attack-mode bør du sikre at payment callbacks og webhooks stadig fungerer – allowlist payment provider-IP’er eller lav en særregel for disse endpoints.

Erhvervssites og API-platforme

Portaler, CRM-integrationer og mobilapps kan ikke håndtere JavaScript-challenges. Brug Under Attack-mode på www, men planlæg særskilt sikkerhed for API-subdomæner med token, rate limiting og allowlist.

Vigtige metrics at følge efter Under Attack-mode

Sikkerhedstiltag skal evalueres numerisk – det er ikke nok at sitet loader. Sammenlign fejlprocenter, serverbelastning og brugeradfærd.

• Cloudflare Security Events: Hvilke regler har udfordret/blokeret hvor mange requests.
• HTTP-statuskoder: Overvåg ændringer i 403, 429, 502, 503, 504.
• Server CPU og RAM: Forvent fald efter Under Attack-mode.
• PHP-FPM og MySQL connections: Indikerer aflastning af applikationslaget.
• Båndbredde og antal requests: Sammenlign filtreret vs. total trafik.
• Reelle brugerhandlinger: Test formularer, bestillinger, login og betaling.

Fx: Hvis total requests er konstant men origin-requests falder 60%, absorberer Cloudflare presset. Hvis MySQL-CPU stadig er høj, kan angrebet være rettet mod en specifik dynamisk query – tjek logs.

Sådan slår du Under Attack-mode fra efter angrebet

Under Attack-mode bør ikke være permanent, da det påvirker konverteringer, SEO og brugeroplevelse. Nedtrapningen skal være kontrolleret.

Sikker tilbagevenden til normal drift

• Overvåg trafik og fejl i mindst 30-60 minutter for normalisering.
• Bekræft at challenge/block-tal falder i Cloudflare Security Events.
• Aktiverede WAF- og rate limiting-regler skal være på plads før Under Attack-mode slås fra.
• Sæt sikkerhedsniveau til High eller Medium.
• Test sitet fra forskellige devices og kontroller 5xx-fejl.
• Overvåg logs i 24 timer for evt. gentagelse.

Lav gerne en hændelsesrapport: starttid, ramte URL’er, peak requests, handlinger, effektive regler og permanente forbedringer. Det sparer tid ved næste angreb.

Typiske fejl og faldgruber

Det er vigtigt at handle hurtigt under DDoS, men forkerte indstillinger kan ramme ægte brugere. Disse fejl er hyppige under stress:

• Tro at Under Attack-mode beskytter uden proxied DNS-records.
• Lade origin-IP være synlig og undlade firewallbegrænsning til Cloudflare-IP’er.
• Challenge hele domænet uden at teste API, webhook eller betalingsadresser.
• For brede WAF-blocks der rammer reelle kunder.
• Aggressiv caching af cart, betaling eller brugerpaneler der ikke bør caches.
• Under Attack-mode forbliver aktiv i ugevis efter angrebet.
• Vurdere kun ud fra Cloudflare-panelet og ikke serverlogs.

Især på webshops kan fejl i payment callbacks koste dyrt. Test regler med log eller managed challenge før block – skru op for handlingen når effekten er dokumenteret.

Sådan planlægges robust forsvar på Hostragons-hosting

Cloudflare er et stærkt frontskjold, men DDoS-beskyttelse kræver også optimeret hosting, software, SSL, DNS og backup. På Hostragons bør strategien være: Cloudflare filtrerer trafikken, hosting håndterer kun ren trafik, og applikationen minimerer databasebelastning.

Før launch: Sørg for korrekte DNS-records, fejlfri SSL-installation og passende serverressourcer. Brug Domæneforespørgsel og domæne registrering, Webhosting pakker, Virksomheds hosting løsninger, Gratis SSL-certifikat for hjælp.

Ved høj trafik eller angrebsrisiko bør du vælge VPS eller managed server frem for delt hosting – så er firewall, webserver, PHP-FPM, Redis, object cache og database mere fleksible. Uanset setup er Under Attack-mode kun til akut brug; varig sikkerhed kræver WAF, loganalyse og regelmæssig opdatering.

Hurtig tjekliste: DDoS – de første 15 minutter

Tiden er kritisk under angreb. Brug denne tjekliste – den kan øge kvaliteten af din indsats og mindske panik.

• Log ind i Cloudflare og vælg korrekt domæne.
• Tjek at DNS-records er proxied (orange sky).
• Aktivér Under Attack mode.
• Test forsiden, login, cart, betaling og API-endpoints.
• Identificér ramte URL’er i Cloudflare Security Events.
• Tilføj WAF/rate limiting på de mest angrebne paths.
• Tjek server CPU, RAM, PHP-FPM og MySQL.
• Test om origin-IP kan tilgås direkte.
• Undersøg om allowlist er nødvendig for payment providers, webhooks eller integrationer.
• Notér alle handlinger med tidsstempel.

Øv denne liste regelmæssigt, så panik og fejl minimeres. På større sites bør processen dokumenteres som en incident-responsplan.

Ofte stillede spørgsmål

Er Cloudflare Under Attack mode fuld beskyttelse?

Nej. Under Attack mode dæmper især HTTP/HTTPS bot- og flood-trafik, men er ikke komplet beskyttelse. DNS-records skal være proxied, origin-IP skjult, WAF, rate limiting, cache og firewall skal bruges sammen.

Skader Under Attack mode SEO?

Kortvarig brug har sjældent alvorlig SEO-effekt. Ved langvarig brug kan crawl-effektivitet og brugeroplevelse påvirkes. Slå modet fra og brug målrettede regler efter angrebet.

Hvor længe bør Under Attack mode være aktiv?

Så længe angrebet varer – typisk 30-60 minutters overvågning efter normal trafik. Have WAF/rate limiting klar før du slår den fra.

Påvirker Under Attack mode API eller betalingssystemer?

Ja, det kan det. Nogle API-klienter, webhooks eller payment callbacks kan ikke gennemføre browservalidering. Test kritiske endpoints og brug allowlist eller særregler om nødvendigt.

Skal hosting også sikres når Cloudflare bruges?

Ja. Cloudflare beskytter fronten, men origin-IP skal være skjult, firewall kun tillade nødvendig trafik, software opdateres og cache-konfiguration skal være korrekt. Sikker hosting er fundamentet for DDoS-resistens.

Konklusion

Cloudflare Under Attack mode er et effektivt akutværktøj mod DDoS-angreb – især når det aktiveres med proxied DNS. Det reducerer bottrafik, aflaster serveren og øger chancen for at ægte brugere kan nå sitet. For bedste resultat bør det suppleres med WAF, rate limiting, cacheoptimering og origin-firewall.

Hvis du vil gøre dit site mere modstandsdygtigt, så gennemgå din infrastruktur, DNS og SSL-konfiguration jævnligt. Undersøg Hostragons hosting-, domæne- og SSL-løsninger for at skabe et mere sikkert og stabilt fundament for din webside.