Jak korzystać z trybu „Under Attack” Cloudflare podczas ataku DDoS na stronę?

Tryb „Under Attack” w Cloudflare to szybkie zabezpieczenie, które podczas ataku DDoS filtruje ruch botów, wyświetlając odwiedzającym krótką weryfikację bezpieczeństwa. Wystarczy zalogować się do panelu Cloudflare, wybrać swoją witrynę i w sekcji Security włączyć tryb Under Attack, aby w kilka minut spowolnić intensywny ruch HTTP/HTTPS, chronić prawdziwych użytkowników i odciążyć serwer. Pamiętaj jednak, że to nie jest rozwiązanie na stałe – tryb ten najlepiej stosować wraz z odpowiednią konfiguracją proxy DNS, regułami WAF, ograniczaniem liczby żądań (rate limiting), cache i zabezpieczeniami serwera origin.

W tym poradniku krok po kroku wyjaśnimy, jak włączyć tryb Under Attack, kiedy go używać, jakie ustawienia go wspierają oraz jak bezpiecznie wrócić do normalnego działania po zakończeniu ataku. Naszym celem jest dostarczenie praktycznej listy kontrolnej, która pozwoli szybko reagować i maksymalnie skrócić przerwy w dostępności strony.

Czym jest tryb Under Attack w Cloudflare?

Tryb Under Attack to specjalny poziom ochrony oferowany przez Cloudflare w sytuacjach kryzysowych. Po jego aktywacji każda osoba odwiedzająca stronę musi przejść krótką weryfikację przeglądarki, która zwykle trwa kilka sekund. Dzięki temu automatyczne boty, podstawowe narzędzia do ataków typu HTTP flood czy inne niechciane klienty nie mogą bezpośrednio obciążać serwera.

Podstawowym celem tego trybu jest złagodzenie ataków na warstwę aplikacji – tzw. Layer 7. Przykładowo, gdy na stronę główną spływają tysiące żądań GET na sekundę, do strony logowania WordPressa dociera fala intensywnych prób POST, albo na stronę koszyka czy wyszukiwarkę kierowana jest sztuczna, kosztowna w obsłudze liczba zapytań, tryb Under Attack stanowi błyskawiczną pierwszą linię obrony.

Warto podkreślić, że tryb ten filtruje ruch HTTP/HTTPS, ale jeśli atak celuje bezpośrednio w adres IP serwera lub jeśli usługi spoza proxy Cloudflare pozostają otwarte, albo atak ma charakter Layer 3/4 (np. atak na infrastrukturę sieciową), potrzebne są dodatkowe zabezpieczenia. Dlatego tak ważne jest, by rekordy DNS były ustawione na proxy Cloudflare, adres origin IP był ukryty, a po stronie hostingu wdrażano odpowiednie środki ochronne. Warto zapoznać się z tematami Usługi bezpiecznego web hostingu oraz Instalacja certyfikatu SSL, które pomogą w budowie bezpiecznej infrastruktury.

Jak rozpoznać atak DDoS? Co sprawdzić przed włączeniem trybu Under Attack?

Nie każda awaria czy spowolnienie oznacza atak DDoS. Czasami przyczyną mogą być błędne wtyczki, zablokowana baza danych, zadania cron obciążające CPU lub błędne ustawienia cache. Dlatego przed uruchomieniem trybu warto przeprowadzić szybkie diagnozy. Jednak jeśli serwer zaczyna wolno odpowiadać, użytkownicy otrzymują błędy 502, 503, 504, a w logach widać nagły wzrost liczby zapytań – tryb Under Attack powinien zostać włączony natychmiast.

Typowe symptomy ataku DDoS

• Nagły wzrost ruchu 5, 10 lub nawet 50-krotny w krótkim czasie.
• Setki żądań na sekundę kierowane do pojedynczej strony lub endpointu.
• Ruch z różnych krajów, ale z podobnymi parametrami user-agent.
• Atak na kosztowne zasoby, takie jak strony logowania WordPress, WooCommerce, OpenCart czy specjalistyczne URL-e typu admin, login, search, cart.
• Wyczerpywanie zasobów serwera – CPU, RAM, procesy PHP-FPM czy limity połączeń MySQL.
• Skok błędów 4xx i 5xx widoczny w analizie Cloudflare Analytics.
• Realni użytkownicy mogą uzyskać dostęp w nieregularnych odstępach, podczas gdy boty wysyłają zapytania nieustannie.

Przykład: jeśli sklep internetowy, który normalnie obsługuje 2000 żądań na minutę, nagle dostaje 80 000 na minutę, z czego 70% jest kierowane na koszyk lub wyszukiwarkę – to jasny sygnał ataku na warstwę aplikacji (Layer 7). W takim przypadku tryb Under Attack powinien zostać włączony w ciągu pierwszych 5 minut, a następnie należy wprowadzić dedykowane reguły WAF i ograniczenia rate limiting dla wybranych URL-i.

Kiedy warto włączyć tryb Under Attack w Cloudflare?

Tryb Under Attack nie jest ustawieniem, które powinno być aktywne na stałe, ponieważ wymusza dodatkowy krok weryfikacji u każdego odwiedzającego, co może negatywnie wpłynąć na doświadczenie użytkownika. Zwłaszcza na stronach nastawionych na konwersję, w procesach płatności lub w serwisach API. Najlepiej stosować go tymczasowo podczas ataku i wyłączać, gdy ruch wróci do normy.

Przypadki, kiedy warto go użyć

• Gdy strona doświadcza nagłego, nietypowo wysokiego ruchu HTTP/HTTPS.
• Serwer szybko wyczerpuje zasoby i rośnie liczba błędów 502/503.
• Cloudflare WAF nie jest jeszcze skonfigurowany specjalnymi regułami i potrzebna jest szybka ochrona.
• Ruch botów znacznie przewyższa ruch prawdziwych użytkowników.
• Atak dotyczy stron internetowych, formularzy, ekranów logowania lub endpointów wyszukiwania.

Przypadki wymagające ostrożności

• Strony korzystające intensywnie z API, webhooków, aplikacji mobilnych lub dostawców płatności.
• Okresy ważnego indeksowania przez roboty wyszukiwarek.
• Użytkownicy korporacyjni z ograniczonymi lub starszymi przeglądarkami.
• Poddomeny, które nie korzystają z proxy Cloudflare.

W przypadku stron z ruchem API tryb Under Attack stosowany na całą domenę może powodować problemy z integracjami. W takich sytuacjach warto stosować dedykowane reguły WAF, listy dozwolonych adresów (allowlist) lub inne poziomy zabezpieczeń dla subdomen API. Szczegóły dotyczące zabezpieczenia API można znaleźć w Przewodnik po bezpieczeństwie API i ograniczaniu liczby zapytań.

Jak krok po kroku włączyć tryb Under Attack w Cloudflare?

Poniższa lista to szybki przewodnik, który pozwoli sprawnie wdrożyć ochronę w trakcie ataku. Interfejs Cloudflare może się lekko zmieniać, jednak podstawowe kroki pozostają niezmienne: wybierz domenę, podnieś poziom bezpieczeństwa i wymuś weryfikację ruchu.

1. Zaloguj się do konta Cloudflare

Wejdź na swoje konto Cloudflare i wybierz z listy domenę, która jest celem ataku. Jeśli zarządzasz wieloma domenami, upewnij się, że pracujesz na właściwym koncie. Włączanie trybu na złej domenie spowoduje opóźnienie reakcji i dalsze problemy z prawdziwą stroną.

2. Sprawdź, czy rekordy DNS są ustawione jako proxy (orange cloud)

Aby tryb Under Attack działał skutecznie, cały ruch musi przechodzić przez Cloudflare. W panelu DNS upewnij się, że rekordy A, AAAA i CNAME dla domeny głównej, www oraz innych ważnych subdomen są oznaczone jako proxied (pomarańczowa chmurka). Rekordy z szarą chmurką (DNS only) omijają ochronę Cloudflare i narażają serwer na bezpośrednie ataki.

Jeśli adres IP serwera origin jest publicznie widoczny, atakujący mogą go ominąć i zaatakować bezpośrednio. Dodatkowo warto skonfigurować firewall serwera tak, aby przyjmował ruch HTTP/HTTPS wyłącznie z zakresów IP Cloudflare. W razie potrzeby możesz poprosić o pomoc swojego dostawcę hostingu lub skorzystać z poradnika Jak skonfigurować ustawienia DNS Cloudflare.

3. Włącz tryb Under Attack w sekcji Security

Po wybraniu domeny przejdź do panelu Security lub Overview i znajdź opcję „Under Attack Mode”. Po jej aktywacji Cloudflare zacznie wyświetlać odwiedzającym krótką stronę weryfikacji. W niektórych wersjach panelu opcja ta może nazywać się „I am Under Attack”.

Zmiany zwykle zaczynają działać niemal od razu. Przez pierwsze minuty obserwuj statystyki w Cloudflare Analytics, Security Events oraz monitoruj zużycie zasobów serwera. Jeśli spada liczba aktywnych połączeń i obciążenie CPU, oznacza to skuteczność trybu. W przeciwnym wypadku należy rozważyć dodatkowe reguły ochronne.

4. Sprawdź doświadczenie prawdziwych użytkowników

Po włączeniu trybu przetestuj dostęp do strony z różnych lokalizacji i sieci: mobilnego internetu, sieci biurowej, a jeśli to możliwe – spoza swojego kraju. Sprawdź, czy można bez problemu przejść przez ekran weryfikacji i korzystać z najważniejszych podstron, takich jak strona główna, produkty, logowanie i proces płatności. Jeśli użytkownicy trafiają w pętlę weryfikacji lub mają problemy z ciasteczkami, sprawdź ustawienia przeglądarek, kompatybilność lub możliwe konflikty reguł Cloudflare.

5. Zidentyfikuj atakowane adresy URL

Tryb Under Attack działa globalnie, ale najlepsze efekty daje łączenie go z dedykowanymi regułami dla atakowanych ścieżek. Przeanalizuj dane w Cloudflare Security Events, statystyki ruchu oraz logi serwera, aby znaleźć najczęściej atakowane endpointy, takie jak /wp-login.php, /xmlrpc.php, /search, /cart, /api/login czy /checkout.

Dla wybranych adresów możesz utworzyć niestandardowe reguły WAF, ograniczyć ruch według kraju, user-agent, metody żądania lub punktacji botów. Na przykład dla strony logowania można nałożyć limit zapytań i wymusić challenge na IP przekraczające próg. Jeśli korzystasz z WordPressa, przydatne będą wskazówki z Środki bezpieczeństwa WordPress.

Różnice między trybem Under Attack a innymi opcjami bezpieczeństwa Cloudflare

Cloudflare oferuje różne narzędzia do ochrony, które sprawdzają się w innych scenariuszach. Tryb Under Attack to szybka i szeroka blokada, podczas gdy WAF i Rate Limiting pozwalają na bardziej precyzyjne, długofalowe zabezpieczenia z mniejszym wpływem na użytkowników.

W praktyce warto najpierw użyć trybu Under Attack, aby szybko zdusić atak, potem szczegółowo analizować wzory ruchu i dodawać reguły WAF oraz rate limiting. Na końcu należy zoptymalizować cache i zabezpieczyć serwer origin firewall’em, by zapewnić trwałą ochronę.

Dodatkowe ustawienia Cloudflare na czas ataku

Choć tryb Under Attack włącza się jednym kliknięciem, skuteczna obrona DDoS wymaga wsparcia innymi ustawieniami. Oto najczęściej polecane praktyki.

Skonfiguruj reguły WAF do precyzyjnej ochrony

Cloudflare WAF pozwala na definiowanie akcji w zależności od warunków – np. challenge na POST-y z określonych krajów wysyłanych do /wp-login.php. To izoluje atak bez obciążania całej strony.

• Ogranicz dostęp do panelu admin i strony logowania tylko dla wybranych krajów lub zakresów IP.
• Zablokuj nieużywane endpointy, np. XML-RPC, jeśli nie są wykorzystywane.
• Na podejrzane user-agenty nakładaj managed challenge.
• Limituj częstość zapytań do wybranych URI.

Popraw konfigurację cache

Jeśli każda prośba musi trafiać do origin, zasoby szybko się wyczerpią. Statyczne pliki, obrazy, CSS, JavaScript i strony cache’owane można serwować z serwerów edge Cloudflare. W WordPressie warto łączyć wtyczki cache z regułami cache Cloudflare i odpowiednimi nagłówkami cache-control.

Na przykład strony z wiadomościami lub blogiem można cache’ować od 5 do 30 minut dla anonimowych użytkowników. To nie tylko pomaga podczas ataku, ale także przyspiesza działanie strony na co dzień. Warto także zapoznać się z Przewodnik po przyspieszaniu strony internetowej.

Ustaw realne progi rate limiting

Rate limiting jest bardzo efektywny na kosztownych endpointach, ale jeśli ustawienia są zbyt restrykcyjne, można zablokować prawdziwych użytkowników. Przykładowo, na stronie wyszukiwania typowy użytkownik robi od 5 do 15 zapytań na minutę, zaś 100 to już podejrzana liczba. Na stronie logowania 10 nieudanych prób w 5 minut to często sygnał ataku.

Dobrym przykładem jest ustawienie: dla /wp-login.php IP wysyłające ponad 10 zapytań na minutę otrzymują managed challenge, a powyżej 50 zapytań na 5 minut są tymczasowo blokowane. Dla API warto stosować bardziej precyzyjne limity oparte na sesjach, tokenach i metodach żądań.

Ukryj adres IP origin i zabezpiecz firewall

Jednym z najczęstszych błędów jest pozostawienie publicznego adresu IP serwera origin. Stare rekordy DNS, subdomeny omijające proxy, usługi mailowe lub błędna konfiguracja mogą pozwolić atakującym ominąć Cloudflare i uderzyć bezpośrednio w serwer.

Warto skonfigurować firewall tak, aby porty 80 i 443 były otwarte tylko dla adresów IP Cloudflare. Porty SSH, panele administracyjne i bazy danych powinny być dodatkowo chronione przez ograniczenia IP, silne hasła, dwuskładnikowe uwierzytelnianie i VPN. Przydatne są także porady z ustawienia bezpieczeństwa cPanel oraz Konfiguracja zapory VPS.

Ważne aspekty dla WordPress, WooCommerce i stron korporacyjnych

Każda witryna ma unikalny profil ruchu i zagrożeń. Tryb Under Attack może mieć różny wpływ w zależności od typu strony, dlatego warto wyodrębnić kluczowe ścieżki do ochrony.

WordPress

Najczęściej atakowanymi plikami są /wp-login.php oraz /xmlrpc.php. Jeśli nie korzystasz z XML-RPC, jego zablokowanie jest bezpieczne. Dla panelu admin można ograniczyć dostęp według kraju lub IP. Uważaj, by nie nałożyć zbyt wielu mechanizmów challenge, które mogą spowodować zapętlenie weryfikacji użytkownika.

WooCommerce

Strony koszyka, płatności i konta wymagają szczególnej ostrożności. Nie stosuj agresywnego cache’owania, które może zakłócić działanie dynamicznych procesów. Upewnij się, że callbacki od dostawców płatności (webhooki) działają poprawnie podczas aktywnego trybu Under Attack. Jeśli to konieczne, dodaj IP dostawców do allowlist lub utwórz specjalne reguły dla tych endpointów.

Strony korporacyjne i z API

Portale firmowe, integracje CRM i API dla aplikacji mobilnych często nie obsługują wyzwań JavaScript. W takich przypadkach lepiej oddzielnie zabezpieczyć subdomenę API (np. api.twojadomena.pl) z oddzielnymi regułami bezpieczeństwa, a tryb Under Attack stosować tylko na główną domenę (np. www.twojadomena.pl).

Jak monitorować skuteczność trybu Under Attack?

Aby ocenić, czy ochrona działa, potrzebne są konkretne dane – samo działanie strony to za mało. Obserwuj błędy, obciążenie serwera i zachowania użytkowników.

• Cloudflare Security Events – pokazuje, które reguły blokują lub weryfikują ruch.
• Kody HTTP – zwłaszcza wzrost błędów 403, 429, 502, 503, 504 powinien być monitorowany.
• Zużycie CPU i RAM serwera – po włączeniu trybu powinno spaść.
• Połączenia PHP-FPM i MySQL – wskaźnik odciążenia warstwy aplikacji.
• Ruch i liczba zapytań – porównanie całkowitego ruchu i tego przepuszczanego do origin.
• Wskaźniki konwersji – zamówienia, logowania, wysyłki formularzy powinny działać poprawnie.

Przykładowo, jeśli po włączeniu trybu Under Attack liczba zapytań do origin spada o 60%, to Cloudflare skutecznie filtruje atak. Jeśli jednak zużycie CPU i zapytań do bazy pozostaje wysokie, może to wskazywać na specyficzny, kosztowny ruch – wtedy warto przeanalizować logi aplikacji.

Jak bezpiecznie wyłączyć tryb Under Attack po zakończeniu ataku?

Gdy ruch wróci do normy, tryb Under Attack powinien zostać wyłączony, aby nie zniechęcać użytkowników dodatkowymi weryfikacjami. Wyłączanie też wymaga ostrożności.

Etapy bezpiecznego powrotu do normalności

• Odczekaj co najmniej 30-60 minut, aby ruch ustabilizował się na normalnym poziomie.
• Sprawdź w Cloudflare Security Events spadek liczby challenge i blokad.
• Upewnij się, że dedykowane reguły WAF i rate limiting są aktywne przed wyłączeniem trybu.
• Stopniowo obniż poziom bezpieczeństwa do High lub Medium.
• Przetestuj działanie strony na różnych urządzeniach i monitoruj błędy 5xx.
• Przez 24 godziny obserwuj logi, aby wykryć ewentualne nowe próby ataku.

Dobrym nawykiem jest sporządzenie raportu po ataku, zawierającego czas rozpoczęcia, atakowane adresy, największy ruch, podjęte działania i wnioski na przyszłość. Taki dokument znacznie przyspiesza reakcję w kolejnych przypadkach.

Najczęstsze błędy i czego unikać

Podczas ataku łatwo podjąć błędne decyzje, które mogą zaszkodzić użytkownikom i obniżyć skuteczność ochrony. Oto najpopularniejsze pułapki:

• Myślenie, że tryb Under Attack ochroni, gdy DNS nie jest ustawione na proxy.
• Pozostawianie publicznego adresu IP serwera bez ograniczeń firewall.
• Włączanie challenge dla całej domeny bez sprawdzenia działania API, webhooków i callbacków płatności.
• Tworzenie zbyt szerokich reguł blokujących, które wykluczają prawdziwych klientów.
• Cache’owanie stron koszyka, płatności lub panelu użytkownika bezpośrednio na poziomie Cloudflare.
• Nie wyłączanie trybu Under Attack przez tygodnie po zakończeniu ataku.
• Decydowanie wyłącznie na podstawie panelu Cloudflare bez analizy logów serwera.

W szczególności na stronach e-commerce blokowanie callbacków płatności może prowadzić do dużych strat finansowych. Dlatego reguły warto najpierw testować w trybie logowania lub managed challenge, zanim wprowadzi się blokady.

Jak zaplanować odporność na ataki DDoS w Hostragons?

Cloudflare to silna pierwsza linia obrony, ale skuteczna ochrona wymaga kompleksowego podejścia – optymalizacji oprogramowania, konfiguracji SSL, zarządzania DNS i strategii backupu. Na Hostragons najlepsza praktyka to filtrowanie ruchu przez Cloudflare, obsługa tylko czystego ruchu na warstwie hostingu oraz optymalizacja aplikacji, by nie generowała nadmiernego obciążenia bazy danych.

Przed uruchomieniem projektu zadbaj o prawidłowe ustawienia DNS, poprawną instalację certyfikatu SSL i dobranie zasobów serwera do profilu ruchu. Przydatne będą linki Sprawdzanie domen i rejestracja nazw, Pakiety hostingu WWW, rozwiązania hostingu dla firm oraz Darmowy certyfikat SSL.

W przypadku stron o dużym ruchu lub wysokim ryzyku ataków warto rozważyć VPS lub serwery zarządzane zamiast standardowego hostingu współdzielonego. Dzięki temu firewall, serwer WWW, PHP-FPM, Redis, cache obiektów i baza danych mogą być skonfigurowane bardziej elastycznie. Pamiętaj jednak, że tryb Under Attack to narzędzie awaryjne i nie zastąpi stałej ochrony opartej o WAF, analizę logów i regularne aktualizacje.

Szybka lista kontrolna na pierwsze 15 minut ataku DDoS

Czas reakcji jest kluczowy. Oto co powinien zrobić administrator lub właściciel strony w pierwszym kwadransie:

• Zaloguj się do panelu Cloudflare i wybierz właściwą domenę.
• Sprawdź, czy rekordy DNS mają pomarańczową chmurkę (proxy).
• Włącz tryb Under Attack.
• Przetestuj dostęp do strony głównej, logowania, koszyka, płatności i API.
• W Cloudflare Security Events ustal, które URL-e są najbardziej atakowane.
• Dodaj reguły WAF lub rate limiting dla najbardziej narażonych ścieżek.
• Monitoruj zużycie CPU, RAM, PHP-FPM i MySQL na serwerze.
• Sprawdź, czy adres IP origin jest chroniony i niedostępny bezpośrednio.
• Zweryfikuj, czy callbacki płatności i webhooki działają poprawnie lub dodaj je do allowlist.
• Dokumentuj wszystkie działania z godziną ich wykonania.

Regularne ćwiczenie tej procedury redukuje stres i poprawia jakość reakcji podczas rzeczywistego ataku. W dużych serwisach warto sporządzić formalny plan reakcji na incydenty.

Najczęściej zadawane pytania

Czy tryb Under Attack zapewnia pełną ochronę strony?

Nie. Tryb Under Attack skutecznie redukuje ruch botów i floodów na poziomie HTTP/HTTPS, ale nie zastąpi pełnej ochrony. Konieczne jest, aby rekordy DNS były proxied, adres origin ukryty, a ochrona uzupełniona regułami WAF, rate limitingiem, cache i konfiguracją firewalla na serwerze.

Czy tryb Under Attack szkodzi SEO?

Krótki czas używania trybu zwykle nie ma negatywnego wpływu na SEO. Jednak długotrwałe stosowanie może utrudnić robotom indeksującym dostęp do strony i pogorszyć doświadczenie użytkowników. Dlatego warto go wyłączać po zakończeniu ataku i korzystać z bardziej precyzyjnych zabezpieczeń.

Jak długo tryb Under Attack powinien być aktywny?

Tryb powinien pozostawać włączony tak długo, jak trwa intensywny atak. Po ustabilizowaniu ruchu warto monitorować stronę przez minimum 30-60 minut, a następnie stopniowo wyłączać tryb. Przed tym warto mieć gotowe reguły WAF i limity rate limiting.

Czy tryb Under Attack może wpłynąć na działanie API lub systemów płatności?

Tak, ponieważ niektóre systemy API, webhooki czy callbacki płatności nie obsługują weryfikacji JavaScript, którą wymusza tryb. Dlatego ważne jest testowanie krytycznych endpointów i w razie potrzeby tworzenie wyjątków lub allowlist.

Czy oprócz Cloudflare trzeba zabezpieczać hosting?

Tak. Cloudflare zapewnia silną ochronę na froncie, ale adres IP serwera origin powinien być ukryty, firewall skonfigurowany na dopuszczanie ruchu tylko z Cloudflare, oprogramowanie aktualne, a cache prawidłowo ustawiony. Bezpieczny hosting to ważny element odporności na DDoS.

Podsumowanie

Tryb Under Attack w Cloudflare to skuteczne narzędzie awaryjne, które podczas ataku DDoS szybko odciąża serwer i filtruje ruch botów, zwiększając szanse na dostęp prawdziwych użytkowników. Dla najlepszych efektów powinien być stosowany razem z regułami WAF, ograniczeniami rate limiting, optymalizacją cache oraz zabezpieczeniami firewall na serwerze origin.

Jeśli chcesz, aby Twoja strona była bardziej odporna na ataki, regularnie sprawdzaj konfigurację swojej infrastruktury, zarządzanie DNS i ustawienia SSL. Zapoznaj się również z ofertą Hostragons w zakresie hostingu, domen i certyfikatów SSL, które pomogą Ci zbudować bezpieczną i stabilną platformę.