Protección contra bots (JS Challenge)
Los modos de desafío de esta misma página: cómo se eligen y verifican los visitantes de riesgo.
Abrir el temaAyuda de CDN.com.tr
La página Seguridad: WAF, bloqueo de IP y país, hotlink, límite de velocidad
Todos los controles de seguridad a nivel de cuenta viven en una sola página Seguridad: el interruptor de WAF para todo el sitio, la protección contra bots con JS Challenge, el bloqueo de IP y de país, la protección hotlink, el límite de velocidad de solicitudes y la expiración de enlaces. Cada guardado se despliega al edge automáticamente — no hay un paso de publicación aparte.
Caché, seguridad, WAF y purga
La página Seguridad: WAF, bloqueo de IP y país, hotlink, límite de velocidad
Todos los controles de seguridad a nivel de cuenta viven en una sola página Seguridad: el interruptor de WAF para todo el sitio, la protección contra bots con JS Challenge, el bloqueo de IP y de país, la protección hotlink, el límite de velocidad de solicitudes y la expiración de enlaces. Cada guardado se despliega al edge automáticamente — no hay un paso de publicación aparte.
Ruta en el panel
- Panel de administración
- Cuentas CDN
- Seguridad
Requisitos previos
- La cuenta debe estar seleccionada en la página; todos los controles se aplican por cuenta.
- Para el bloqueo de país, use códigos ISO 3166-1 alpha-2.
Casos de uso
Quiere bloquear un rango de IP abusivo, impedir que otro sitio incruste sus imágenes o poner un límite de velocidad frente a un scraper — sin buscar la sección oculta correcta dentro de Delivery Rules.
Flujo de trabajo
- Abra la página Seguridad y confirme que la cuenta correcta está seleccionada — todos los controles de la página se aplican a esa cuenta.
- Haga un cambio a la vez: agregue las IP (una por línea), los códigos de país ISO, los dominios de hotlink o las cifras del límite de velocidad, y pulse el botón Save propio de ese control.
- Espere la confirmación en línea. Cada guardado envía automáticamente una nueva configuración de edge para la cuenta.
- Verifique desde fuera: una IP o un país bloqueados reciben una respuesta de error, una solicitud de imagen con referer ajeno se rechaza y las solicitudes que superan el límite de velocidad se rechazan hasta que la ventana se reinicia.
Verificaciones
- El interruptor de WAF cubre todo el sitio de la cuenta: inspecciona el contenido de la solicitud (patrones de SQL injection, XSS). JS Challenge es aparte — verifica que el cliente sea un navegador real, en modo de riesgo o para todo el tráfico.
- El bloqueo de IP acepta una dirección por línea. El bloqueo de país usa códigos ISO de dos letras (TR, DE, US) — bloquea visitantes, así que revise dos veces el código antes de guardar.
- La protección hotlink es lista blanca O lista negra: lista blanca significa "solo estos sitios pueden incrustar mis archivos", lista negra significa "todos excepto estos". En una lista blanca incluya sus propios dominios (incluido www).
- El límite de velocidad es N solicitudes por M segundos por cliente. Fíjelo a partir del tráfico real: un humano navega en ráfagas; un scraper es sostenido. Un límite demasiado estricto golpea primero a los usuarios reales.
- Estos mismos ajustes también son visibles dentro de Delivery Rules — son los mismos datos, con un solo lugar para administrarlos. Cambiarlos aquí los cambia allí.
Preguntas frecuentes
Bloqueé un país pero un visitante de allí todavía entra.
La búsqueda de país se hace por el registro GeoIP de la IP que se conecta. Las VPN, los proxies y las SIM en roaming resuelven a donde está registrada la IP, no a donde está la persona. El bloqueo de país sube la valla; no es una garantía de origen.
¿La protección hotlink romperá mi propio sitio o las imágenes de mi boletín?
No si la lista está bien hecha: en modo lista blanca incluya cada dominio suyo que incruste los archivos (www y subdominios). Los clientes de correo a menudo no envían referer alguno — pruebe una campaña después de activarla. El tema de ayuda sobre encabezados de estado de caché muestra cómo probar con curl.
¿Cuál es un primer límite de velocidad razonable?
Observe lo que hace un usuario real intensivo en su página más concurrida y deje un margen generoso por encima. Empiece holgado, vigile los paneles de WAF/ataques en la misma página y luego ajuste. Un límite que nunca se dispara sigue siendo útil — acota el peor caso.
¿Necesito desplegar o purgar después de guardar?
No. Cada guardado en esta página encola automáticamente un despliegue de configuración de edge para la cuenta. La purga es para el contenido en caché, no para los ajustes de seguridad — estos surten efecto en las solicitudes nuevas.