Conexión con el origen: la IP real del visitante, el bloqueo de su origen, WebSocket y tiempos de espera

Verificaciones

• La IP real del visitante llega en la cabecera X-CDN-Client-IP. Contiene un único valor y el servidor edge la reescribe en cada solicitud; no se usa una cabecera con el mismo nombre enviada por el visitante. El valor también puede ser una dirección IPv6.
• Los servidores edge también envían X-Real-IP y X-Forwarded-For. Si usa X-Forwarded-For, tome el valor más a la derecha, no el primero; el visitante puede escribir los valores de la izquierda.
• Cabeceras enviadas a su origen se configuran por regla: una cabecera por línea, en la forma Header-Name value. Cuando añada una regla nueva, añádale también la cabecera secreta; si no, su origen rechaza las solicitudes de esa regla.
• Haga que el valor de la cabecera secreta sea un valor aleatorio de al menos 32 caracteres, solo letras y dígitos. En las reglas que se conectan con su origen por HTTPS, la cabecera viaja cifrada.
• Confíe en la cabecera secreta en lugar de bloquear su origen solo con una lista de IP. Le indicamos las direcciones actuales de los servidores edge vinculados a su cuenta cuando lo solicite.
• En una regla con Permitir conexiones WebSocket activado, las conexiones llegan a su origen y permanecen abiertas mientras fluyen datos; las respuestas en esa ruta no se almacenan en caché. WebSocket no se puede activar en una regla que optimiza imágenes, así que cree una regla aparte para la ruta de WebSocket.
• El tiempo de espera de respuesta del origen es de 60 segundos por defecto: si su origen no envía datos durante 60 segundos, la solicitud termina con un error 504 y una conexión WebSocket inactiva se cierra. Puede configurarlo por regla entre 1 y 3600 segundos. Mientras fluyan datos, no hay límite para la duración total de una conexión.
• En el dominio de sus aplicaciones de Managed Container, WebSocket está activado por defecto y el tiempo de espera es de 300 segundos salvo que la regla establezca otro valor.
• Con el WAF activado, GET, HEAD, POST y OPTIONS están permitidos por defecto. La verificación de JavaScript se aplica solo a las solicitudes de página desde navegadores y no afecta a las solicitudes de API.