مدیریت محافظت در برابر ربات‌ها (JS Challenge)
تأیید سه‌حالته را از صفحهٔ امنیت فعال کنید، حالت «همه» را آگاهانه به کار ببرید و نرخ موفقیت را بخوانید.
راهنمای CDN.com.tr
خواندن وضعیت کش: HIT، MISS، BYPASS، EXPIRED
از هدر پاسخ X-Proxy-Cache-MT استفاده کنید تا دقیقاً ببینید CDN با یک درخواست چه کرده و تأیید کنید که کش طبق انتظار کار میکند.
کش، امنیت، WAF و پاکسازی
خواندن وضعیت کش: HIT، MISS، BYPASS، EXPIRED
از هدر پاسخ X-Proxy-Cache-MT استفاده کنید تا دقیقاً ببینید CDN با یک درخواست چه کرده و تأیید کنید که کش طبق انتظار کار میکند.
موارد کاربرد
یک مشتری هدرهای پاسخ را در DevTools مرورگر بررسی میکند و می‌خواهد بداند آیا محتوا از کش CDN سرویس‌دهی می‌شود، از مبدأ دریافت می‌شود یا عمداً رد می‌شود.
جریان کاری
- آدرس صفحه یا دارایی را باز کنید و هدرهای پاسخ را بررسی کنید (تب Network در DevTools مرورگر یا
curl -I). - هدر
X-Proxy-Cache-MTرا پیدا کنید. - مقدار را با واژه‌نامه زیر تطبیق دهید.
- درخواست را تکرار کنید: یک URL قابل‌کش سالم در اولین درخواست MISS و سپس HIT می‌شود.
بررسی‌ها
- HIT — از کش CDN و بدون تماس با مبدأ شما سرویس‌دهی شد. این هدف برای محتوای استاتیک و ناشناس است.
- MISS — هنوز در کش نیست؛ از مبدأ دریافت و ذخیره شد. درخواست یکسان بعدی باید یک HIT باشد.
- EXPIRED — کش شده بود اما TTL گذشت؛ دوباره از مبدأ دریافت شد.
- BYPASS — یک قاعده رد شدن با این درخواست مطابقت پیدا کرد، پس CDN عمداً به مبدأ رفت. رایج‌ترین دلیل: شما در یک پنل یا CMS وارد شدهاید و یک کوکی نشست/ورود کش را برای شما غیرفعال میکند. بازدیدکنندگان بدون آن کوکی همچنان HIT دریافت میکنند.
پرسش‌های متداول
من همیشه در مرورگرم BYPASS میبینم اما قرار است کش روشن باشد — چرا؟
تقریباً مطمئناً شما در سایت یا پنل وارد شدهاید. کوکیهای ورود و نشست عمداً از کش عبور میکنند تا صفحات شخصیسازیشده هرگز کش نشوند. این را با یک پنجره خصوصی یا curl -I https://yourdomain.com/path آزمایش کنید — باید ابتدا MISS و سپس HIT را ببینید.
آیا CDN هدر Cache-Control مبدأ را رعایت میکند؟
به قانون بستگی دارد — این دو حالت همزمان کار نمیکنند. وقتی Use browser cache time روشن باشد (پیشفرض حسابهای جدید)، هدر Cache-Control یا s-maxage یا Expires مبدأ، TTL لبه را تعیین میکند و همان هدر بدون تغییر به مرورگر میرسد. اگر Cache Expire Time را پر کنید، آن قانون هدرهای کش مبدأ را نادیده میگیرد و هدری را هم که مرورگر میبیند با مقدار شما بازنویسی میکند. دو تله: پاسخی که Set-Cookie دارد هرچقدر هم Cache-Control آن درست باشد کش نمیشود؛ و هرجا Image Optimization روشن باشد، برای حساب یا در قانون، تصاویر هرچه مبدأ بگوید ۳۶۵ روز نگه داشته میشوند.
به نظر میرسد موبایل و دسکتاپ بهصورت جداگانه کش میشوند — آیا این عادی است؟
خیر. کلید کش هیچ مؤلفهای برای دستگاه ندارد — موبایل و دسکتاپ یک ورودی مشترک دارند، بنابراین purge یک مسیر آن را برای هر دو پاک میکند.
چطور محتوای تازه را برای همه اجباری کنم؟
مسیر را از Purge Management پاکسازی کنید. یک بازخوانی کامل در مرورگر خودتان فقط بر کش مرورگر شما اثر میگذارد، نه بر کش CDN.
صفحات مرتبط
صفحهٔ امنیت: WAF، مسدودسازی IP و کشور، hotlink، محدودیت نرخ
همهٔ کنترل‌های امنیتی سطح حساب در یک صفحهٔ امنیت جمع شده‌اند: کلید WAF برای کل سایت، محافظت در برابر ربات‌ها با JS Challenge، مسدودسازی IP و کشور، محافظت hotlink، محدودیت نرخ درخواست و انقضای لینک. هر ذخیره بهصورت خودکار به edge میرسد — مرحلهٔ انتشار جداگانه‌ای وجود ندارد.
تعریف رفتار کش با Add Rule
پیکربندی کلید کش دامنه/مسیر، TTL، متدها/وضعیت‌ها، هدرها/کوکی‌ها، بهینه‌سازی و قواعد محدودیت نرخ.
خواندن لاگ‌های WAF
از لاگ‌های WAF برای توضیح ترافیک مسدود یا چالش‌شده بدون افشای سامانه‌های لاگ داخلی استفاده کنید.
پاکسازی محتوای کش‌شده
یک مسیر، مسیر ذخیره‌شده یا کل حساب را پاکسازی کنید و کش CDN را از کش مرورگر جدا کنید.
کلید کش و پاکسازی: چرا «پاکسازی کردم اما هنوز قدیمی است» اتفاق می‌افتد
هر شیء کش‌شده زیر کلیدی ذخیره می‌شود که از خود درخواست ساخته می‌شود — طرح (scheme)، میزبان، مسیر و رشته کوئری. یک پاکسازی فقط زمانی یک ورودی را پاک میکند که دقیقاً همان کلید را نشانه بگیرد. درک همین یک ایده تقریباً همه موارد «پاکسازی کار نکرد» را توضیح می‌دهد.
روشن کردن HSTS برای نام‌میزبان‌های شما
پیش‌تنظیم امنیتی Hsts باعث می‌شود لبه شبکه در پاسخ‌های HTTPS هدر Strict-Transport-Security: max-age=31536000 را ارسال کند، تا مرورگری که یک بار سایت شما را دیده دیگر برای یک سال حاضر به باز کردن آن روی HTTP ساده نباشد.
مسدود کردن ترافیک بر اساس ASN و کشور
دو فهرست سیاه سراسری حساب روی همان پنل: مسدود کردن کل یک کشور با کد کشور، یا مسدود کردن کل یک شبکه با شماره سیستم خودمختار (ASN). بازدیدکننده مسدودشده صفحه 403 برندشده همراه با یک Reference ID میبیند.
URLهای امضاشده: لینک‌هایی که منقضی میشوند
فایلی را طوری محافظت کنید که فقط با امضایی که خودتان تولید می‌کنید قابل دریافت باشد، معتبر تا لحظه‌ای که خودتان انتخاب می‌کنید. درخواست‌های بدون امضا 403 می‌گیرند و درخواست‌های منقضی‌شده 410.
بهینه‌سازی تصویر: AVIF و WebP روی لبه
بهینه‌سازی تصویر را برای حساب یا برای یک قانون تحویل روشن کنید و WebP یا WebP + AVIF را انتخاب کنید: لبه تصاویر JPEG و PNG را تبدیل میکند و به هر مرورگر قالبی را که می‌پذیرد می‌فرستد، و URL تصاویر در صفحات شما همان می‌ماند.