Управление защитой от ботов (JS Challenge)
Включите трёхрежимную проверку на странице «Безопасность», используйте режим «Все» осознанно, читайте долю пройденных.
Справка CDN.com.tr
Чтение статуса кеша: HIT, MISS, BYPASS, EXPIRED
Используйте заголовок ответа X-Proxy-Cache-MT, чтобы точно увидеть, что CDN сделал с запросом, и убедиться, что кеширование работает как задумано.
Кеш, безопасность, WAF и очистка
Чтение статуса кеша: HIT, MISS, BYPASS, EXPIRED
Используйте заголовок ответа X-Proxy-Cache-MT, чтобы точно увидеть, что CDN сделал с запросом, и убедиться, что кеширование работает как задумано.
Сценарии использования
Клиент проверяет заголовки ответа в DevTools браузера и хочет узнать, отдаётся ли контент из кеша CDN, загружается с origin или намеренно пропускается.
Порядок действий
- Откройте URL страницы или ресурса и проверьте заголовки ответа (вкладка Network в DevTools браузера или
curl -I). - Найдите заголовок
X-Proxy-Cache-MT. - Сопоставьте значение с глоссарием ниже.
- Повторите запрос: у корректно кешируемого URL первый запрос даёт MISS, затем — HIT.
Проверки
- HIT — отдано из кеша CDN без обращения к origin. Это цель для статического и анонимного контента.
- MISS — ещё не в кеше; загружено с origin и сохранено. Следующий идентичный запрос должен дать HIT.
- EXPIRED — было кешировано, но истёк TTL; повторно загружено с origin.
- BYPASS — для этого запроса сработало правило пропуска, поэтому CDN намеренно обратился к origin. Самая частая причина: вы вошли в панель или CMS, и cookie сессии/входа отключает кеширование для вас. Посетители без этого cookie по-прежнему получают HIT. Запросы с заголовком Authorization (токен Bearer, Basic auth) тоже всегда показывают BYPASS.
Часто задаваемые вопросы
В браузере я всегда вижу BYPASS, хотя кеширование должно быть включено — почему?
Вы почти наверняка авторизованы на сайте или в панели. Cookie входа и сессии намеренно обходят кеш, чтобы персонализированные страницы никогда не кешировались. Проверьте в приватном окне или через curl -I https://yourdomain.com/path — вы должны увидеть сначала MISS, затем HIT.
Учитывает ли CDN заголовок Cache-Control от origin?
Зависит от правила — эти два режима взаимоисключающие. Когда включён Use browser cache time (значение по умолчанию для новых аккаунтов), TTL на edge задаёт заголовок Cache-Control, s-maxage или Expires от origin, и заголовок доходит до браузера без изменений. Если задать Cache Expire Time, это правило игнорирует кеш-заголовки origin и переписывает тот, что получает браузер, вашим значением. Две ловушки: ответ с Set-Cookie не кешируется, каким бы правильным ни был его Cache-Control; а там, где включена Image Optimization, для аккаунта или в правиле, изображения хранятся 365 дней независимо от того, что говорит origin.
Мобильная и десктопная версии, похоже, кешируются отдельно — это нормально?
Нет. В ключе кеша нет компонента устройства — мобильная и десктопная версии используют одну запись, поэтому purge пути очищает её для обеих.
Как принудительно обновить контент для всех?
Очистите путь через Purge Management. Жёсткое обновление в вашем собственном браузере влияет только на кеш браузера, а не на кеш CDN.
Кэшируются ли запросы с заголовком Authorization?
Нет. Запросы с заголовком Authorization (токен Bearer, Basic auth) никогда не отдаются из кэша CDN и не сохраняются в нём; они всегда идут на ваш исходный сервер и показывают BYPASS.
Похожие страницы
Страница «Безопасность»: WAF, блокировка IP и стран, hotlink, rate limit
Все настройки безопасности уровня аккаунта собраны на одной странице «Безопасность»: общий переключатель WAF, защита от ботов JS Challenge, блокировка IP и стран, защита от hotlink, ограничение частоты запросов и срок действия ссылок. Каждое сохранение автоматически разворачивается на edge — отдельный шаг публикации не нужен.
Настройка поведения кеша через Add Rule
Настраивайте ключ кеша домена/пути, TTL, методы/статусы, заголовки/cookie, оптимизацию и правила ограничения запросов.
Чтение журналов WAF
Используйте журналы WAF, чтобы объяснить заблокированный или подозрительный трафик, не раскрывая внутренние системы логирования.
Очистка кешированного контента
Очистите путь, сохранённый путь или весь аккаунт и разделите кеш CDN и кеш браузера.
Ключи кеша и очистка: почему возникает «я очистил, а контент всё ещё старый»
Каждый кешированный объект хранится под ключом, который строится из запроса — схемы, хоста, пути и строки запроса. Очистка удаляет запись только тогда, когда обращается именно к этому ключу. Одна эта идея объясняет практически каждый случай «очистка не сработала».
Включите HSTS для ваших хостов
Пресет безопасности Hsts заставляет edge отправлять Strict-Transport-Security: max-age=31536000 в HTTPS-ответах, поэтому браузер, однажды увидевший ваш сайт, весь год отказывается открывать его по обычному HTTP.
Блокировка трафика по ASN и по стране
Два общеаккаунтных чёрных списка на одной панели: блокировка целых стран по коду страны или целых сетей по номеру автономной системы. Заблокированный посетитель получает фирменную страницу 403 с Reference ID.
Подписанные URL: ссылки с истекающим сроком действия
Защитите файл так, чтобы его можно было получить только по подписи, которую вы сами генерируете и которая действительна до выбранного вами момента. Запросы без подписи получают 403, а с истёкшим сроком — 410.
Оптимизация изображений: AVIF и WebP на edge
Включите оптимизацию изображений для аккаунта или для одного правила доставки и выберите WebP или WebP + AVIF: edge конвертирует JPEG и PNG и отдаёт каждому браузеру формат, который тот принимает, а URL изображений на ваших страницах остаются прежними.