Подключение к источнику: реальный IP посетителя, закрытие доступа к источнику, WebSocket и тайм-ауты

Проверки

• Реальный IP посетителя приходит в заголовке X-CDN-Client-IP. Он содержит одно значение, и edge-сервер перезаписывает его при каждом запросе; заголовок с тем же именем, отправленный посетителем, не используется. Значением также может быть адрес IPv6.
• Edge-серверы также отправляют X-Real-IP и X-Forwarded-For. Если вы используете X-Forwarded-For, берите крайнее правое значение, а не первое; значения слева может вписать сам посетитель.
• Заголовки, отправляемые на источник задаются для каждого правила отдельно: один заголовок на строку, в формате Header-Name value. Когда вы добавляете новое правило, добавьте в него и секретный заголовок; иначе источник будет отклонять запросы этого правила.
• Сделайте значение секретного заголовка случайным, не менее 32 символов, только буквы и цифры. В правилах, которые подключаются к источнику по HTTPS, заголовок передаётся в зашифрованном виде.
• Полагайтесь на секретный заголовок, а не только на список IP-адресов для закрытия источника. Текущие адреса edge-серверов, связанных с вашим аккаунтом, мы сообщаем по запросу.
• В правиле с включённой опцией Разрешить подключения WebSocket соединения доходят до источника и остаются открытыми, пока идёт передача данных; ответы на этом пути не кешируются. WebSocket нельзя включить в правиле, которое оптимизирует изображения, поэтому для пути WebSocket создайте отдельное правило.
• Тайм-аут ответа источника по умолчанию составляет 60 секунд: если источник не отправляет данные в течение 60 секунд, запрос завершается ошибкой 504, а простаивающее WebSocket-соединение закрывается. Вы можете задать это значение для каждого правила в диапазоне от 1 до 3600 секунд. Пока данные передаются, общая длительность соединения не ограничена.
• На домене ваших приложений Managed Container WebSocket включён по умолчанию, а тайм-аут составляет 300 секунд, если правило не задаёт другое значение.
• При включённом WAF по умолчанию разрешены методы GET, HEAD, POST и OPTIONS. Проверка JavaScript применяется только к запросам страниц из браузеров и не влияет на запросы API.