Sulod sa mga tuig gipahadlok kamo sa Chrome bahin sa site nga walay kandado. Karon matag site adunay - ug sa pito sa napulo ka dagkong site, ang kandado padulong sa middlebox
Ang kandado ug HTTPS nahimo para sa usa ka rason: aron walay tawo tali kanimo ug sa site nga makabasa sa imong gipadala. Ang imong ISP, Wi-Fi sa cafe, estado sa linya - tanan ciphertext ra ang makita. Sulod sa mga tuig gitudlo sa browser: kung walay kandado - ayaw isulod ang password.
Ang Cloudflare proxy nga molingkod tali kanimo ug sa site; Amazon CloudFront, Azure Front Door, Akamai, ug Fastly pareho ra. Aron «makunhoran ang pag-atake», kinahanglan makita sa middlebox ang traffic nga klaro. Busa ang imong koneksyon matapos sa ilang server: didto i-decrypt ang request, susihon batok sa ilang rules, dayon ipadala ngadto sa site pinaagi sa laing koneksyon. Ang docs mismo sa Cloudflare nagtawag niini og TLS termination - «ang punto diin i-decrypt ang HTTPS traffic aron masusi sa Cloudflare». Amazon, Azure, ug Akamai naggamit sa parehong ngalan para sa parehong punto sa ilang docs.
Teknikal kini klasikal nga man in the middle. Ang bugtong kalainan gikan sa pag-atake: ang tag-iya sa site miuyon sa dihang gibutang ang site luyo sa middlebox. Ang plano o setting dili magkuha niini: samtang ang site luyo sa middlebox, ang encryption matapos sa middlebox - sa free plan ug sa Enterprise. Walay nangutana kanimo, ug ang kandado dili mosulti.
Unsa kini nagpasabot sa praktis - gikan sa docs ug petsa
Walay husga. Hanya dokumentotasi Cloudflare sendiri, laporan insidennya, ug tulisan publik - uban tanggal, agar matag baris makahimo dicek.
Pito sa napulo ka kinadak-ang site - luyo sa middlebox
Sumala sa HTTP Archive 2025, 71% gikan sa seribu site paling dikunjungi sa kalibutan menyajikan bahkan dokumento HTML lewat middlebox; sa top 10.000 - 70%, sa top 100.000 - 62%. Siapa middlebox itu: Cloudflare - 58% site semacam itu, lalu Amazon CloudFront (7%), Fastly (5%), Akamai (2%), ug cloud load balancer. Menghitung tanan site sa kalibutan, matag tiga site satu luyo sa middlebox; Cloudflare sendiri - 26% tanan site ug 85% pasar reverse-proxy.
WAF membaca body matag permintaan - sumala sa dokumentotasi
Aturan Cloudflare «memeriksa body matag permintaan masuk», ug field http.request.body.raw dalam bahasa aturan sila mao «body permintaan HTTP nga dili diubah». Form login mao body permintaan. Login ug password sa dalamnya mao plaintext.
Cloudbleed, 2017: memori middlebox bocor ngadto sa respons lain
Dari 22 September 2016 hingga 18 Februari 2017, bug sa parser Cloudflare mencampur potongan memori gikan sa satu site ngadto sa respons site lain: header, potongan permintaan POST berisi password, cookie, kunci API, ug token. Cloudflare menghitung 1,2 juta hit; kebocoran masuk ngadto sa cache pencarian - lebih gikan sa 80.000 halaman dibersihkan. Liputan media menyebut Uber, OkCupid, Fitbit.
November 2023: penyerang masuk Cloudflare uban kunci curian
Dari 14 hingga 24 November 2023, penyerang - Cloudflare menyebut sila «nation-state» - uban kredensial nga dicuri dalam kebocoran Okta bekerja sa dalam sistem Cloudflare: wiki Confluence, tracker Jira, repo Bitbucket, 76 repositori diunduh. Setelah kana Cloudflare merotasi lebih gikan sa 5.000 kredensial ug meninjau 4.893 sistem.
Satu saklar para sa semua
2 Juli 2019 - 27 menit, satu regex sa WAF, traffic turun 82%. 21 Juni 2022 - 75 menit, 19 pusat data. 18 November 2025 - hampir enam jam, «gangguan terburuk sejak 2019»: X, ChatGPT, Spotify, Shopify, Coinbase down. 5 Desember 2025 - lagi 25 menit. 20 Februari 2026 - enam jam, kesalahan BGP. Tidak satu pun gangguan kana serangan.
Cloudflare nga memutuskan apakah Ikaw manusia
Pemilik site mencentang kotak - ug akses diputuskan dili oleh mereka, melainkan oleh filter Cloudflare. Dokumentasinya mengakui «challenge loop, saat tantangan muncul terus-menerus», termasuk karena VPN ug proxy. Sejak 2016 Cloudflare memperlakukan Tor sebagai «negara» terpisah ug mengklaim 94% permintaan gikan sa sana berbahaya; Tor Project menjawab soal «loop CAPTCHA tanpa akhir» ug pemblokiran setidaknya 80% alamat Tor.
Ketika nasud berperang uban middlebox: kasus Rusia
Pada Oktober 2024 Cloudflare mengaktifkan enkripsi ECH secara default sa paket gratis. Pada 6 November 2024 site sa balik Cloudflare uban ECH berhenti terbuka bagi ISP Rusia; sa 7 November CMU SSOP (unit Roskomnadzor, regulator komunikasi Rusia) menyebut ECH «sarana menghindari pembatasan» ug merekomendasikan tag-iya menonaktifkannya «atau, lebih baik, memakai CDN dalam negeri». Sejak 9 Juni 2025 empat operator Rusya terbesar memotong traffic Cloudflare hingga 16 KB pertama matag file. Traffic gikan sa Rusya turun sekitar 30%; lebih gikan sa 40% site web Rusya - sekitar 300.000 - berada sa balik Cloudflare. Pada 2 Juni 2026 FSB mengumumkan bahwa dinas intelijen asing telah mengumpulkan data gikan sa ponsel pejabat Rusya «menggunakan kemampuan teknis» Cloudflare ug Fastly, ug membuka kasus sa bawah pasal 272 ug 273 KUHP - dili menunjukkan bukti teknis, ug kompanya dili menjawab. Cloudflare nga sama sejak 2022 menutupi site Kementerian Pertahanan Inggris sa bawah kontrak pemerintah - Angkatan Darat, Royal Navy, RAF, ug portal Defence Gateway para sa 330.000 pengguna: £425rb para sa 2022-2025 ug £105rb para sa 2025-2026.
Skema nga sama sa mana-mana: Amazon, Akamai, Azure, Fastly
Setiap proxy o cloud load balancer nga menghentikan TLS sa dirinya bekerja sama: Amazon CloudFront ug ALB, Azure Front Door ug Application Gateway, Akamai, Fastly, Imperva, serta sa Asia - Alibaba Cloud CDN ug Tencent EdgeOne. Masing-masing punya WAF sendiri nga membaca body permintaan, cache sendiri, ug gangguan sendiri. Cloudflare hanya nga terbesar ug paling terbuka sa dokumentotasinya. Hosting biasa uban sertipiko sa server origin berbeda: sa sana hanya site nga membaca traffic.
Unsa kini nagpasabot bagi kuwarta Ikaw
Exchange luyo sa middlebox
Web wallet luyo sa middlebox
Wallet nga adunay offline nga pirma
Susiha bisan unsang site sulod sa usa ka minuto
Dili kinahanglan motuo kanamo o kanila. Ang middlebox magbilin og timailhan sa matag tubag, ug bisan kinsa makakita niini.
Kami mengambil lima wallet paling populer ug melihat siapa nga duduk sa antara Ikaw ug situsnya
Wala kami magtag-an ug wala magbasa og review sa lain: ordinaryong request ang among gipadala sa mga site, gitimbaya ang response headers ug sertipiko. Ang resulta anaa sa ubos, sama ra.
Unsa ang gipangutana human mabasa hangtod dinhi
Unsa ang Cloudflare sa yano nga pulong?
Kompanya nga middlebox: ang site mopasa sa tanan niyang traffic pinaagi sa ilang server, ug sila «mopanalipod» niini. Aron «mopanalipod», ilang i-decrypt ang inyong koneksyon sa ilang kilid. Mao kini ang paagi sa usa ka quarter sa tanan nga site sa kalibutan.
Makakita ba ang Cloudflare sa akong password?
Oo. Ang koneksyon matapos sa ilang server, ug ang filter rules sumala sa docs magbasa sa body sa matag request - ang login form uban username ug password mao gyud kana nga body. Kung tipigan ba ug unsa kadugay, gitakda sa ilang polisiya nga dili nimo mapamatud-an.
Ngano mangayo ang site nga akong kumpirmahon nga tawo ko?
Dili kana ang site - Cloudflare kana. Ang tag-iya nagbukas sa tseke, ug ang filter sa middlebox ang magdesisyon: VPN, Tor, «duda» nga rehiyon, daan nga browser - ug ikaw mahulog sa challenge loop. Ang Cloudflare mismo miangkon niining mga loop sa ilang dokumentasyon.
Ang site luyo sa Cloudflare dili moabli sa akong nasud. Unsa akong mahimo?
Kung makig-away ang nasud sa middlebox, ang tiggamit makakuha og VPN - o site nga walay middlebox. Ang tag-iya sa site adunay usa ka tinuod nga solusyon: kuhaa ang Cloudflare gikan sa taliwala nila ug sa ilang tiggamit. Ang kaso sa Rusya sa Kamatuoran 07 nagpakita kung unsa kadali ang «site down» mahimong «nakig-away ang middlebox sa ISP».
Bahin ba kini sa Cloudflare ra?
Dili. Bisan unsang middlebox nga mag-terminate og TLS sa iyang kaugalingon molihok niining paagiha: Amazon CloudFront ug AWS load balancer, Azure Front Door, Akamai, Fastly, Imperva. Sa libo ka kinadak-ang site sa kalibutan, 71% luyo sa middlebox: Cloudflare - 58% niini, Amazon - 7%, Fastly - 5%, Akamai - 2%. Ang ordinaryong hosting lahi: didto ang traffic ug sertipiko iya sa site mismo.
Tag-iya ko og site. Unsa akong buhaton?
Desisyoni kung unsa ang mas importante: «proteksyon gikan sa pag-atake» o nga ang password sa inyong tiggamit dili moagi sa code sa lain. Ang plano ug setting dili magbag-o niini - sa bisan unsang plano ang cipher matapos sa middlebox. Adunay kompromiso - proxy nga dili mag-decrypt og TLS ug magpasa ra sa stream pinaagi sa ngalan sa server. Mao kana ang paagi sa among front server: proteksyon gikan sa sobrang traffic magpabilin, plaintext middlebox wala.