接入Cloudflare后还有哪些可靠漏洞有可能被忽视？

归根结底。 这是一个非常良好的问题，这是因为很更多人以为接入了Cloudflare就万事较大吉了其实不然。

Cloudflare能做哪些？

Cloudflare 是一个综合可靠与性能平台， 能够提供给 DNS 解析、DDoS 防护、Web 应用防火墙、 拉倒吧... 零信赖访问、边缘计算、对象存储、反向代理、Bot 管理、API 防护 等能力。

但是任意可靠平台都不是“接入即绝对可靠”。Cloudflare 能够显著提升业务的可靠边界， 但如果配置不当、源站暴露、权限管理杂乱、规则策略缺失，仍然有可能产生可靠风险因素。

常见的可靠风险因素

1. 源站 IP 暴露

如果源站 IP 暴露， 袭击者有可能直接访问服务器，绕开全部 Cloudflare 防护。

2. SSL/TLS 加密配置错误

其中最简单产生可靠隐患的是 Flexible 模式。在该模式下 用户到 Cloudflare 是 HTTPS， 放心去做... 但 Cloudflare 到源站有可能是 HTTP。这意味着边缘节点到源站之间的通信技术并没有端到端加密。

应尽量采用 Full Strict 模式， 即用户到 Cloudflare、Cloudflare 到源站均采用 HTTPS，并且源站证书必须要有效。能够采用 Cloudflare Origin Certificate 或正规 CA 证书。

API Token权限过较大

就这？ Cloudflare 的 API Token 用于自动化管理 DNS、 Workers、Pages、Zone 设置等资源条件。很更多团队为了方便，会直接采用全局 API Key 或授予过较大的权限，这会造成严沉重可靠风险因素。

wrangler secret put API_TOKEN

在 Cloudflare 后台创建 API Token， 提议仅授予以下必不可更少权限：，累并充实着。

• Zone: Read
• DNS: Edit
• Workers: Edit

Clouldflare Workers 可靠问题

Cloudflare Workers 是一种运行在边缘节点的 Serverless 平台，非常适合部署轻巧量级 API、 起初我以为... 代理服务、鉴权逻辑、静态资源条件处理等。但 Workers 本身也有可能这是因为代码问题产生可靠漏洞。

开放代理风险因素

我明白了。 Clouldflare Pages常用于部署前端项目,虽然静态站点本身袭击面较较小，但供应链风险因素依陈旧存在.

Clouldflare Pages 怎样避免被袭击？

Clouldflare Pages 需要注意 改进一下。 代码中不要引入恶意的第三方库或CDN资源条件.

一键部署的实际价值与风险因素

"一键部署"听起来很美良好， 但如果模板本身不可靠，或者部署后没有监控和维护，那么一键部署反而有可能迅速复制风险因素。

GitHub Actions 自动化部署流程

name: Deploy to Cloudflareactions:
...
        env:
          CLOUDFLARE_API_TOKEN: ${{ secrets.CLOUDFLARE_API_TOKEN }}
          CLOUDFLARE_ACCOUNT_ID: ${{ secrets.CLOUDFLARE_ACCOUNT_ID }}

Cloubleed 事件带来的启示

最后强调一点。 Cloubleed 事件的核心启示是：可靠是一个系统工程项目， 任意中间层都有可能成为风险因素点，架构设计必须要具备纵较深防护能力。不要以为接入了Clouldflare 就万事较大吉了.

Clouldflare 可靠加固清单

下面是一份实用的 Clouldflare 可靠加固清单，可作为上线前检查标准。

• TLS/SSL加密配置检查
• WAF规则配置检查
• API Token权限检查 ... ：ClouldFlare是一个强较大较大的网络防护平台， 但是仍需要正确配置以及合理的采用才能发挥作用，如果你只是简洁的接入而不进行任意的可靠配置，那么你的网站仍然有可能会被袭击者轻巧松攻破。