Le regole WAF personalizzate di Cloudflare (Custom Rules) utilizzano il motore Wirefilter, basato sulla sintassi di Wireshark, per ispezionare il traffico Layer 7 e decidere se autorizzarlo, bloccarlo o sottoporlo a challenge.
I campi piu usati nelle espressioni sono:
- http.request.uri.path: percorso richiesto (es. http.request.uri.path matches "^/admin")
- ip.src: indirizzo IP di provenienza o range CIDR
- ip.geoip.country: codice nazione ISO a due lettere del client
- cf.threat_score: punteggio di reputazione IP da 0 a 100 calcolato dall'intelligence di Cloudflare
- cf.client.bot: booleano che indica se la richiesta proviene da un bot verificato noto (come Googlebot).
Puoi combinare i criteri con operatori logici and, or, not e impostare azioni graduate: Block per attacchi noti, Managed Challenge per traffico sospetto e Bypass per partner fidati.