Protection réseau

Confirmer le domaine custom du Worker

Dans Cloudflare, ouvrez Domains > votre domaine court > DNS > Records. Utilisez le record Worker Custom Domain que Cloudflare crée pour le domaine court. Il devrait apparaitre comme un record Worker proxifie pour le hostname, par exemple v8s.link -> v8s-link.

Supprimez les anciens records synthetiques AAAA 100:: pour le même hostname une fois le Custom Domain actif. Gardez les records mail, DKIM, DMARC, MTA-STS et verification de propriété en DNS-only sauf si le fournisseur exige explicitement le proxy.

Utilisez le hostname apex comme seul hostname Worker vanityURLs. Si vous publiez www, créez un record DNS proxifie pour www et redirigez-le vers l’apex dans Cloudflare avant le Worker. Utilisez des records proxifies séparés seulement pour de vrais sous-domaines web, comme mta-sts ou un site de documentation.

Rediriger www vers l’apex

Dans Cloudflare, ouvrez Domains > votre domaine court > Rules. Préférez Redirect Rules lorsque disponible. Si votre zone utilise déjà les Page Rules legacy, une seule règle forwarding URL convient aussi pour cette canonicalisation de hostname parce qu’elle s’exécute avant le Worker et reste hors du registre de liens vanityURLs.

Configurez la redirection avec ces valeurs :

Gardez le record DNS www proxifie pour que Cloudflare recoive la requête et applique la redirection. N’ajoutez pas www au domaine custom du Worker ni aux expressions WAF/rate-limit ci-dessous sauf si vous servez volontairement le Worker sur les deux hostnames.

Etablir la base HTTPS

Dans Cloudflare, ouvrez Domains > votre domaine court > SSL/TLS > Overview. Dans Configure encryption mode, selectionnez Custom SSL/TLS, choisissez Full (Strict), puis sauvegardez. Cloudflare peut afficher Automatic SSL/TLS (default) avec un mode courant comme Flexible avant ce changement; c’est l’état a remplacer pour un domaine custom Worker en production.

Ensuite, ouvrez SSL/TLS > Edge Certificates et parcourez les options dans l’ordre du tableau de bord :

Activer les contrôles de sécurité de base

Dans Cloudflare, ouvrez Domains > votre domaine court > Security > Settings pour le tableau de bord, les bots, Browser Integrity Check, Challenge Passage, les réécritures de contenu et security.txt. La page Settings est longue et inclut des filtres ainsi qu’un champ de recherche. Ils sont utiles pour retrouver un réglage connu, mais cette checklist suit l’ordre de la page parce que les filtres cachent le contexte et rendent l’audit plus difficile. Les expressions custom sont couvertes dans Ajouter les règles WAF ci-dessous.

Les réglages de sécurité du plan gratuit doivent rester sobres et explicites. Activez les protections qui réduisent les abus courants, mais évitez les fonctionnalites qui modifient le contenu public ou exposent des données visiteur supplémentaires sans besoin clair.

Cloudflare déplace regulierement les libellés du tableau de bord. Consultez le changelog Cloudflare Docs et les changelogs produit, surtout Rules et les contrôles bot, lors de la mise à jour de cette page. Utilisez la capture brute dans data/cloudflare-protection-defaults.json pour comparer les libellés de menus dans le temps.

Ajouter les règles WAF

Dans Cloudflare, ouvrez Domains > votre domaine court > Security > Security rules > Security rules. Pour ajouter une custom rule, utilisez Create rule ou le menu Show all rule types, choisissez Custom rules, entrez le nom de la règle, cliquez Edit expression, collez une expression, choisissez l’action, puis déployéz. Pour le rate limiting, utilisez plutôt la rangee Rate limiting rules.

Les règles de sécurité Cloudflare s’executent avant le Worker. Utilisez-les pour le trafic qui ne devrait jamais atteindre le code applicatif.

Les expressions ci-dessous utilisent v8s.link et ciblent volontairement seulement le hostname apex. Redirigez www.v8s.link vers l’apex avant le Worker au lieu d’ajouter www à chaque règle Worker, WAF et rate-limit. Un CNAME DNS alias un hostname; il ne crée pas une redirection HTTP par lui-même.

Pour la règle de rate limiting du plan gratuit, utilisez Rate limit short-link candidates comme nom de règle, IP comme caractéristique, 20 requêtes par 10 secondes, Block comme action, 10 secondes comme durée, et First comme ordre. L’expression exclut la page /lookup mais pas /lookup/resolve, donc la résolution lookup reste couverte par l’unique règle de rate limiting disponible.

http.host eq "v8s.link" and
not cf.client.bot and
not starts_with(http.request.uri.path, "/_stats") and
not starts_with(http.request.uri.path, "/_tests") and
not starts_with(http.request.uri.path, "/_analytics") and
not http.request.uri.path in {"/" "/index" "/lookup" "/privacy" "/terms" "/abuse" "/security" "/404" "/expired" "/disabled" "/maintenance" "/security.txt" "/.well-known/security.txt" "/robots.txt" "/favicon.svg"} and
not lower(http.request.uri.path) contains ".css" and
not lower(http.request.uri.path) contains ".js" and
not lower(http.request.uri.path) contains ".png" and
not lower(http.request.uri.path) contains ".svg" and
not lower(http.request.uri.path) contains ".ico" and
not lower(http.request.uri.path) contains ".txt" and
not lower(http.request.uri.path) contains ".webmanifest" and
not lower(http.request.uri.path) contains ".woff"

http.host eq "v8s.link" and
http.request.method eq "POST" and
http.request.uri.path eq "/lookup/resolve" and
not cf.client.bot

http.host eq "v8s.link" and
http.request.method eq "POST" and
http.request.uri.path eq "/_analytics/lookup" and
not cf.client.bot

http.host eq "v8s.link" and (
  ends_with(lower(http.request.uri.path), ".php") or
  lower(http.request.uri.path) contains "/wp-content/" or
  lower(http.request.uri.path) contains "/wp-includes/" or
  lower(http.request.uri.path) contains "/wp-admin/" or
  lower(http.request.uri.path) contains "/wp-" or
  lower(http.request.uri.path) contains "wp-login.php" or
  lower(http.request.uri.path) contains "xmlrpc.php" or
  lower(http.request.uri.path) contains ".env" or
  lower(http.request.uri.path) contains "phpinfo" or
  lower(http.request.uri.path) contains "/vendor/" or
  lower(http.request.uri.path) contains "/.git" or
  lower(http.request.uri.path) contains "/cgi-bin/"
)

http.host eq "v8s.link" and
not http.request.method in {"GET" "HEAD" "OPTIONS"} and
not (
  http.request.method eq "POST" and
  http.request.uri.path in {"/lookup/resolve" "/_analytics/lookup"}
)

http.host eq "v8s.link" and
not cf.client.bot and
not starts_with(http.request.uri.path, "/_stats") and
not starts_with(http.request.uri.path, "/_tests") and
(
  lower(http.user_agent) contains "curl" or
  lower(http.user_agent) contains "wget" or
  lower(http.user_agent) contains "python-requests" or
  lower(http.user_agent) contains "go-http-client" or
  lower(http.user_agent) contains "httpclient"
)

http.host eq "v8s.link" and
http.request.uri.path ne "/robots.txt" and (
  lower(http.user_agent) contains "applebot" or
  lower(http.user_agent) contains "archive.org_bot" or
  lower(http.user_agent) contains "arquivo-web-crawler" or
  lower(http.user_agent) contains "bingbot" or
  lower(http.user_agent) contains "chatgpt-user" or
  lower(http.user_agent) contains "duckassistbot" or
  lower(http.user_agent) contains "googlebot" or
  lower(http.user_agent) contains "manus-user" or
  lower(http.user_agent) contains "meta-externalfetcher" or
  lower(http.user_agent) contains "mistralai-user" or
  lower(http.user_agent) contains "oai-searchbot" or
  lower(http.user_agent) contains "perplexity-user" or
  lower(http.user_agent) contains "perplexitybot" or
  lower(http.user_agent) contains "proratainc" or
  lower(http.user_agent) contains "terracotta"
)

Collez et validez une expression complété à la fois. Deployer les règles désactivées pendant le calibrage si du trafic circule déjà, puis activez-les après verification dans Security Events.

Decider des contrôles de crawlers

Dans Cloudflare, utilisez Domains > votre domaine court > AI Crawl Control pour les contrôles spécifiques aux crawlers. C’est séparé du contrôle large Security > Settings > Block AI bots couvert plus haut.

Utilisez AI Crawl Control > Security pour bloquer des crawlers nommes et configurer la réponse aux crawlers bloques. Si vous utilisez cette page, règlez les chemins autorises de la réponse de blocage sur :

• /robots.txt
• /llms.txt
• /llms-full.txt
• /.well-known/*

Laissez /mcp et /ads.txt désactifs sauf si l’instance publie volontairement ces fichiers. Garder /.well-known/* autorise est important parce que vanityURLs publie le contact de divulgation sécurité a /.well-known/security.txt.

User-agent: *
Disallow: /

Allow: /robots.txt
Allow: /llms.txt
Allow: /llms-full.txt
Disallow: /en/_stats/
Disallow: /*/_stats/
Disallow: /lookup/

La page Signals devrait afficher /robots.txt comme accessible avec 200 OK. Utilisez Agent Readiness et Robots.txt violations comme surfaces de suivi, pas comme source de vérité du contenu du fichier.

Configurer Rules et URL normalization

Dans Cloudflare, ouvrez Domains > votre domaine court > Rules > Settings. Revoyez Managed Transforms, Bulk Redirects et URL Normalization.

Reglages Rules recommandes :

Configurer Network

Dans Cloudflare, ouvrez Domains > votre domaine court > Network.

Reglages Network recommandes :

Garder le caching conservateur

Dans Cloudflare, ouvrez Domains > votre domaine court > Caching > Configuration pour les réglages generaux de cache, puis Caching > Cache Rules pour confirmer qu’aucune règle de cache n’existe.

Gardez le caching sobre pour un redirecteur :

• Laissez les décisions de redirection dynamiques au Worker
• Laissez les assets statiques sous build/ utiliser le Worker et les en-têtes d’assets
• Gardez Development Mode désactive sauf pendant un debogage actif
• Ne creez pas de Cache Rules ni de Cache Response Rules pour le baseline
• Si des Cache Rules ou Cache Response Rules existent, désactivez-les ou supprimez-les avant la mise en production