Biztonság a gyakorlatban: DDoS, WAF, botok, Turnstile

22.1DDoS: mit kell tenned? (Kevesebbet, mint gondolnád)

A hálózati és alkalmazásrétegű DDoS-védelem alapból aktív minden proxyzott zónán, konfiguráció és külön díj nélkül. Ez nem marketingmondat: a legtöbb támadás úgy zajlik le, hogy észre sem veszed — legfeljebb utólag látod a grafikonon. Amit érdemes tudnod:

22.2WAF: mit kapcsolj be induláskor?

Sorrendben, az első naptól:

1. Managed Rules — a Cloudflare kezelt szabálykészlete (OWASP-jellegű támadási minták: SQL-injection, XSS, ismert CVE-k). Kapcsold be, majd figyeld pár napig log-módban, mielőtt blokkolásra állítod: a saját appod is generálhat olyan kérést, ami mintára illik (különösen JSON-testű API-knál).
2. Rate limiting rules a kritikus végpontokra — a 9. modulban láttad a login-példát. Amit érdemes védeni: /api/auth/*, jelszó-visszaállítás, regisztráció, keresés, export.
3. Bot Fight Mode (vagy a magasabb csomagokban Super Bot Fight Mode) — az egyszerű, automatizált forgalom kiszűrésére.
4. Custom rules a saját üzleti szabályaidra — lásd lent.

Saját szabályok, amiket egy SaaS-nak érdemes felvennie

22.3Security Events — a hibakeresés helye

Amikor egy felhasználó azt írja, hogy „nem tudok belépni" vagy „503-at kapok", és a Workers-logokban semmi nincs (9. modul), akkor a kérés valószínűleg el sem jutott a kódodig. A Security Events (Security Analytics) mutatja meg:

• Melyik szabály fogta meg a kérést (managed rule ID, custom rule név, rate limit).
• Milyen akció történt (block, challenge, skip, log).
• A kérés jellemzői: IP, ország, ASN, user agent, path, bot-pontszám.

Innen két irány van: ha valós támadás, finomítod a szabályt; ha false positive (a saját forgalmad akadt fenn), akkor kivételt veszel fel — például egy skip szabállyal az adott útvonalra és a konkrét managed rule ID-ra. Ez a napi biztonsági rutin nagy része.

22.4Turnstile: CAPTCHA a felhasználó zaklatása nélkül

A Turnstile a reCAPTCHA-alternatíva: a legtöbb valódi felhasználónak semmit nem kell megoldania (nincs tűzoltócsap-kattintgatás), a védelem a böngésző-jelekből és viselkedésből dolgozik. Ingyenes, és nem a Google-nek adja az adataidat — ami EU-s ügyfeleknél önmagában érv.

Kliensoldal (Nuxt)

<template>
  <div ref="el"></div>
</template>

<script setup>
const el = ref();
const emit = defineEmits(["verified"]);

onMounted(() => {
  // a Turnstile script betöltése után:
  window.turnstile.render(el.value, {
    sitekey: useRuntimeConfig().public.turnstileSiteKey,
    callback: (token) => emit("verified", token),   // ezt küldjük a szervernek
  });
});
</script>

Szerveroldali validáció — ez a lényegi rész

A kliensről érkező token önmagában semmit nem jelent: a szervernek kell ellenőriznie a Cloudflare-nél. Enélkül a widget csak díszlet, amit egy szkript megkerül.

export async function verifyTurnstile(env, token: string, ip?: string) {
  const form = new FormData();
  form.append("secret", env.TURNSTILE_SECRET_KEY);   // secret! (12. modul)
  form.append("response", token);
  if (ip) form.append("remoteip", ip);

  const res = await fetch(
    "https://challenges.cloudflare.com/turnstile/v0/siteverify",
    { method: "POST", body: form }
  );
  const data = await res.json();
  return data.success === true;
}

export default defineEventHandler(async (event) => {
  const { env, cf } = event.context.cloudflare;
  const body = await readBody(event);

  const ip = getHeader(event, "cf-connecting-ip");
  if (!(await verifyTurnstile(env, body.turnstileToken, ip))) {
    throw createError({ statusCode: 400, message: "Ellenőrzés sikertelen" });
  }

  // … innentől a rendes regisztrációs logika (17. modul)
});

22.5A védelmi rétegek együtt — mikor melyik?

22.6Ellenőrizd magad