Modo sob ataque e bots
Toda rota HTTP pública passa por um serviço de desafio na borda, antes do WAF. Na maior parte do tempo ele só deixa passar. Quando você liga o modo sob ataque, ou quando uma regra de bot pede, o visitante sem passe válido recebe uma página de desafio. O navegador resolve uma prova de trabalho em cerca de 1 a 2 segundos, sem interação, e recebe um passe (cookie __Host-atlas_pass) válido só para aquele domínio. Robôs que não executam JavaScript ficam de fora.
Tudo isso fica na aba Bots e desafio do WAF da organização (Organização › WAF › Bots e desafio). Todo membro consulta; só Owner e Admin alteram.
Como ativar o modo sob ataque
- Abra Bots e desafio e escolha o escopo. Pode ser a organização inteira, no cartão Organização inteira, ou um domínio, na tabela Por domínio. O detalhe de cada domínio verificado também mostra os controles.
- Clique em Modo sob ataque e escolha a duração: 1 h, 6 h, 24 h ou personalizada. As durações acima do teto do seu plano não aparecem.
- Clique em Ativar. A borda passa a desafiar em até 30 segundos. O domínio ganha o selo Sob ataque na lista de domínios e no detalhe.
Para desligar antes do prazo, use Desativar. Um domínio coberto pela ativação da organização mostra Sob ataque (organização) e é desligado pelo cartão da organização.
Revogar passes, no detalhe do domínio, invalida todos os passes já emitidos. Todos os visitantes resolvem um novo desafio.
Modo automático
Nos planos que incluem o modo automático, arme-o na seção Modo automático. A cada 30 segundos a plataforma compara o tráfego de cada domínio com a linha de base dos últimos 7 dias. O modo liga quando duas avaliações seguidas passam do limiar e desliga depois do período de calma. Você ajusta:
| Parâmetro | Padrão | Efeito |
|---|---|---|
| RPS mínimo | 50 | Abaixo disso o modo nunca liga. |
| Multiplicador da linha de base | 5 | Quantas vezes o p95 dos últimos 7 dias. |
| Taxa de erros 5xx | 0,5 | Fração de respostas 5xx que também ativa. |
| Calma | 15 min | Tempo abaixo do limiar para desligar. |
| Tempo mínimo ativo | 30 min | O modo não desliga antes disso. |
| Duração máxima | 24 h | Renovada enquanto o ataque continuar. |
Cada ativação e desativação aparece no Histórico (90 dias) e gera os eventos edge.under_attack_activated, edge.under_attack_deactivated e edge.under_attack_expired, que você pode assinar em notificações.
Exceções para APIs e webhooks
Clientes que não são navegadores, como webhooks de pagamento, apps móveis e integrações, não resolvem o desafio. Cadastre uma exceção com:
- prefixo de caminho (ex.:
/webhooks/); - métodos opcionais (ex.:
POST); - CIDRs de origem opcionais (ex.: as faixas publicadas pelo provedor do webhook);
- validade opcional, de no máximo 365 dias.
Uma exceção só desliga o desafio. O IP/geo, o WAF e o rate limit continuam valendo. Uma exceção para / precisa de pelo menos um CIDR, porque sem ele desligaria o desafio do host inteiro.
Uma requisição sem Accept: text/html recebe o desafio como application/problem+json (403), o que deixa claro para o cliente da API o que aconteceu.
Bots bons
Buscadores e geradores de prévia de links são verificados pela faixa de IP publicada pelo operador ou por DNS reverso confirmado. Cada categoria tem uma ação:
| Categoria | Exemplos | Padrão |
|---|---|---|
| Buscadores | Googlebot, Bingbot, Applebot, DuckDuckBot, YandexBot | Permitir |
| Prévia de links | Meta, X, LinkedIn, Slack | Permitir |
| Rastreadores de IA | GPTBot, OAI-SearchBot, ClaudeBot, PerplexityBot | Desafiar |
| Monitoramento da plataforma | sondas e health checks | Sempre permitir |
Um user-agent que se apresenta como bot bom sem passar na verificação é um bot falso, e a ação padrão é desafiar. Alterar as ações por categoria depende do plano. Voltar aos padrões é sempre permitido.
Regras de bot
Regras permitem, desafiam, negam ou só registram requisições. Os critérios são combinados em E lógico:
- user-agent contém ou começa com (até 128 caracteres, sem diferença de maiúsculas e sem expressões regulares);
- ASNs e países (códigos ISO, ex.:
CN); - prefixo de caminho e métodos.
As regras de um domínio são avaliadas antes das da organização. Em cada lista vale a primeira que casar. Reordene com os botões ↑/↓ ou pelo teclado: com o foco no nome da regra, use Alt+↑ e Alt+↓. Para negar um país inteiro, prefira o geo-blocking do WAF, avaliado antes e auditado na revisão do WAF.
Captcha e privacidade
Nos planos com captcha externo, você pode usar um captcha do Cloudflare Turnstile ou do hCaptcha com as chaves da sua conta no provedor. A chave secreta fica no cofre da organização e nunca é exibida de novo. Testar configuração valida as chaves com o provedor sem salvar.
O provedor do captcha recebe o IP e sinais do navegador de quem resolve o desafio. Você é o controlador desses dados (LGPD): avalie a sua política de privacidade antes de ativar. Sem captcha, o desafio usa só a prova de trabalho, que roda inteira na plataforma.
O contato público (e-mail ou URL) aparece na página de desafio para quem não consegue resolvê-lo, por exemplo um leitor de tela antigo ou um navegador sem JavaScript.
Mau comportamento
Um IP que gera muitas respostas de erro em pouco tempo, como numa varredura ou força bruta, é banido em todos os domínios da organização. Os padrões são estes: mais de 30 respostas 400, 401, 403, 404, 405 ou 429 em 60 segundos banem o IP por 60 minutos, com a ação Desafiar. O visitante legítimo atrás de um NAT resolve o desafio e segue.
- Todo plano pode ligar ou desligar o banimento. Ajustar limiar, janela (60–600 s), códigos, ação (Desafiar ou Negar) e duração (15–1.440 min) depende do plano.
- A lista IPs banidos mostra o IP, o motivo e o início e a expiração de cada ban. Desbanir libera o IP em até 30 segundos e fica na auditoria.
- As origens da plataforma, as sondas, os bots bons verificados, os IPs
allowdo WAF e os CIDRs das exceções nunca são banidos. - O banimento reage em 1 a 3 minutos. O rate limit continua sendo a proteção instantânea.
Limites por plano
| Recurso | Starter | Pro | Business | Enterprise |
|---|---|---|---|---|
| Modo sob ataque manual (duração máxima) | 6 h | 24 h | 72 h | 168 h |
| Modo automático | não | sim | sim | sim |
| Exceções do desafio | 5 | 20 | 100 | 500 |
| Regras de bot e ações por categoria | não | 20 regras | 100 regras | 500 regras |
| Captcha externo | não | não | sim | sim |
| Mau comportamento personalizável | não | sim | sim | sim |
Os valores são os padrões de cada plano. A administração da plataforma pode ajustá-los por plano ou por organização. Num rebaixamento, o que já existe continua valendo e só as inclusões novas são recusadas.