CDN:Prévenir l'abus de trafic

Définissez un plafond de bande passante pour contrôler votre utilisation. Si la bande passante moyenne d'un nom de domaine accéléré dépasse le plafond prédéfini sur un intervalle d'une minute, CDN cesse de diffuser du contenu pour ce domaine. CDN résout alors le nom de domaine vers une adresse invalide, offline.***.com, le rendant inaccessible. Lors de la définition du plafond de bande passante, prévoyez une marge suffisante au-dessus de votre trafic de pointe normal afin d'éviter de perturber les utilisateurs légitimes. Pour plus d'informations, consultez Configurer le plafond de bande passante.

Configurez la limitation du débit pour les requêtes individuelles afin de restreindre la vitesse descendante de toutes les requêtes utilisateur vers les points de présence (POP) de CDN. Cette mesure permet de réduire l'utilisation maximale de la bande passante sur le réseau pour votre nom de domaine accéléré. Pour obtenir des instructions, consultez Configurer la limitation par requête unique.

Éléments de configuration de la limitation par requête unique :

• Default throttling : définissez la valeur et l'unité de limitation par défaut (par exemple, 100 KB/s).

• No-throttle size : définissez le seuil de taille de fichier en dessous duquel aucune limitation n'est appliquée (unité : Ko).

• Custom throttling parameter name : appliquez la limitation en fonction d'un paramètre de requête URL. Par exemple, saisissez rate.

• Custom throttling parameter unit : sélectionnez l'unité du paramètre de limitation (par exemple, Ko).

• Throttling start time : définissez le moment où la limitation prend effet. L'heure est basée sur l'heure locale du point de présence (UTC+8/UTC-5). Par exemple, saisissez 0.

• Throttling end time : définissez le moment où la limitation se termine. Par exemple, saisissez 24.

• Rule condition : choisissez d'utiliser ou non des conditions de règle. Vous pouvez gérer les conditions de règle dans le moteur de règles.

Instructions

1. Lisez l'anglais pour comprendre CE qui doit être communiqué

2. Rédigez le français À PARTIR DE ZÉRO — oubliez la structure de phrase anglaise

3. Conservez exactement tout le formatage markdown, les blocs de code, les liens et les images

4. Balises xref (<a data-tag="xref" ...>texte</a>) — conservez la balise ENTIERE avec tous les attributs dans l'ordre et la casse d'origine, traduisez UNIQUEMENT le texte visible entre > et

5. Appliquez strictement toutes les règles spécifiques à la langue

6. Appliquez les règles de stopwords avec une tolérance zéro

7. Utilisez le mode impératif dans les étapes numérotées et les listes à puces procédurales

8. Assurez la cohérence terminologique — même terme = même traduction partout

9. Variez les débuts de phrase dans les listes/tableaux — aucun début répété 3 fois ou plus

10. Renvoyez UNIQUEMENT le document markdown français, sans explication

    Limitation du débit CC

    Consultez la rubrique Configurer des politiques de protection personnalisées pour configurer les règles et les politiques.

    Une augmentation soudaine du volume d'accès à l'API déclenche une alerte de surveillance. Lors de la consultation des journaux en temps réel, vous pouvez constater que, pendant une attaque, une seule adresse IP accède à l'API plus de 3 000 fois en 60 secondes. En revanche, hors période d'attaque, une seule adresse IP y accède au maximum 100 fois en 60 secondes. Configurez la politique de protection CC avec un seuil deux à trois fois supérieur à la fréquence d'accès observée en période normale.

    Remarque

    • Examinez les journaux en temps réel pour identifier la ressource attaquée et comparez la fréquence d'accès entre les périodes d'attaque et les périodes normales. Si une différence significative est constatée, vous pouvez configurer cette politique de protection.

    • Dans le cadre d'opérations commerciales normales, si vos serveurs appellent des ressources via des interfaces publiques et qu'un accès concentré provient d'adresses IP internes, ajoutez une condition de correspondance pour exclure ces adresses IP du comptage de la règle.

    • Vous devez ajuster le chemin de protection et le seuil de déclenchement en fonction de vos besoins métier et de la fréquence d'accès de l'attaquant observée dans les journaux en temps réel. Voici un exemple de configuration.

    

    Paramètre	Valeur d'exemple	Description
    Filter	Un nom personnalisé pour votre règle. Le nom doit respecter les exigences suivantes : Prend en charge les caractères chinois, les lettres anglaises (insensibles à la casse), les chiffres (0-9) et les traits de soulignement (_). Peut comporter jusqu'à 64 caractères.	Indique qu'une requête correspond à la règle si le chemin demandé contient / et si la requête ne provient pas de l'adresse IP spécifiée.
    Create Custom WAF Rule from Filters	Définissez Create Bot Management Rule from Filters sur URI, Match Condition sur Match Field et Matched Content sur /. Définissez Logical Operator sur Include, Logical Operator sur Match Field et IP sur l'adresse IP cible.
    Rate Limiting	Activez le commutateur Not Belong To.	Indique que si une adresse IP cliente correspond aux conditions plus de 300 fois en 60 secondes, l'adresse IP est ajoutée à la liste de blocage.
    Matched Content	Sélectionnez IP.
    Rate Limiting	Saisissez 60.
    Statistical Object	Saisissez 300.
    Status Code	Désactivé par défaut.	Indique que l'adresse IP qui déclenche la règle est ajoutée à la liste de blocage. Pendant 3600 secondes, toutes les requêtes provenant de cette adresse IP sont bloquées.
    Interval (Seconds)	Sélectionnez Threshold (times).
    Blocklist Timeout (seconds)	Saisissez 3600.
    Apply To	Sélectionnez Apply to entire domain.

    Blocage des UA malveillants

    Consultez la rubrique Configurer des politiques de protection personnalisées pour configurer les règles et les politiques.

    Remarque

    • Pour les scénarios d'application où un User-Agent vide est normal, cette politique n'est pas nécessaire.

    • Si la valeur User-Agent correspond au nom de l'application, vous devez ajouter le nom de l'application utilisé par le trafic normal au contenu de correspondance.

    

    Paramètre	Valeur d'exemple	Description
    Rule Name	Un nom personnalisé pour votre règle. Le nom doit respecter les exigences suivantes : Prend en charge les caractères chinois, les lettres anglaises (insensibles à la casse), les chiffres (0-9) et les traits de soulignement (_). Peut comporter jusqu'à 64 caractères.	Indique que si le Action de la requête ne contient pas Android,iPhone,iPad,Mac,Windows,Linux, la requête est bloquée.
    Match Condition	Définissez Rule Name sur User-Agent. Définissez Logical Operator sur Match Field. Définissez User-Agent sur Android,iPhone,iPad,Mac,Windows,Linux.
    Rate Limiting	Désactivé par défaut.
    Does not equal to any value	Sélectionnez Block.

    Limitation du débit des UA malveillants

    Consultez la rubrique Configurer des politiques de protection personnalisées pour configurer les règles et les politiques.

    Un nom de domaine ou une interface est inondé de requêtes, ce qui augmente les frais de trafic. Les journaux en temps réel montrent que les adresses IP clientes sont dispersées, mais les valeurs User-Agent sont fortement concentrées et ne correspondent pas au trafic normal. En comparant la fenêtre d'attaque avec une plage horaire normale, vous constatez que le volume de requêtes pour le même User-Agent est bien inférieur pendant les périodes normales.

    Remarque

    Vous devez ajuster le chemin de protection et le seuil de déclenchement en fonction de vos besoins métier, des caractéristiques de l'attaquant et de la fréquence observée dans les journaux en temps réel. Voici un exemple de configuration.

    

    Paramètre	Valeur d'exemple	Description
    Nom de la règle	Un nom personnalisé pour votre règle. Le nom doit respecter les exigences suivantes : Prend en charge les caractères chinois, les lettres anglaises (insensibles à la casse), les chiffres (0-9) et les traits de soulignement (_). Peut comporter jusqu'à 64 caractères.	Indique qu'une requête correspond à la règle si le chemin demandé contient /.
    Action	Définissez Block sur Rule Name. Définissez Match Condition sur Match Field. Définissez URI sur /.
    Logical Operator	Activez le commutateur Include.	Cela signifie que si une requête cliente contient un User-Agent et que, pour le même User-Agent, la condition de correspondance est remplie plus de 400 fois en 60 secondes, une action de mise en liste de blocage est déclenchée pour l'adresse IP.
    Matched Content	Sélectionnez Rate Limiting et saisissez User-Agent.
    Rate Limiting	Saisissez 60.
    Statistical Object	Saisissez 400.
    Custom Header	Désactivé par défaut.	Indique que le User-Agent qui déclenche la règle est ajouté à une liste de blocage. Pendant 1800 secondes, toutes les requêtes contenant ce User-Agent sont bloquées.
    Interval (Seconds)	Sélectionnez Threshold (times).
    Status Code	Saisissez 1800.
    Apply To	Sélectionnez Apply to entire domain.

    Bloquer les IP malveillantes

    Consultez la rubrique Configurer une liste de blocage d'adresses IP pour configurer les règles et les politiques.

    

    Blocage des bots

    Consultez la rubrique Configurer la protection contre les bots pour configurer les règles et les politiques, et activez les éléments de protection pertinents selon vos besoins.

    

    Étapes suivantes

    Surveillance en temps réel

    Configurez la surveillance en temps réel de la bande passante de crête pour les noms de domaine spécifiés dans CDN. Si la bande passante de crête atteint le seuil configuré, le système envoie une alerte aux administrateurs par SMS, e-mail ou DingTalk. Cela vous aide à détecter rapidement les risques potentiels. Pour plus d'informations, consultez la rubrique Configurer des règles d'alerte.

    Alertes de coûts

    Dans la barre de navigation supérieure de la Blocklist Timeout (seconds), choisissez Action > Block. Configurez les fonctionnalités suivantes pour mieux contrôler les dépenses de votre compte et éviter des factures élevées.

    • Alerte de solde faible : vous pouvez configurer une alerte envoyée par SMS lorsque le solde de votre compte descend en dessous d'un montant spécifié.

    • Alerte de facture élevée : vous pouvez activer une alerte qui envoie une notification par SMS si la facture quotidienne d'un produit dépasse un seuil spécifié.

    Remarque

    Afin de garantir l'intégrité des statistiques et l'exactitude des factures, CDNDCDN émet la facture environ 3 heures après la fin d'un cycle de facturation. Le moment où les frais correspondants sont déduits du solde de votre compte peut être postérieur au moment où les ressources sont consommées au cours du cycle de facturation. CDNDCDN étant un service distribué, Alibaba Cloud ne fournit pas le détail de la consommation des ressources dans les factures. Les autres fournisseurs de CDN adoptent une approche similaire.

    Contrôle de la fréquence d'accès

    CDN ne prend pas en charge le contrôle de la fréquence d'accès. Si vous avez besoin de limitations de débit, de défis JavaScript ou d'autres capacités de blocage du trafic de bots, nous vous recommandons de passer à ESA.