Web Application Firewall:Add a domain name

Avant de pouvoir utiliser le mode d'enregistrement CNAME avec Web Application Firewall (WAF), vous devez d'abord ajouter le nom de domaine que vous souhaitez protéger à WAF. Cette rubrique explique comment ajouter un nom de domaine à WAF.

Prérequis

• Vous avez acheté une instance WAF et le nombre de noms de domaines qu'elle prend en charge ne dépasse pas la limite.

  Remarque

  Le nombre total de noms de domaine que vous pouvez ajouter à une instance WAF varie en fonction des spécifications de l'instance et du nombre de packages de domaine supplémentaire que vous avez achetés. Pour plus d'informations, consultez la section package de domaine supplémentaire.

• Si votre site web est déployé sur un serveur dans la Chinese Mainland, le nom de domaine doit disposer d'un dossier ICP valide tant qu'il est protégé par WAF.

  Remarque

  Les instances WAF dans la Chinese Mainland vérifient périodiquement le statut du dossier ICP des noms de domaine protégés. Si un dossier ICP expire, WAF cesse de transférer les requêtes pour le nom de domaine et peut effacer sa configuration afin de se conformer aux lois et réglementations applicables.

  • Si le site web est déployé sur Alibaba Cloud, vous devez effectuer le dépôt ICP via Alibaba Cloud.

  • Si le site web n'est pas déployé sur Alibaba Cloud, vous pouvez contacter Alibaba Cloud ou un autre fournisseur cloud pour effectuer le dépôt ICP.

Procédure

1. Connectez-vous à la console Web Application Firewall (WAF). Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région de votre instance WAF : Chinese Mainland ou Outside Chinese Mainland.

2. Dans le volet de navigation de gauche, choisissez Asset Center > Website Access.

3. Sous l'onglet Domain Names, cliquez sur Website Access.

   Remarque

   Sur la page Add Domain Name, le paramètre Access Mode est défini sur CNAME Record par défaut.

4. Saisissez les informations relatives au site web et cliquez sur Next.

   Paramètre	Description
   Domain Name	Saisissez le nom de domaine que vous souhaitez protéger. Vous pouvez saisir un nom de domaine exact, tel que www.aliyundoc.com, ou un nom de domaine générique (wildcard), tel que *.aliyundoc.com. Vous ne pouvez saisir qu'un seul nom de domaine. Les noms de domaine contenant des traits de soulignement (_) ne sont pas pris en charge. Si vous ajoutez ce nom de domaine pour la première fois, vous devez vérifier sa propriété avant de poursuivre. Comment vérifier la propriété du nom de domaine Vous devez vérifier la propriété du nom de domaine. Choisissez l'une des deux méthodes suivantes : Vérification par enregistrement DNS (recommandée) : Ajoutez manuellement l'enregistrement TXT fourni par WAF chez votre fournisseur DNS. Vérification par fichier : Téléchargez le fichier de vérification fourni par WAF dans le répertoire racine de votre serveur d'origine. Cette méthode nécessite des autorisations d'accès au serveur d'origine. Vérification par enregistrement DNS Dans la section de vérification, cliquez sur l'onglet Method 1: DNS Record. Ajoutez un enregistrement TXT chez votre fournisseur DNS en fonction du Record Type, du Hostname et de la Record Value fournis dans la console WAF. Si vous utilisez Alibaba Cloud DNS, suivez les étapes ci-dessous. Si vous utilisez un autre fournisseur DNS, effectuez des opérations similaires dans le système du fournisseur. Connectez-vous à la console Alibaba Cloud DNS. Sur la page Public Zone, recherchez le nom de domaine principal cible et cliquez sur Settings dans la colonne Actions. Cliquez sur Add Record. Saisissez le Record Type, le Hostname et la Record Value, puis cliquez sur OK. Conservez les valeurs par défaut pour les autres paramètres. Une fois l'enregistrement ajouté, vous pouvez le consulter dans la liste des enregistrements. L'enregistrement est actif par défaut. Son Status est Enabled. Si vous modifiez un enregistrement TXT existant, la modification prend effet après la période TTL, qui est de 10 minutes par défaut. Revenez à la console WAF et cliquez sur Verify. Si le message Vérification réussie s'affiche, la propriété du nom de domaine est vérifiée. Si le message Échec de la vérification s'affiche, suivez les étapes ci-dessous pour résoudre le problème : Vérifiez l'enregistrement TXT : Assurez-vous que l'enregistrement hôte et la valeur d'enregistrement correspondent aux détails fournis dans la console WAF. S'ils diffèrent, supprimez l'enregistrement incorrect, ajoutez-le à nouveau correctement et réessayez la vérification. Attendez la propagation DNS : Les modifications DNS peuvent prendre du temps pour se propager. Nous vous recommandons d'attendre 10 minutes avant de réessayer la vérification. Utilisez une autre méthode de vérification : Si la vérification échoue toujours après plusieurs tentatives, nous vous recommandons d'utiliser la « Méthode 2 : Vérification par fichier ». Vérification par fichier Dans la section de vérification, cliquez sur l'onglet Method 2: Verification File. Cliquez sur le lien pour télécharger le fichier de vérification. Téléchargez le fichier de vérification (le format du nom de fichier est verify_xxxx.html), téléchargez le fichier dans le répertoire racine de votre nom de domaine, sélectionnez le type de protocole (HTTP ou HTTPS), puis cliquez sur Cliquez pour vérifier pour terminer la vérification. Important Le fichier de vérification n'est valide que pendant trois jours après son téléchargement. Si vous ne terminez pas la vérification par fichier dans le délai de validité, vous devez télécharger à nouveau le fichier. N'effectuez aucune opération sur le fichier de vérification, telle que l'ouverture, la modification ou le renommage. WAF accède à votre serveur d'origine en fonction du protocole sélectionné. Assurez-vous que les règles du groupe de sécurité ou du pare-feu du serveur d'origine autorisent l'accès : Si vous sélectionnez HTTP, vous devez autoriser le trafic entrant sur le port TCP 80 depuis 0.0.0.0/0. Si vous sélectionnez HTTPS, vous devez autoriser le trafic entrant sur le port TCP 443 depuis 0.0.0.0/0. Téléchargez manuellement le fichier de vérification dans le répertoire racine du serveur d'origine spécifié dans la console (par exemple, votre instance ECS, OSS, CVM, COS ou EC2). Remarque Si vous ajoutez un nom de domaine générique, tel que *.aliyun.com, vous devez télécharger le fichier de vérification dans le répertoire racine de aliyun.com. Une fois le téléchargement terminé, vous pouvez utiliser les méthodes suivantes pour vérifier si le fichier de vérification a été correctement téléchargé. Revenez à la console WAF et cliquez sur Verify. Si le message Vérification réussie s'affiche, la propriété du nom de domaine est vérifiée. Si le message Échec de la vérification s'affiche, résolvez le problème en fonction du message d'erreur. Remarque Un nom de domaine générique correspond à tous les sous-domaines au niveau immédiat de l'astérisque. Par exemple, *.aliyundoc.com correspond à www.aliyundoc.com et à example.aliyundoc.com, mais pas à www.example.aliyundoc.com. Un nom de domaine générique de deuxième niveau ne correspond pas au domaine apex correspondant. Par exemple, *.aliyundoc.com ne correspond pas à aliyundoc.com. De même, un nom de domaine générique multi-niveaux ne correspond pas à son domaine de base. Par exemple, *.example.aliyundoc.com ne peut pas correspondre à example.aliyundoc.com. Si la protection est configurée à la fois pour un nom de domaine exact et pour un nom de domaine générique qui correspond au nom de domaine exact, les règles de protection et les configurations de transfert pour le nom de domaine exact ont la priorité.
   Protection Resource	Sélectionnez le type de ressource de protection à utiliser. Les options suivantes sont disponibles : Public Cluster : Cette option est sélectionnée par défaut. Exclusive Cluster : Cette option est disponible si vous utilisez une instance WAF Édition Exclusive. Un cluster exclusif prend en charge les exigences métier personnalisées. Pour plus d'informations, consultez Meilleures pratiques pour les clusters exclusifs. Hybrid Cloud Cluster : Sélectionnez cette option si vous utilisez un déploiement cloud hybride. Pour plus d'informations, consultez Ajouter un site web à WAF (Hybrid Cloud WAF).
   Protocol Type	Sélectionnez le protocole utilisé par le site web. Les options suivantes sont disponibles : HTTP HTTPS Important Si le site web prend en charge le chiffrement HTTPS, sélectionnez HTTPS. Après avoir ajouté le nom de domaine, téléchargez le certificat et le fichier de clé privée pour le nom de domaine. Pour plus d'informations, consultez Télécharger un certificat HTTPS. Si vous sélectionnez HTTPS, vous pouvez également activer les fonctionnalités suivantes : (Paramètres avancés) Enable HTTPS Routing Cette fonctionnalité redirige automatiquement toutes les requêtes HTTP des clients vers HTTPS. WAF transfère ensuite les requêtes au serveur d'origine via le port 443. Important Vous ne pouvez activer ce paramètre que si le protocole HTTP n'est pas sélectionné. Assurez-vous que votre site web prend en charge HTTPS avant d'activer ce paramètre. Une fois ce paramètre activé, certains navigateurs sont contraints d'utiliser HTTPS pour accéder au site web. (Paramètres avancés) Enable HTTP Back-to-Origin Avec la récupération HTTP vers l'origine, WAF transfère toutes les requêtes au serveur d'origine en utilisant HTTP, quel que soit le protocole du client. Cela vous permet de terminer HTTPS au niveau de WAF, ce qui peut réduire la charge sur votre serveur d'origine. Important Si votre site web ne prend pas en charge la récupération vers l'origine via HTTPS, vous devez activer ce paramètre. (Paramètres avancés) Ni Enable HTTPS Routing ni Enable HTTP Back-to-Origin n'est activé WAF transfère les requêtes au serveur d'origine en utilisant le même protocole que celui utilisé par le client pour accéder à WAF (HTTP pour le port 80, HTTPS pour le port 443). Enable Origin SNI L'indication du nom de serveur (SNI) vers l'origine permet à WAF de spécifier le nom d'hôte demandé lors de la poignée de main TLS lors de la connexion à votre serveur d'origine. Activez cette option si votre serveur d'origine utilise une seule adresse IP pour héberger plusieurs sites web (hôtes virtuels). Après avoir sélectionné Enable Origin SNI, vous pouvez spécifier la valeur du champ d'extension SNI. Les options suivantes sont disponibles : Use Domain Name in Host Header (par défaut) : La valeur du champ d'extension SNI dans la requête de récupération vers l'origine depuis WAF est identique à la valeur du champ Host dans l'en-tête de requête. Par exemple, si vous configurez le nom de domaine du site web comme *.aliyundoc.com et qu'un client demande www.aliyundoc.com (qui est la valeur du champ Host), la valeur du champ d'extension SNI dans la requête de récupération vers l'origine depuis WAF est www.aliyundoc.com. Custom : Vous pouvez personnaliser la valeur du champ d'extension SNI dans la requête de récupération vers l'origine depuis WAF. Dans la plupart des cas, vous n'avez pas besoin de personnaliser le SNI. Vous devrez peut-être le faire uniquement si votre activité a des exigences particulières et que vous souhaitez que WAF utilise un SNI dans la requête de récupération vers l'origine différent du Host de la requête réelle. HTTP2 (cette option est disponible uniquement après avoir sélectionné HTTPS.) Si votre site web prend en charge HTTP/2, vous devez activer ce paramètre. Le port pour HTTP/2 est le même que le port pour HTTPS. Après avoir activé ce paramètre, vous n'avez besoin que de définir le port HTTPS. Pour plus d'informations, consultez FAQ WAF. Remarque Seules les éditions Enterprise, Ultimate et Exclusive des instances WAF prennent en charge HTTP2.
   Server Address	Spécifiez l'adresse de votre serveur d'origine. Vous pouvez spécifier une adresse IP ou un Domain Name (Such as CNAME). WAF transfère les requêtes filtrées à cette adresse. Adresse IP : Saisissez l'adresse IP publique du serveur d'origine. L'adresse IP doit être accessible via Internet. Vous pouvez saisir plusieurs adresses IP. Appuyez sur la touche Entrée après chaque saisie d'adresse IP. Vous pouvez ajouter jusqu'à 20 adresses IP d'origine. Remarque Si vous spécifiez plusieurs adresses IP, WAF effectue automatiquement des contrôles d'état et un équilibrage de charge entre ces adresses. Les instances WAF Hors de Chine continentale ne prennent en charge que les adresses IPv4. Les instances WAF en Chine continentale prennent en charge les configurations suivantes : Spécifier à la fois des adresses IPv4 et IPv6 Si vous activez Use the Same Protocol, les requêtes provenant d'adresses IPv6 sont transférées vers des serveurs d'origine IPv6, et les requêtes provenant d'adresses IPv4 sont transférées vers des serveurs d'origine IPv4. Si vous n'activez pas Use the Same Protocol, les requêtes sont transférées vers des serveurs d'origine IPv4 et IPv6. Cela signifie que les requêtes IPv4 et IPv6 peuvent être transférées vers des serveurs d'origine IPv4 ou IPv6. Important Si vous utilisez la récupération vers l'origine via IPv6, vous devez vous assurer que le Statut IPv6 du nom de domaine dans la liste Website Access est activé. Pour plus d'informations, consultez Activer la protection IPv6. Spécifier uniquement des adresses IPv4 Les requêtes IPv4 et IPv6 sont transférées via IPv4. WAF transfère les requêtes vers les adresses de serveur d'origine IPv4 que vous avez spécifiées. Spécifier uniquement des adresses IPv6 Les requêtes IPv4 et IPv6 sont transférées via IPv6. WAF transfère les requêtes vers les adresses de serveur d'origine IPv6 que vous avez spécifiées. Comment spécifier une adresse IP de serveur Si le serveur d'origine est sur Alibaba Cloud, saisissez l'adresse IP publique de l'instance ECS. Si une instance Server Load Balancer (SLB) est déployée devant l'instance ECS, saisissez l'adresse IP publique de l'instance SLB. Si le serveur d'origine se trouve dans un centre de données non hébergé sur Alibaba Cloud ou sur un service cloud tiers, nous vous recommandons d'exécuter la commande PING pour interroger l'adresse IP publique du nom de domaine, puis de saisir l'adresse IP publique. L'adresse IP spécifiée n'est pas utilisée pour router le trafic en mode proxy transparent. Domain Name (Such as CNAME) : Saisissez le nom de domaine d'origine du serveur, tel que le CNAME d'un bucket Object Storage Service (OSS). Si vous spécifiez un nom de domaine, la récupération vers l'origine via IPv4 est prise en charge. WAF transfère les requêtes des clients vers l'adresse IPv4 résolue à partir du nom de domaine d'origine. Important Le nom de domaine d'origine du serveur ne peut pas être identique au nom de domaine du site web que vous souhaitez protéger. Si l'adresse de votre serveur d'origine est un nom de domaine OSS, vous devez accéder à la console OSS pour associer un nom de domaine personnalisé au nom de domaine OSS après avoir ajouté le site web. Pour plus d'informations, consultez Associer un nom de domaine personnalisé.
   Port du serveur de destination	Ajoutez les ports de service utilisés par le site web pour le transfert. WAF accepte et transfère uniquement le trafic sur les ports que vous spécifiez. Les requêtes vers d'autres ports sont rejetées et n'atteindront pas votre serveur d'origine. Important Le Protocol Type et le Port du serveur de destination spécifiés doivent correspondre au protocole et au port sur lesquels votre serveur d'origine écoute. La translation de port n'est pas prise en charge. Ports par défaut : HTTP : Le port 80 est utilisé par défaut si vous sélectionnez le protocole HTTP. HTTPS ou HTTP2 : Le port 443 est utilisé par défaut si vous sélectionnez le protocole HTTPS. Ports personnalisés : Dans la zone de texte HTTP Port ou HTTPS Port, saisissez un port et appuyez sur la touche Entrée. Cliquez sur View Port Range pour interroger tous les ports pris en charge. Remarque Les instances WAF Ultimate et Exclusive prennent en charge jusqu'à 50 ports de serveur, y compris les ports 80, 8080, 443 et 8443. Les instances WAF Pro et Enterprise prennent en charge jusqu'à 10 ports de serveur. Pour plus d'informations sur les ports pris en charge par un cluster public, consultez Ports pris en charge par WAF. Si vous souhaitez ajouter un site web à un cluster exclusif WAF, vous pouvez sélectionner des ports personnalisés uniquement dans la plage Port du serveur de destination spécifiée sur la page Exclusive Cluster Configurations. Pour plus d'informations, consultez Configurer un cluster exclusif.
   Load Balancing Algorithm	Si vous spécifiez plusieurs adresses de serveur d'origine, sélectionnez un algorithme d'équilibrage de charge. Les options suivantes sont disponibles : Hachage IP : Les requêtes provenant de la même adresse IP cliente sont transférées vers le même serveur d'origine. Utilisez cette option pour les applications qui nécessitent une persistance de session (sessions stickies). Notez que cela peut entraîner une distribution inégale de la charge. Round-robin (par défaut) : Les requêtes des clients sont transférées séquentiellement aux serveurs d'origine dans la liste des serveurs d'origine. Cet algorithme convient aux scénarios où plusieurs serveurs d'origine sont utilisés et où une distribution équitable de la charge entre les serveurs d'origine est requise. Temps minimal : La fonctionnalité de résolution DNS intelligente et l'algorithme amélioré de récupération vers l'origine à temps minimal sont utilisés pour minimiser la latence de l'ensemble du lien, depuis le routage du trafic de service vers un nœud de protection jusqu'au transfert du trafic vers un serveur d'origine. Remarque L'algorithme temps minimal est disponible uniquement après avoir activé l'équilibrage de charge intelligent. Pour plus d'informations, consultez Équilibrage de charge intelligent. Une fois les paramètres appliqués, WAF distribue les requêtes de récupération vers l'origine à plusieurs adresses de serveur d'origine en fonction de l'algorithme d'équilibrage de charge spécifié pour mettre en œuvre l'équilibrage de charge.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Si aucun autre service proxy n'est utilisé, sélectionnez No Cela indique que WAF reçoit les requêtes directement des clients, et non d'autres services proxy. Dans ce cas, WAF utilise l'adresse IP qui établit une connexion avec WAF (à partir du champ REMOTE_ADDR de la requête) comme adresse IP cliente. Si un autre service proxy est utilisé, sélectionnez Yes Cela indique que WAF reçoit les requêtes de service transférées depuis un autre proxy de couche 7 au lieu de les recevoir directement des clients. Pour garantir que WAF puisse obtenir les adresses IP clientes réelles pour l'analyse de sécurité, vous devez également configurer l'option Obtain Actual IP Address of Client. Les options suivantes sont disponibles : (Par défaut) Use the First IP Address in X-Forwarded-For Field as Actual IP Address of Client Par défaut, WAF privilégie la lecture du champ d'en-tête X-Real-IP de la requête pour identifier l'adresse IP cliente. Si le champ X-Real-IP n'existe pas, WAF lit la première adresse IP du champ X-Forwarded-For (XFF) comme adresse IP cliente. [Recommended] Use the First IP Address in Specified Header Field as Actual IP Address of Client to Prevent X-Forwarded-For Forgery Si votre service de site web est configuré pour placer l'adresse IP d'origine du client dans un champ d'en-tête personnalisé (tel que X-Real-IP ou X-Client-IP) via un autre service proxy, sélectionnez cette option et saisissez le champ d'en-tête correspondant dans la zone Header Field. Remarque Nous vous recommandons d'utiliser un en-tête personnalisé pour stocker l'adresse IP cliente et de configurer le champ d'en-tête correspondant dans WAF. Cette méthode peut empêcher les attaquants de falsifier le champ XFF pour contourner les règles de détection de WAF et renforcer la sécurité de l'activité. Vous pouvez saisir plusieurs champs d'en-tête. Appuyez sur la touche Entrée après chaque saisie de champ d'en-tête. Si vous définissez plusieurs en-têtes, WAF essaie de lire l'adresse IP cliente dans l'ordre. Si le premier en-tête n'existe pas, il lit le second, et ainsi de suite. Si aucun des en-têtes spécifiés n'existe, WAF essaie d'abord de lire le champ X-Real-IP. Si cela échoue également, il utilise la première adresse IP de l'en-tête X-Forwarded-For (XFF) comme adresse IP cliente.
   Enable Traffic Mark	Indique s'il faut activer la fonctionnalité de marquage du trafic pour WAF. Cette fonctionnalité ajoute un en-tête personnalisé aux requêtes que WAF transfère à votre serveur d'origine. Cet en-tête peut identifier que la requête a été traitée par WAF et peut inclure des informations telles que l'adresse IP d'origine du client. Après avoir sélectionné Enable Traffic Mark, vous devez définir les champs de marquage. Important Ne saisissez pas de champs d'en-tête HTTP standard, tels que User-Agent. Sinon, les valeurs des champs d'en-tête standard seront écrasées par les valeurs de champ personnalisées. Si un attaquant obtient l'adresse IP d'origine avant que le nom de domaine ne soit ajouté à WAF et achète une autre instance WAF pour transférer les requêtes vers le serveur d'origine, vous pouvez Enable Traffic Mark et définir les champs de marquage. Lorsque le serveur d'origine reçoit une requête, nous vous recommandons de vérifier ce champ. Si le champ de marquage spécifié existe, l'accès est autorisé. Les types de champs de marquage suivants sont disponibles : Custom Header En configurant un Header Name et une Header Value, vous pouvez permettre à WAF d'ajouter ces informations d'en-tête aux requêtes de récupération vers l'origine. Cela marque les requêtes transférées par WAF, les distinguant des requêtes qui ne le sont pas, ce qui facilite l'analyse des services backend. Par exemple, vous pouvez utiliser ALIWAF-TAG: Yes pour marquer les requêtes transférées par WAF. Dans cet exemple, ALIWAF-TAG est le nom d'en-tête et Yes est la valeur d'en-tête. Originating IP Address En configurant un nom d'en-tête, vous pouvez instruire WAF de transmettre l'adresse IP d'origine du client au serveur d'origine dans cet en-tête. Pour plus d'informations sur les règles utilisées par WAF pour déterminer l'adresse IP d'origine d'un client, consultez la description du paramètre Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF. Source Port En configurant un nom d'en-tête, vous pouvez instruire WAF de transmettre le port source du client au serveur d'origine dans cet en-tête. Cliquez sur Add Mark pour ajouter un champ de marquage. Vous pouvez configurer jusqu'à cinq champs de marquage.
   Back-to-origin Timeout Configuration	Définir le délai d'expiration pour la récupération des données par WAF depuis le serveur d'origine Connection Timeout Period : Le délai d'expiration pour que WAF établisse une connexion avec le serveur d'origine. La valeur par défaut est de 5 s. La valeur peut varier de 1 s à 3600 s. Read Connection Timeout Period : Le temps maximal que WAF attendra une réponse du serveur d'origine après avoir établi une connexion. La valeur par défaut est de 120 s. La valeur peut varier de 1 s à 3600 s. Write Connection Timeout Period : Le délai d'expiration pour que WAF envoie une requête au serveur d'origine. La valeur par défaut est de 120 s. La valeur peut varier de 1 s à 3600 s. Remarque Cette fonctionnalité est prise en charge uniquement par les éditions Pro, Enterprise, Ultimate et Exclusive de WAF. Cette fonctionnalité n'est pas prise en charge par les instances Hybrid Cloud WAF. Retry on 5XX Error Lorsqu'elle est activée, WAF réessaie une requête ayant échoué vers un serveur d'origine jusqu'à trois fois. Origin Keep-alive Si vous activez cette fonctionnalité, vous devez également configurer les paramètres suivants : Max Requests per Connection : La valeur par défaut est de 1 000. La valeur peut varier de 60 à 1 000. Idle Timeout : La valeur par défaut est de 15 s. La valeur peut varier de 1 s à 60 s. Remarque Si vous désactivez cette fonctionnalité, les connexions persistantes pour la récupération vers l'origine ne prennent pas en charge le protocole WebSocket.
   Resource Group	Dans la liste des groupes de ressources, sélectionnez le groupe de ressources auquel appartient le nom de domaine. Remarque Vous pouvez utiliser Resource Management pour créer des groupes de ressources et gérer les ressources cloud en fonction de dimensions telles que les départements métier et les projets. Pour plus d'informations, consultez Créer un groupe de ressources.

5. Si le nom de domaine générique correspondant au nom de domaine que vous avez saisi à l'étape Étape 4 a déjà été configuré par un autre utilisateur, vous devez configurer un enregistrement TXT selon le type d'enregistrement, le nom de domaine et la valeur d'enregistrement fournis dans la boîte de dialogue Note.

   Par exemple, si vous utilisez Alibaba Cloud DNS, vous pouvez vous connecter à la console Alibaba Cloud DNS et configurer un enregistrement TXT en fonction des informations contenues dans la boîte de dialogue Note. Pour plus d'informations, consultez Ajouter un enregistrement DNS.

6. Modifiez l'enregistrement DNS.

   Suivez les instructions à l'écran pour modifier l'enregistrement DNS du nom de domaine afin de le pointer vers WAF pour la protection. Ensuite, cliquez sur Next. Pour plus d'informations, consultez Modifier l'enregistrement DNS d'un nom de domaine.

7. Terminez le processus.

   Suivez les instructions à l'écran pour ajouter les adresses IP de retour vers l'origine de WAF à la liste d'autorisation. Ensuite, cliquez sur Complete. Return to Domain Name List pour revenir à la page Website Access. Pour plus d'informations, consultez Ajouter les adresses IP de retour vers l'origine de WAF à une liste d'autorisation.

Télécharger un certificat HTTPS

Si vous avez sélectionné HTTPS pour le Protocol Type à l'étape Étape 4, vous devez télécharger le certificat HTTPS du nom de domaine dans la console WAF. Le certificat doit être correct et valide pour que WAF protège les requêtes HTTPS vers votre site web.

Vous pouvez utiliser l'une des méthodes suivantes pour télécharger un certificat HTTPS :

• Téléchargement manuel d'un certificat : Vous devez préparer à l'avance le fichier de certificat et le fichier de clé privée de votre site web.

  Les éléments suivants sont requis. Lorsque vous téléchargez le certificat, assurez-vous qu'il dispose d'une chaîne de certificats complète :

  • .crt (fichier de clé publique) ou .pem (fichier de certificat)

  • *.key (fichier de clé privée)

• Sélectionnez un certificat existant : vous pouvez choisir le certificat du nom de domaine parmi vos certificats existants dans Digital Certificate Management Service. Pour plus d'informations, consultez Digital Certificate Management Service.

• Demandez un nouveau certificat.

1. Connectez-vous à la console Web Application Firewall (WAF). Dans la barre de menus supérieure, sélectionnez le groupe de ressources et la région de votre instance WAF : Chinese Mainland ou Outside Chinese Mainland.

2. Dans le volet de navigation de gauche, accédez à Asset Center > Website Access.

3. Dans la liste Domain Names, repérez le nom de domaine que vous souhaitez gérer et cliquez sur l'icône dans la colonne Origin Server.

   Remarque

   L'icône n'apparaît dans la colonne Origin Server que si vous avez sélectionné HTTPS comme type de protocole lors de l'ajout du nom de domaine.

4. Dans la boîte de dialogue Upload Certificate (ou Update Certificate), sélectionnez une Upload Method et téléchargez un certificat HTTPS.

   Remarque

   Si vous avez déjà téléchargé un certificat, la boîte de dialogue Update Certificate s'affiche. Les configurations de la boîte de dialogue Update Certificate sont identiques à celles de la boîte de dialogue Upload Certificate.

   • Manual Upload : saisissez un Certificate Name. Copiez ensuite le contenu du fichier de certificat et du fichier de clé privée du nom de domaine, puis collez-le dans les zones de texte Certificate File et Private Key.

     Les points suivants décrivent le paramètre Certificate File :

     • Si le certificat est au format PEM, CER ou CRT, vous pouvez utiliser un éditeur de texte pour ouvrir le fichier de certificat et copier son contenu.

     • Si le certificat est dans un format autre que PEM, CER ou CRT, tel que PFX ou P7B, vous devez convertir le fichier de certificat au format PEM. Vous pouvez ensuite utiliser un éditeur de texte pour ouvrir le fichier et copier son contenu. Pour plus d'informations sur la conversion des formats de certificat, consultez Convertir un certificat HTTPS au format PEM.

     • Assurez-vous de télécharger une chaîne de certificats complète. Si le nom de domaine comporte plusieurs fichiers de certificat, vous devez combiner le contenu des fichiers, puis coller le contenu combiné dans la zone de texte Certificate File.

   • Select Existing Certificate : dans la liste Certificate, sélectionnez le certificat que vous souhaitez télécharger.

     La liste Certificate affiche les certificats émis par Digital Certificate Management Service. Vous pouvez sélectionner un certificat pour le nom de domaine actuel dans cette liste. Cliquez sur Digital Certificate Management Service pour accéder à la console du service et gérer vos certificats.

   • Purchase Certificate : cliquez sur Purchase Now pour accéder à la page Purchase Certificate de Digital Certificate Management Service et demander un certificat pour le nom de domaine.

     Une fois que vous avez suivi les instructions à l'écran pour configurer un certificat pour le nom de domaine, le certificat est automatiquement téléchargé vers WAF.

     Remarque

     Vous ne pouvez demander que des certificats DV payants. Si vous souhaitez demander d'autres types de certificats, rendez-vous sur la page d'achat de certificats SSL. Pour plus d'informations, consultez Acheter un certificat commercial.

5. Cliquez sur OK.

Étapes suivantes

Après avoir ajouté le nom de domaine, WAF commence à protéger le trafic de votre site web. Vous devez également effectuer les configurations suivantes pour renforcer la protection de votre site web.

Opérations connexes

Afficher et gérer les noms de domaine ajoutés

Après avoir ajouté un nom de domaine, vous pouvez le consulter dans la liste Domain Names de la page Website Access. À partir de là, vous pouvez effectuer les opérations suivantes selon vos besoins :

• Télécharger un certificat HTTPS : si votre nom de domaine prend en charge HTTPS, assurez-vous de télécharger le certificat et la clé privée corrects vers WAF. Cela garantit que WAF peut protéger le trafic HTTPS. Dans la colonne Origin Server, vous pouvez cliquer sur pour télécharger le certificat HTTPS et la clé privée du nom de domaine.

  Pour plus d'informations, consultez Télécharger un certificat HTTPS.

• Activer la protection IPv6 : pour protéger le trafic de service IPv6 de votre site web, vous pouvez activer l'interrupteur IPv6 pour le nom de domaine dans la colonne Quick Access.

  Pour plus d'informations, consultez Activer la protection IPv6.

• Activer Log Service : après avoir activé l'interrupteur Log Service pour le nom de domaine dans la colonne Quick Access, WAF Log Service collecte les journaux complets de votre site web. Vous pouvez utiliser ces journaux pour les interrogations, l'analyse, l'affichage des tableaux de bord et la configuration des alertes. Pour plus d'informations, consultez Utiliser rapidement WAF Log Service.

  Remarque

  Log Service est un service à valeur ajoutée de WAF. Vous devez activer le service avant de pouvoir l'utiliser. Pour plus d'informations, consultez Étape 1 : Activer WAF Log Service.

• Configurer les ressources de protection : pour configurer les ressources de protection d'un nom de domaine, cliquez sur l'icône à côté de Protection Resource dans la colonne Quick Access.

  Les types de ressources de protection suivants sont disponibles :

  • Shared Cluster and Shared IP Address (par défaut)

  • Shared Cluster and Exclusive IP Address : pour plus d'informations sur les adresses IP exclusives, consultez Adresse IP exclusive pour un nom de domaine.

  • Shared Cluster and Intelligent Load Balancing : pour plus d'informations sur l'équilibrage de charge global, consultez Équilibrage de charge intelligent.

  • Exclusive Cluster : pour plus d'informations sur les clusters exclusifs, consultez Configurer un cluster exclusif.

• Afficher les rapports de surveillance des attaques : dans la colonne Attack Monitoring, cliquez sur View Report pour accéder à la page Security Report et afficher les rapports de protection du nom de domaine. Pour plus d'informations, consultez Rapports de sécurité WAF.

• Définir les politiques de protection : dans la colonne Actions, cliquez sur Configure Protection pour accéder à la page Website Protection. Sur cette page, définissez les politiques de protection pour les modules Web Security, Bot Management et Access Control/Throttling. Pour plus d'informations, consultez Présentation des paramètres de protection du site web.

• Modifier un nom de domaine : dans la colonne Actions, cliquez sur Modify pour modifier les informations du site web, telles que le type de protocole, l'adresse du serveur et le port du serveur. Vous ne pouvez pas modifier le nom de domaine.

• Supprimer un nom de domaine : dans la colonne Actions, cliquez sur Delete pour supprimer le nom de domaine.

  Avertissement

  Avant de supprimer un nom de domaine, modifiez son enregistrement DNS pour qu'il pointe vers l'adresse IP d'origine du serveur. Sinon, WAF ne pourra plus transférer le trafic pour le nom de domaine après sa suppression.

• Après avoir ajouté un nom de domaine à WAF, assurez-vous que ses informations d'enregistrement ICP sont valides. Pour se conformer aux lois et réglementations, WAF vérifie périodiquement les noms de domaine qui lui sont ajoutés. Si un enregistrement ICP expire et n'est pas renouvelé à temps, le statut du nom de domaine passe à « non enregistré ». Dans ce cas, WAF arrête automatiquement le transfert du trafic pour le nom de domaine. Vous devez effectuer les opérations suivantes :

  1. Effectuez l'enregistrement ICP pour le nom de domaine.

  2. Accédez à la page Website Access. Dans l'onglet Domain Names, repérez le nom de domaine dont l'enregistrement ICP est terminé et cliquez sur Add Again dans la colonne Actions.

Gérer les enregistrements ICP des noms de domaine

Après avoir ajouté un nom de domaine à WAF, assurez-vous que ses informations d'enregistrement ICP sont valides. WAF vérifie périodiquement les noms de domaine qui lui sont ajoutés. Si un enregistrement ICP expire et n'est pas renouvelé à temps, le statut du nom de domaine passe à « non enregistré ». Dans ce cas, WAF arrête automatiquement le transfert du trafic pour le nom de domaine. Vous devez effectuer les opérations suivantes :

1. Effectuez l'enregistrement ICP pour le nom de domaine.

2. Accédez à la page Website Access. Dans l'onglet Domain Names, repérez le nom de domaine dont l'enregistrement ICP est terminé et cliquez sur Add Again dans la colonne Actions.

Statut DNS d'un domaine

Vous pouvez afficher le statut DNS de vos noms de domaine dans la liste des noms de domaine ajoutés. Cela vous aide à identifier les noms de domaine présentant des risques de résolution DNS et à modifier les paramètres DNS en fonction des causes des anomalies affichées dans la console.