Todos os produtos
Search

Este produto

    Edge Security Acceleration:Configure o gerenciamento de bots

    Central de documentação

    Edge Security Acceleration:Configure o gerenciamento de bots

    Última atualização: Sep 25, 2026

    Configure o gerenciamento de bots para definir regras anti-crawler que protegem páginas web baseadas em navegador, páginas H5 e aplicativos desenvolvidos nativamente para iOS ou Android.

    Pré-requisitos

    • O WAF está ativado. Para mais informações, consulte Enable WAF.

    • O nome de domínio foi adicionado ao WAF como objeto protegido. Para mais informações, consulte Add a protected domain name.

    • Se você usar um aplicativo desenvolvido nativamente para iOS ou Android (exceto as páginas H5 usadas no aplicativo), integre o SDK ao aplicativo protegido antes de definir as regras anti-crawler para aplicativos. Para mais informações, consulte Integrate the SDK into Android apps ou Integrate the SDK into iOS apps.

    Defina regras anti-crawler para sites

    Se os seus usuários acessam páginas web ou páginas H5 (incluindo as páginas H5 usadas em aplicativos) por meio de um navegador, defina regras anti-crawler para acessos via navegador e proteja seus serviços contra riscos de crawlers de forma mais direcionada.

    1. Faça login no console do DCDN.

    2. No painel de navegação à esquerda, escolha WAF > Protection Policies.

    3. Na página Protection Policies, clique em Create Policy.

    4. Na página Create Policy, configure as definições de proteção.

      5. Módulo de configuração

      Item de configuração

      Descrição

      Policy Information

      Policy Type

      Selecione Bot Management.

      Policy Name

      O nome personalizado da política. O nome pode conter caracteres chineses, letras (maiúsculas e minúsculas), dígitos (0 a 9) e sublinhados (_) e ter até 64 caracteres.

      Global Configurations

      Service Type

      Selecione Websites para proteger páginas web ou páginas H5 acessadas por navegador, incluindo conteúdo renderizado como páginas H5 puras em aplicativos.

      Web SDK Integration

      • Integração automática (recomendado):

        Utiliza um SDK web baseado em JavaScript para melhorar a proteção em cenários de navegador web e evitar problemas de compatibilidade.

        Ative a integração automática. O WAF referencia automaticamente o SDK nas páginas HTML do objeto protegido. O SDK coleta informações do navegador, sondas específicas de ataque e defesa e comportamento de operação, sem envolver informações pessoais sensíveis. Em seguida, o WAF identifica e bloqueia riscos de requisição com base nas informações coletadas.

      • Integração manual:

        Se a integração automática não se aplicar ao seu ambiente atual, use a integração manual. Para mais informações, consulte Integrate an SDK for a web application.

      Traffic Characteristics

      Adicione os campos e as regras de requisição HTTP do tráfego alvo. Esses campos são o conteúdo gerado na mensagem de requisição HTTP para o cenário de serviço protegido quando o alvo protegido é acessado. Para mais informações sobre os campos, consulte Match conditions.

      Legitimate Bot Management

      Spider Whitelist

      Ative esta opção. Os endereços IP de crawlers dos principais mecanismos de busca passam a ser suportados e atualizados dinamicamente. Os mecanismos de busca suportados são Google, Baidu, Sogou, Bing, 360 e Yandex.

      Com a regra ativada, endereços IP de crawlers legítimos desses mecanismos de busca são permitidos sem a detecção de proteção pelo módulo de gerenciamento de bots.

      Bot Characteristic Detection

      Script-based Bot Block (JavaScript)

      Ative este recurso. O sistema executa uma verificação JavaScript nos clientes que acessam o alvo protegido anti-crawler. O tráfego de ferramentas não navegadores que não suportam verificações JavaScript é filtrado para bloquear ataques simples baseados em scripts.

      Advanced Bot Defense (Dynamic Token-based Authentication)

      Ative esta opção. O sistema verifique a assinatura de cada requisição e bloqueia as requisições que falham na verificação. É possível selecionar falha na verificação de assinatura (obrigatório, indicando que a requisição não carrega assinatura ou carrega uma assinatura inválida), carimbo de data/hora de assinatura inválido e ataques WebDriver.

      Bot Behavior Detection

      AI Intelligent Protection

      Ative esta opção. As regras anti-crawler usam mecanismos de proteção inteligente para analisar o tráfego de acesso e aprender com ele automaticamente, gerando regras de proteção direcionadas ou listas de bloqueios.

      • Monitoramento: as regras anti-crawler permitem o tráfego correspondente e o registram em relatórios de segurança.

      • CAPTCHA de controle deslizante: o cliente deve concluir um CAPTCHA de controle deslizante antes de continuar acessando o alvo protegido.

      Custom Throttling

      IP Address Throttling (Default)

      Especifique que, quando o número de requisições do mesmo endereço IP excede o limiar especificado dentro do intervalo estatístico, execute uma ação de limitação nas requisições desse endereço IP. A ação pode ser CAPTCHA de controle deslizante, bloqueio ou monitoramento. Você também especifica a duração da ação de limitação. É possível definir até três condições. Para mais informações, consulte custom rule parameters.

      Custom Session Throttling

      Defina o tipo de sessão e crie condições personalizadas de limitação de sessão. Essas condições especificam que, quando o número de requisições da mesma sessão excede o limiar especificado dentro do intervalo estatístico, execute uma ação de limitação nessa sessão. A ação pode ser CAPTCHA de controle deslizante, bloqueio ou monitoramento. Você também especifica a duração da ação. É possível definir até três condições. Para mais informações, consulte custom rule parameters.

      Bot Threat Intelligence

      Bot Threat Intelligence Library

      Contém os endereços IP de source de ataque que realizaram crawling malicioso contra vários usuários do Alibaba Cloud múltiplas vezes ao longo de um período.

      Defina a biblioteca de inteligência contra ameaças de bots como monitoramento ou CAPTCHA de controle deslizante.

      Data Center Blacklist

      Ative esta opção. O sistema bloqueia as bibliotecas de endereços IP selecionadas. Se você usa endereços IP de origem de uma cloud pública ou data center para acessar seus serviços, adicione chamadas legítimas conhecidas à lista de permissões, como callbacks de pagamento do Alipay ou WeChat e programas de monitoramento. A lista de bloqueios de data center suporta as seguintes bibliotecas de endereços IP: Alibaba Cloud, 21Vianet, Meituan Cloud, Tencent Cloud e Outros.

      Defina a lista de bloqueios de data center como monitoramento, CAPTCHA de controle deslizante ou bloqueio.

      Fake Spider Blocking

      Ative esta opção. O sistema bloqueia o User-Agent de todos os mecanismos de busca no gerenciamento de bots legítimos. Endereços IP de clientes legítimos dos mecanismos de busca para os quais a lista de permissões está ativada são permitidos.

      Protected Domain Names

      Select Association Mode

      • Add and replace the original associated policy: desvincula a política associada e a substitui pela política atual.

      • Add and keep the original associated policy: a política atual e a política vinculada coexistem e não afetam uma à outra.

      Protected Domain Names

      Selecione os nomes de domínio que você deseja adicionar à política de mitigação atual.

      Nota

      • Um nome de domínio protegido pode ser associado a apenas uma política de mitigação do mesmo tipo.

        Se o nome de domínio já estiver associado a outra política do mesmo tipo, as informações da política do nome de domínio serão substituídas pela política atual após a aplicação desta ao nome de domínio.

      • Não é possível configurar o gerenciamento de bots para nomes de domínio DCDN nos quais o websocket está ativado, porque o conteúdo websocket é criptografado e as características de ataque não podem ser identificadas.

    5. Clique em Create Policy.

      A nova política de proteção é ativada por padrão.

    Defina regras anti-crawler para aplicativos

    Se você usar um aplicativo desenvolvido nativamente para iOS ou Android (exceto as páginas H5 usadas no aplicativo), defina regras anti-crawler para aplicativos e proteja seus serviços contra riscos de crawlers de forma mais direcionada.

    1. Faça login no console do DCDN.

    2. No painel de navegação à esquerda, escolha WAF > Protection Policies.

    3. Na página Protection Policies, clique em Create Policy.

    4. Na página Create Policy, configure as definições de proteção.

      Módulo de configuração

      Item de configuração

      Descrição

      Policy Information

      Policy Type

      Selecione Bot Management.

      Policy Name

      O nome personalizado da política. O nome pode conter caracteres chineses, letras (maiúsculas e minúsculas), dígitos (0 a 9) e sublinhados (_) e ter até 64 caracteres.

      Global Configurations

      Service Type

      Selecione APP para proteger aplicativos desenvolvidos nativamente para iOS ou Android, exceto as páginas H5 usadas no aplicativo.

      Web SDK Integration

      Utiliza o SDK para aplicativos nativos (Android ou iOS) para melhorar a proteção em cenários de aplicativos. Após a integração do SDK, ele coleta as características de risco do cliente e gera uma assinatura de segurança anexada às requisições. O WAF identifica e bloqueia riscos de requisição com base nas características da assinatura. Clique em Obter e copiar appkey e, em seguida, envie um ticket para solicitar o pacote do SDK. Para mais informações, consulte Integrate the SDK into Android apps ou Integrate the SDK into iOS apps.

      Traffic Characteristics

      Adicione os campos e as regras de requisição HTTP do tráfego alvo. Esses campos são o conteúdo gerado na mensagem de requisição HTTP para o cenário de serviço protegido quando o alvo protegido é acessado. Para mais informações sobre os campos, consulte Match conditions. É possível adicionar até cinco condições.

      Bot Characteristic Detection

      Invalid App Signature

      Assinatura de aplicativo inválida é selecionada por padrão e não pode ser desativada. As regras anti-crawler detectam requisições que não carregam assinatura ou carregam uma assinatura inválida após a integração do SDK no aplicativo.

      Abnormal Device Behavior

      Ative este item. As regras anti-crawler detectam e controlam as requisições enviadas de dispositivos com características anormais. As características anormais do dispositivo incluem:

      • Expired Signature: ativado por padrão. Indica que o carimbo de data/hora da requisição do dispositivo expirou.

      • Using Simulator: indica que um emulador está sendo usado no dispositivo.

      • Using Proxy: indica que um serviço de proxy está sendo usado no dispositivo.

      • Rooted Device: indica que as permissões de root estão ativadas no dispositivo.

      • Debugging Mode: indica que o modo de depuração está ativado no dispositivo.

      • Hooking: indica que existe um programa de hook no dispositivo.

      • Multiboxing: indica que vários processos do aplicativo protegido estão abertos no dispositivo ao mesmo tempo.

      • Simulated Execution: indica que existem operações que simulam o comportamento do usuário no dispositivo.

      • Script Tools: indica que existem scripts executados automaticamente no dispositivo.

      Custom Signature Field

      Selecione um nome de campo para definir um campo de assinatura personalizado em header, Parameter ou cookie.

      Se o objeto a ser assinado for incomum (por exemplo, o corpo for muito grande, vazio ou codificado de forma especial), processe o conteúdo da assinatura usando um método como hash e coloque o resultado no campo de assinatura personalizado. O WAF então verifique a assinatura com base no conteúdo desse campo.

      Action

      Defina a regra como monitoramento ou bloqueio de acordo com suas necessidades:

      • Monitoramento: aciona um alerta, mas não bloqueia a requisição.

      • Bloqueio: bloqueia a requisição de ataque diretamente.

      Secondary Packaging Detection

      Ative este item. O sistema considera as requisições de aplicativo cujo nome e assinatura do pacote não estão na lista de permissões de nomes e assinaturas válidos como requisições de um aplicativo reempacotado. Especifique informações de versão válidas:

      • Especifique um nome de pacote válido: especifica o nome de um pacote de aplicativo válido. Por exemplo, example.aliyundoc.com.

      • Assinatura do pacote: entre em contato com os engenheiros de segurança do Alibaba Cloud para obter a assinatura do pacote. Se não for necessário verifique a assinatura do pacote do aplicativo, deixe-a em branco. O WAF então verifica apenas o nome do pacote de aplicativo válido especificado.

      Nota

      A assinatura do pacote não é a assinatura do certificado do aplicativo.

      É possível adicionar versões válidas para pacotes iOS e Android, até cinco no total, e os nomes dos pacotes não podem ser duplicados.

      Defina a regra como monitoramento ou bloqueio de acordo com suas necessidades.

      Throttling

      IP Address Throttling (Default)

      Especifique que, quando o número de requisições do mesmo endereço IP excede o limiar especificado dentro do intervalo estatístico, execute uma ação de limitação de bloqueio ou monitoramento nas requisições desse endereço IP. Você também especifica a duração da ação de limitação. É possível definir até três condições. Para mais informações, consulte custom rule parameters.

      Device Throttling

      Defina condições de limitação de dispositivo para especificar que, quando o número de requisições do mesmo dispositivo excede o limiar especificado dentro do intervalo estatístico, execute uma ação de limitação de bloqueio ou monitoramento nas requisições desse dispositivo. Você também especifica a duração da ação de limitação. É possível definir até três condições. Para mais informações, consulte custom rule parameters.

      Custom Session Throttling

      Defina o tipo de sessão e crie condições personalizadas de limitação de sessão. Essas condições especificam que, quando o número de requisições da mesma sessão excede o limiar especificado dentro do intervalo estatístico, execute uma ação de limitação de bloqueio ou monitoramento nessa sessão. Você também especifica a duração da ação. É possível definir até três condições. Para mais informações, consulte custom rule parameters.

      Bot Threat Intelligence

      Bot Threat Intelligence Library

      Contém os endereços IP de source de ataque que realizaram crawling malicioso contra vários usuários do Alibaba Cloud múltiplas vezes ao longo de um período. Defina a biblioteca de inteligência contra ameaças de bots como monitoramento ou CAPTCHA de controle deslizante.

      Data Center Blacklist

      Ative esta opção. O sistema bloqueia as bibliotecas de endereços IP selecionadas. Se você usa endereços IP de origem de uma cloud pública ou data center para acessar seus serviços, adicione chamadas legítimas conhecidas à lista de permissões, como callbacks de pagamento do Alipay ou WeChat e programas de monitoramento. A lista de bloqueios de data center suporta as seguintes bibliotecas de endereços IP: Alibaba Cloud, 21Vianet, Meituan Cloud, Tencent Cloud e Outros. Defina a lista de bloqueios de data center como monitoramento, CAPTCHA de controle deslizante ou bloqueio.

      Protected Domain Names

      Select Association Mode

      • Add and replace the original associated policy: desvincula a política associada e a substitui pela política atual.

      • Add and keep the original associated policy: a política atual e a política vinculada coexistem e não afetam uma à outra.

      Protected Domain Names

      Selecione os nomes de domínio que você deseja adicionar à política de mitigação atual.

      Nota

      Um nome de domínio protegido pode ser associado a apenas uma política de mitigação do mesmo tipo.

      Se o nome de domínio já estiver associado a outra política do mesmo tipo, as informações da política do nome de domínio serão substituídas pela política atual após a aplicação desta ao nome de domínio.

    5. Clique em Create Policy.

      A nova política de proteção é ativada por padrão.

    APIs relacionadas