挑战与 CC 防护

概念复制链接

挑战类型复制链接

挑战页不引用任何外部地址，带严格的 Content-Security-Policy，按 Accept-Language 显示中文或英文，系统开启「减少动态效果」时不播放动画。挑战页的状态码为 403，响应头 X-Edgeweir-Challenge 为挑战类型，Cache-Control: no-store, private。

保留路径复制链接

节点在确定网站之后直接处理以 /.edgeweir/ 开头的路径，永不转发到源站：

源站不能在该前缀下提供内容。

通行凭证复制链接

开启 Under Attack复制链接

1. 打开 网站 →（网站）→ 安全。

2. 在「挑战类型」中选择类型（默认 JS 计算）。

3. 打开「Under Attack」开关并确认。节点在配置发布后生效。

4. 验证：

   复制

   curl -sI -H 'Host: www.example.com' http://<节点 IP>/

   返回 403，响应头含 X-Edgeweir-Challenge: js。用浏览器打开网站，通过挑战后正常访问。

关闭：再点一次开关并确认。

为所有网站开启：在 防护设置 → 防护 选择「挑战类型」，打开「全局 Under Attack」并确认，所有集群都会发布新配置。网站的「安全」页签随后显示「已为所有网站开启全局 Under Attack」。见防护。

不离开当前页面：按 ⌘K / Ctrl+K，输入网站名或域名，选择「Under Attack：（网站）」并确认，开关切换到相反状态；「全局 Under Attack」同样切换全局开关。

以下请求不受 Under Attack 与 CC 挑战：

需要的级别取以下各项的最大值：全局 Under Attack、网站 Under Attack、命中的 challenge 规则、网站当前的 CC 级别、该路径的 CC 级别。配置阶段的规则可按请求开关网站 Under Attack、关闭「CC 防护」或设置「CC 最高级别」，全局 Under Attack 不受影响，见覆盖设置。

挑战设置复制链接

安全 → 挑战设置：「预设」选择宽松、标准（默认）或严格，填入下表前三项；选择「自定义」后逐项填写。保存的取值与任何预设都不同时显示为「自定义」。

难度每增加 1，浏览器平均要做的计算翻倍。

挑战规则复制链接

在 规则 → 自定义 WAF 中选择动作「挑战」与挑战类型，例如只挑战登录页，或挑战指定的 JA4 指纹：

http.request.uri.path eq "/login"
tls.ja4 in {"t13d1516h2_8daaf6152771_02713d6af862"}

请求带有级别足够的凭证时继续执行后续规则，否则按上文挑战。字段与语法见规则。

CC 防护复制链接

CC 防护按网站配置，默认关闭。安全 → CC 防护：

1. 打开「启用」。
2. 保持「跟随默认模板」使用默认阈值（防护设置 → CC 模板）；关闭它后在「预设」中选择宽松、标准或严格，或选择「自定义」逐项填写。保存的阈值与任何预设都不同时显示为「自定义」。
3. 点击「保存」。

阈值为 0 表示关闭该条件。跟随模板的网站在模板修改后自动使用新阈值。

三个预设的窗口都是 10 秒，验证码级别都不改用高难度计算验证。

查看状态与事件复制链接

安全 页签顶部一行显示当前生效的防护：Under Attack（本网站或全局）、CC（预设名、「自定义」「跟随模板」或「关闭」）、CRS 的模式与预设、挑战设置的预设，在线节点的级别高于正常时还显示「节点：（最高级别）」。点击其中一项跳到对应卡片。

安全 页签下方：

事件默认保留 30 天，可在 防护设置 → 防护 的「安全事件保留天数」调为 7–365 天。网站从正常升级时触发告警「CC 防护升级」（cc_mitigation），同一网站 15 分钟内最多一次（被压下的升级在 15 分钟后仍未恢复时补发），见告警。

JA4复制链接

JA4 是 TLS 客户端指纹（格式 a_b_c，例如 t13d1516h2_8daaf6152771_02713d6af862），在 TLS 握手时计算，同一连接上的请求共用。

只实现 JA4（TLS 客户端指纹），不实现 JA4S、JA4H 等其他方法。

权限复制链接

修改需要控制台会话或读写 AccessKey；只读 AccessKey 只能读取；服务账号不能调用这些接口（SERVICE_ACCOUNT_FORBIDDEN）。所有修改写审计：site.protection_update、system.protection_update、system.cc_template_update。

节点能力复制链接

集群内有活动节点缺少所需能力时，修改照常保存并发布；缺少能力的节点保留原配置，在 集群与节点 中显示「需要升级」，见节点升级。服务账号与后台任务发布这类配置时返回 409 NODE_CAPABILITY_REQUIRED（「节点尚不支持：…（<节点>）」），原设置不变。不使用这些功能的集群配置不变。

API复制链接

字段与示例见 API 与端点。

故障排查复制链接