Cloudflare — WAF, Zero Trust, Tunnel e DNS

Para quem é

Quem expõe aplicação, loja virtual ou API na internet. Também para quem já tem Cloudflare e nunca saiu do modo simulação — ou nunca revisou uma regra desde a migração.

Sinal comum: o DNS foi apontado, o cadeado apareceu, e ninguém olhou mais. WAF em observação, rate limit desligado, origem ainda acessível pelo IP direto.

O que está incluído

Auditoria de DNS, proxy e registros
WAF com ruleset OWASP e regras próprias por endpoint
Rate limit por rota crítica (login, carrinho, API)
Bot fight e desafio gerenciado
Cloudflare Tunnel para esconder a origem
Zero Trust Access para painéis administrativos
DNSSEC, SSL/TLS e cabeçalhos de segurança
Logs e painel de bloqueios

O que não está incluído

Assinatura Cloudflare e add-ons pagos
Correção de vulnerabilidade no código da aplicação
Migração de e-mail ou de provedor de DNS

Como funciona

Semanas 1 e 2. Mapeamento do tráfego legítimo, regras em modo simulação e ajuste de exceções.

Semana 3. Ativação em produção por etapas, com acompanhamento de falso positivo.

Depois. Revisão mensal opcional: novas rotas, novos ataques, regras que envelheceram.

Entregáveis

Relatório antes/depois com volume de bloqueio e falso positivo
Regras documentadas e versionadas
Runbook de emergência: como desligar uma regra sem derrubar o site
Painel de ameaças para acompanhamento

WAF ligado no primeiro dia, sem simulação, é a forma mais rápida de derrubar o formulário de contato e achar que o problema é a Cloudflare.

Perguntas frequentes

Preciso mudar de plano?

Depende do volume e do recurso. A maior parte do ganho vem de configuração, não de upgrade. Se o plano atual bastar, digo isso na proposta.

Vai derrubar o site?

Não. A ativação é por etapas e sempre com rollback pronto. Regra nova entra em simulação antes.

Serve para API?

Sim. Rate limit por token e por rota, schema validation e proteção de endpoints administrativos.

Cloudflare com regra que faz sentido