Sicherheit & WAF
smoxy enthält eine integrierte Web Application Firewall (WAF) und Sicherheitsschicht, die deine Sites vor bösartigem Traffic schützt. Das Sicherheitsmodul arbeitet auf der Proxy-Ebene und funktioniert unabhängig vom CDN — du brauchst CDN nicht zu aktivieren, um Sicherheitsfunktionen zu nutzen.
Überblick
Das Sicherheitssystem von smoxy bietet mehrere Schutzebenen:
WAF
Erkennt und blockiert automatisch bösartige Anfragen
Zugriffsregeln
Eigene Regeln, die du definierst, um Traffic basierend auf Bedingungen zu erlauben, zu blockieren oder zu fordern
Basic Auth
Schütze deine Site oder bestimmte Seiten mit HTTP-Basic-Authentication per Passwort
Under Attack Mode
Notfallmodus mit zusätzlichem Schutz bei aktiven Angriffen
Sicherheit aktivieren
Sicherheit wird pro Site konfiguriert und erfordert, dass die Proxy-Funktion aktiv ist.
Navigiere zu deiner Site in smoxy
Öffne die Sicherheits-Einstellungen
Aktiviere den Schalter Sicherheit
Speichern
Hinweis: Sicherheit erfordert, dass der Proxy auf deiner Site aktiviert ist. Wenn der Proxy deaktiviert ist, wird die Sicherheit automatisch ebenfalls deaktiviert.
WAF (Web Application Firewall)
Wenn Sicherheit aktiviert ist, prüft die WAF von smoxy automatisch eingehende Anfragen und blockiert solche, die bekannten bösartigen Mustern entsprechen.
Die WAF ist so konzipiert, dass sie für alle Sites sicher aktiviert werden kann. Sie zielt auf eindeutig bösartigen Traffic ab, ohne legitime Besucher zu beeinträchtigen. Du musst keine einzelnen WAF-Regeln konfigurieren oder anpassen — smoxy verwaltet das Regelwerk automatisch.
Wovor die WAF schützt
Die WAF bietet Schutz gegen häufige Webangriffe und bösartige Anfragemuster. Die spezifischen Regeln werden von smoxy verwaltet und kontinuierlich aktualisiert, um auf sich entwickelnde Bedrohungen zu reagieren.
Benutzerdefinierte Sicherheitsseite
Wenn die WAF eine Anfrage blockiert, sieht der Besucher eine 403 Forbidden-Antwort. Du kannst diese Seite an dein Branding anpassen. Siehe Benutzerdefinierte Seiten für Details zum Upload einer benutzerdefinierten Sicherheitsseite.
Access Rules
Access Rules geben dir eine feingranulare Kontrolle darüber, welcher Traffic erlaubt, blockiert oder gefordert wird. Du kannst Regeln erstellen, die auf Anfrageeigenschaften wie IP-Adresse, Land, User Agent, URL-Pfad und mehr abgleichen — und dann wählen, ob der übereinstimmende Traffic erlaubt, blockiert oder gefordert wird, oder ob Sicherheitsprüfungen übersprungen werden sollen.
Access Rules werden vor jeder anderen Verarbeitung ausgewertet, einschließlich der WAF. Das macht sie ideal, um vertrauenswürdigen Traffic auf eine Whitelist zu setzen oder bekannte bösartige Akteure zu blockieren.
Die vollständige Anleitung zum Erstellen und Verwalten von Zugriffsregeln — einschließlich aller verfügbaren Bedingungen, Operatoren und detaillierter Beispiele — findest du unter Access Rules.
Basic Auth
Basic Auth fügt HTTP-Basic-Authentication zu deiner Site hinzu und erfordert, dass Besucher einen Benutzernamen und ein Passwort eingeben, bevor sie auf Inhalte zugreifen können. Dies ist nützlich zum Schutz von Staging-Umgebungen, internen Tools oder zur Zugriffsbeschränkung während der Entwicklung.
Benutzer verwalten
Basic-Auth-Benutzer werden pro Site verwaltet. Jeder Benutzer hat einen Benutzernamen, ein Passwort und einen optionalen Kommentar.
Benutzernamenregeln: Muss mit einem Buchstaben beginnen, darf nur alphanumerische Zeichen, Bindestriche und Unterstriche enthalten und darf nicht mit einem Bindestrich oder Unterstrich enden.
Passwortregeln: Mindestens 5 Zeichen.
Basic Auth aktivieren
Du kannst Basic Auth in drei Modi aktivieren:
Aus
Keine Authentifizierung erforderlich
Alle Benutzer
Jeder konfigurierte Basic-Auth-Benutzer kann auf die Site zugreifen
Ausgewählte Benutzer
Nur bestimmte Basic-Auth-Benutzer können auf die Site zugreifen
Pro-Request-Überschreibungen
Basic Auth kann für bestimmte Anfragen mit Conditional Rules aktiviert oder deaktiviert werden. Das ermöglicht dir:
Nur bestimmte URL-Pfade schützen (z. B.
/admin)Authentifizierung nur aus bestimmten IP-Bereichen verlangen
Authentifizierung für vertrauenswürdige IPs umgehen, während sie für alle anderen erforderlich ist
Under Attack Mode
Der Under Attack Mode ist eine Notfalleinstellung für den Fall, dass deine Site einem aktiven DDoS-Angriff oder ungewöhnlich hohem bösartigem Traffic-Aufkommen ausgesetzt ist.
Wenn aktiviert, wendet smoxy aggressivere Sicherheitsprüfungen auf alle eingehenden Anfragen an. Dies kann eine kurze Verzögerung für legitime Besucher verursachen, während sie die zusätzliche Verifizierung durchlaufen, reduziert aber die Auswirkungen des Angriffsverkehrs erheblich.
Wann verwenden
Deine Site wird von einem DDoS-Angriff betroffen
Du siehst einen plötzlichen Anstieg bei blockierten oder geforderten Anfragen
Dein Origin-Server steht unter hoher Last durch bösartigen Traffic
Wann deaktivieren
Schalte den Under Attack Mode aus, sobald der Angriff abklingt. Die zusätzliche Verifizierung fügt eine leichte Latenz für alle Besucher hinzu, daher sollte er nur während Vorfällen aktiv sein.
Wichtige Hinweise
Sicher zu aktivieren: Die WAF ist für eine breite Aktivierung ausgelegt. Sie zielt auf bösartige Muster ab, ohne legitimen Traffic zu beeinträchtigen, wodurch sie für alle Sites sicher aktiviert werden kann.
Proxy erforderlich: Sicherheitsfunktionen erfordern, dass der Proxy aktiviert ist. Ohne Proxy wird die Sicherheit automatisch deaktiviert.
CDN nicht erforderlich: Sicherheit arbeitet auf der Proxy-Ebene und funktioniert unabhängig vom CDN. Du kannst Sicherheitsfunktionen nutzen, ohne CDN für deine Hostnamen zu aktivieren.
Regelreihenfolge beachten: Zugriffsregeln werden der Reihe nach verarbeitet. Platziere deine spezifischsten Regeln zuerst und verwende das Stop-Flag, um unnötige Regelauswertung zu vermeiden.
Skip-Regeln für APIs: Wenn du API-Endpunkte hast, die ungewöhnliche Payloads verarbeiten (Code-Snippets, Binärdaten), erwäge Skip-Regeln hinzuzufügen, um falsch-positive WAF-Blockierungen zu vermeiden.
Under Attack Mode ist temporär: Aktiviere den Under Attack Mode nur während aktiver Angriffe. Deaktiviere ihn, wenn sich die Situation normalisiert, um unnötige Latenz für legitime Besucher zu vermeiden.
Benutzerdefinierte Seiten: Du kannst die 403-Seite (Sicherheitsblockierung) an dein Branding anpassen. Siehe Benutzerdefinierte Seiten.
Last updated
Was this helpful?