Taon-taon kayong tinakot ng Chrome tungkol sa mga site na walang kandado. Ngayon may kandado ang bawat site - at sa pito sa sampung malalaking site, papunta ito sa middlebox
Ang kandado at HTTPS ay inimbento sa iisang dahilan: para walang makabasa ng ipinapadala ninyo sa pagitan ninyo at ng site. Ang ISP ninyo, cafe Wi-Fi, isang estado sa linya - ciphertext lang ang nakikita. Taon-taon kayong tinuruan ng mga browser: walang kandado - huwag maglagay ng password.
Ang Cloudflare ay proxy na nakaupo sa pagitan ninyo at ng site; ganito rin ang Amazon CloudFront, Azure Front Door, Akamai at Fastly. Para «mapagaan ang mga atake», kailangan makita ng middlebox ang traffic nang plaintext. Kaya nagtatapos ang koneksyon ninyo sa server nito: doon dini-decrypt ang request, sinusuri sa mga rule, at saka lang ipinapadala sa site sa hiwalay na koneksyon. Tinatawag ito ng sariling docs ng Cloudflare na TLS termination - «ang punto kung saan dini-decrypt ang HTTPS traffic para masuri ito ng Cloudflare». Parehong pangalan ang ginagamit ng Amazon, Azure at Akamai para sa parehong punto.
Teknikal na classic man in the middle ito. Iisa ang pagkakaiba sa atake: nag-sign up ang may-ari ng site nang ilagay nila ang site sa likod ng middlebox. Hindi ito tinatanggal ng plan o settings: habang nasa likod ng middlebox ang site, nagtatapos ang encryption sa middlebox - sa free plan at sa Enterprise. Walang nagtanong sa inyo, at hindi ito sasabihin ng kandado.
Ano ang ibig sabihin nito sa practice - mula sa docs at petsa
Walang hatol. Sariling documentation lang ng Cloudflare, sariling incident reports at pampublikong write-up - may petsa, para mabe-check ang bawat linya.
Pito sa sampung pinakamalaking site - sa likod ng middlebox
Ayon sa HTTP Archive 2025, 71% ng libong pinakabinibisitang site sa mundo ay naghahatid maging ng HTML document sa pamamagitan ng middlebox; sa top 10,000 - 70%, sa top 100,000 - 62%. Sino ang mga middlebox na iyon: Cloudflare - 58% ng ganitong site, tapos Amazon CloudFront (7%), Fastly (5%), Akamai (2%) at cloud load balancers. Kung bilangin ang lahat ng site sa mundo, bawat ikatlo ay nasa likod ng middlebox; Cloudflare lang - 26% ng lahat ng site at 85% ng reverse-proxy market.
Binabasa ng WAF ang body ng bawat request - ayon sa docs
Sinasabi ng mga rule ng Cloudflare na «sine-survey ang body ng bawat papasok na request», at ang field na http.request.body.raw sa rules language nila ay «ang hindi binagong HTTP request body». Ang login form ay request body. Plaintext ang login at password doon.
Cloudbleed, 2017: tumagas ang memorya ng middlebox sa ibang sagot
Mula 22 Setyembre 2016 hanggang 18 Pebrero 2017, may bug sa parser ng Cloudflare na nagsama-sama ng mga piraso ng memorya ng isang site sa mga sagot ng iba: headers, piraso ng POST na may password, cookie, API key at token. 1.2 milyong hit ang bilang ng Cloudflare; napunta ang mga leak sa search cache - mahigit 80,000 page ang nilinis. Binanggit ng press ang Uber, OkCupid, Fitbit.
Nobyembre 2023: pumasok ang mga attacker sa Cloudflare gamit ang ninakaw na key
Mula 14 hanggang 24 Nobyembre 2023, may mga attacker - tinatawag silang «nation-state» ng Cloudflare - na may credentials na ninakaw sa Okta breach na nagtrabaho sa loob ng sistema ng Cloudflare: Confluence wiki, Jira tracker, Bitbucket repos, 76 repository ang na-download. Pagkatapos nito, nag-rotate ang Cloudflare ng mahigit 5,000 credentials at sinuri ang 4,893 system.
Isang switch para sa lahat
2 Hulyo 2019 - 27 minuto, isang regex sa WAF, bumaba ang traffic ng 82%. 21 Hunyo 2022 - 75 minuto, 19 data center. 18 Nobyembre 2025 - halos anim na oras, «pinakamasamang outage mula 2019»: bumagsak ang X, ChatGPT, Spotify, Shopify, Coinbase. 5 Disyembre 2025 - isa pang 25 minuto. 20 Pebrero 2026 - anim na oras, BGP error. Wala sa mga outage ang atake.
Cloudflare ang nagdedesisyon kung tao kayo
Naglalagay ng tsek ang may-ari ng site - at hindi sila ang nagdedesisyon sa access kundi ang filter ng Cloudflare. Inaamin ng docs nila ang «challenge loop, kapag paulit-ulit lumalabas ang challenge», kasama dahil sa VPN at proxy. Mula 2016, tinatrato ng Cloudflare ang Tor bilang hiwalay na «bansa» at inaangkin na 94% ng request mula roon ay malicious; sumagot ang Tor Project tungkol sa «walang katapusang loop ng CAPTCHA» at block sa hindi bababa sa 80% ng Tor address.
Kapag nakikipaglaban ang estado sa middlebox: ang Russia case
Noong Oktubre 2024, pinagana ng Cloudflare ang ECH encryption bilang default sa free plans. Noong 6 Nobyembre 2024, tumigil sa pagbukas ang mga site sa likod ng Cloudflare na may ECH para sa mga Russian ISP; noong 7 Nobyembre, tinawag ng CMU SSOP (yunit ng Roskomnadzor) ang ECH bilang «paraan ng pag-iwas sa mga restriksyon» at inirekomenda sa mga may-ari na i-disable ito «o mas mabuti, gumamit ng domestic CDN». Mula 9 Hunyo 2025, pinutol ng apat na pinakamalaking operator ng Russia ang Cloudflare traffic sa unang 16 KB ng anumang file. Bumaba nang humigit-kumulang 30% ang traffic mula Russia; mahigit 40% ng Russian-web sites - mga 300,000 - ay nakaupo sa likod ng Cloudflare. Noong 2 Hunyo 2026, inanunsyo ng FSB na nangongolekta ang foreign intelligence ng data mula sa mga telepono ng opisyal ng Russia «gamit ang technical capabilities» ng Cloudflare at Fastly, at nagbukas ng kaso sa ilalim ng Criminal Code articles 272 at 273 - walang ipinakitang technical evidence, at hindi sumagot ang mga kumpanya. Ang parehong Cloudflare mula 2022 ay tumatakip sa mga site ng UK Ministry of Defence sa ilalim ng government contract - Army, Royal Navy, RAF at Defence Gateway portal para sa 330,000 user: £425k para sa 2022-2025 at £105k para sa 2025-2026.
Parehong scheme kahit saan: Amazon, Akamai, Azure, Fastly
Anumang proxy o cloud load balancer na nagtatapos ng TLS sa sarili ay gumagana nang ganito: Amazon CloudFront at ALB, Azure Front Door at Application Gateway, Akamai, Fastly, Imperva, at sa Asya pati Alibaba Cloud CDN at Tencent EdgeOne. Bawat isa ay may sariling WAF na bumabasa ng request body, sariling cache at sariling outage. Ang Cloudflare lang ang pinakamalaki at pinakabukas sa documentation. Ordinaryong hosting na may certificate sa origin server ay iba: doon ang site lang ang bumasa ng traffic.
Ano ang ibig sabihin nito para sa pera ninyo
Exchange sa likod ng middlebox
Web wallet sa likod ng middlebox
Wallet na may offline signing
Suriin ang anumang site sa isang minuto
Hindi ninyo kailangang maniwala sa amin o sa kanila. May bakas ang middlebox sa bawat sagot, at makikita ng kahit sino.
Kinuha namin ang limang pinakasikat na wallet at tiningnan kung sino ang nakaupo sa pagitan ninyo at ng site nila
Hindi kami nanghula at hindi kami nagbasa ng review ng iba: gumawa kami ng ordinaryong request sa mga site, tiningnan ang response headers at certificates. Nasa ibaba ang resulta, as-is.
Ano ang tinatanong ng mga tao pagkatapos basahin hanggang dito
Ano ang Cloudflare sa simpleng salita?
Kumpanya ng middlebox: ipinapadala ng site ang lahat ng traffic nito sa kanilang server, at «pinoprotektahan» nila ito. Para «protektahan», dini-decrypt nila ang koneksyon ninyo sa kanilang panig. Ganito gumagana ang isang-kapat ng lahat ng site sa mundo.
Nakikita ba ng Cloudflare ang password ko?
Oo. Nagtatapos ang koneksyon sa server nito, at binabasa ng filtering rules ayon sa docs ang body ng bawat request - ang login form na may username at password ay mismong request body na iyon. Kung iniimbak nila iyon at gaano katagal ay nasa policies nila, na hindi ninyo mabe-verify.
Bakit hinihiling ng site na kumpirmahin kong tao ako?
Hindi iyon ang site, iyon ay Cloudflare. Binuksan ng may-ari ang check, at ang filter ng middlebox ang nagdedesisyon: VPN, Tor, «kahina-hinalang» rehiyon, lumang browser - at mahuhulog kayo sa challenge loop. Inaamin mismo ng Cloudflare ang ganitong loop sa documentation.
Hindi bumubukas sa bansa ko ang site sa likod ng Cloudflare. Ano ang magagawa ko?
Kapag nakikipag-away ang isang bansa sa middlebox, VPN ang natitira sa user - o site na walang middlebox. Isang totoong solusyon lang ang may-ari ng site: alisin ang Cloudflare sa pagitan nila at ng mga user. Ipinapakita ng Russia case sa Katotohanan 07 kung gaano kabilis magiging «nag-away ang middlebox sa ISP» ang «hindi bumubukas ang site».
Tungkol lang ba ito sa Cloudflare?
Hindi. Anumang middlebox na nagtatapos ng TLS sa sarili ay ganito gumagana: Amazon CloudFront at AWS load balancers, Azure Front Door, Akamai, Fastly, Imperva, Alibaba Cloud CDN, Tencent EdgeOne. Sa libong pinakamalaking site sa mundo, 71% ang nakaupo sa likod ng middlebox: Cloudflare - 58% sa kanila, Amazon - 7%, Fastly - 5%, Akamai - 2%. Iba ang ordinaryong hosting: doon ang traffic at certificate ay sa site mismo.
May site ako. Ano ang dapat kong gawin?
Magdesisyon kung alin ang mas mahalaga: «proteksyon mula sa atake» o ang katotohanang hindi dumadaan ang password ng mga user ninyo sa code ng iba. Hindi ito binabago ng plan at settings - sa anumang plan, nagtatapos ang cipher sa middlebox. May kompromiso - proxy na hindi nagde-decrypt ng TLS at nagfo-forward lang ng stream ayon sa server name. Ganito gumagana ang front server namin: nananatili ang proteksyon mula sa sobrang traffic, wala ang plaintext middlebox.