Wat de klant vraagt

Een e-commercesite, gehost op eigen servers, moet achter Cloudflare komen, met oog voor security, performance, DNS en beschikbaarheid.

Drie fases

De aanpak volgt drie fases: van analyse, via implementatie, naar doorlopend beheer.

Eerst kennen, dan pas configureren

Elke keuze verderop in dit voorstel hangt af van de antwoorden op deze vragen. Voor deze oefening worden op de volgende slide expliciete aannames gemaakt zodat de implementatie concreet uitgewerkt kan worden.

• Infrastructuur: één server of meerdere/load balancer? Bepaalt de Tunnel-beslissing in fase 2.
• Huidige DNS-setup: full of partial, welke records vandaag al bestaan.
• Bestaande security-instellingen: is er al iets actief, en waar zaten de false positives.
• Oorsprong van de SQLi/DDoS/Slowloris-vaststelling: eigen logs, bestaande tool, of extern gemeld? Bepaalt of het origin-IP al rechtstreeks bereikt is, en dus of IP-rotatie na migratie nodig is.
• Omvang installatievideo's: bestandsgroottes t.o.v. cache-limieten (512 MB tot 5 GB).
• Identity-behoeften plaatsers: bestaat er al een lijst/systeem van erkende partners?

Op deze aannames bouwt dit voorstel verder

Deze aannames worden bevestigd tijdens de effectieve Health Check bij de klant. Waar een aanname niet blijkt te kloppen, wijzigt de aanpak in fase 2.

• Eén origin-server, geen load balancer: maakt Cloudflare Tunnel eenvoudig te implementeren (één cloudflared-instantie volstaat), dus wordt Tunnel de baseline voor de volledige origin-bescherming, niet enkel voor de installatievideo's.
• Cloudflare nog niet eerder actief op dit domein: dus een full DNS setup (Cloudflare wordt authoritative), geen partial/CNAME-only migratie.
• Erkende plaatsers vormen een beperkte, gekende groep: geen self-service registratie nodig, dus Access met One-Time PIN volstaat zonder externe identity provider.
• Installatievideo's blijven onder de cacheable bestandslimiet: te bevestigen; bij grotere bestanden moet er gekeken worden naar een Cloudflare Stream-implementatie.
• Cloudflare Business-plan of hoger: nodig voor het WAF Attack Score Class-veld en rate limiting rules. Custom rules bestaan al vanaf Pro, maar met een limiet van 20, wat voor deze case waarschijnlijk te krap is.

Proxy en origin-bescherming

Alle relevante records worden proxied (orange-clouded). Pas dan gelden WAF, cache en DDoS-bescherming.

Drie lagen WAF-bescherming

Geen losse maatregel, maar een opbouw: het gekende wordt gevangen door signatures, het onbekende door machine learning. Relevant voor SQLi, maar ook voor andere aanvalstypes.

DDoS-bescherming en Slowloris-mitigatie

Drie complementaire lagen

Elke laag vangt op wat de vorige niet kon: het meeste hoeft nooit naar de origin, de rest gaat er zo snel mogelijk naartoe.

Enkel voor erkende plaatsers

Doorlopend beheer na oplevering

WAF-regels die vandaag correct staan, kunnen na verloop van tijd achterhaald raken door nieuwe aanvalspatronen. Deze fase houdt de configuratie actueel.

• Maandelijkse review: security- en configuratiestatus.
• WAF- en rule-tuning: bijstellen op basis van reëel verkeer.
• False-positive-analyse: legitieme klanten blijven ongehinderd.
• Rapportage: security events, helder voor niet-technisch publiek.

Optionele volgende stappen

Probleem → oplossing → fase

FAQ

Is de Attack Score-rule het enige tegen SQLi?

Nee. Managed Ruleset (signatures) is de primaire laag, Attack Score (ML) vangt varianten en bypasses, OWASP is optioneel. Drie complementaire lagen, niet één regel.

Waarom wordt OWASP niet standaard aangeraden?

Cloudflare's eigen documentatie stelt expliciet dat de OWASP Core Ruleset gevoelig is voor false positives en slechts marginale meerwaarde biedt bovenop Managed Ruleset + Attack Score. Oorzaak: OWASP werkt met een cumulatief scoresysteem (elke matchende sub-regel telt punten op tot een drempel), waardoor grotere/complexere requests (zoals een uitgebreid checkout-formulier) sneller per ongeluk over die drempel gaan. Bron: developers.cloudflare.com/waf/managed-rules/reference/owasp-core-ruleset

Moet rate limiting apart ingesteld worden?

Ja, een apart ruletype met eigen expressie, drempel en actie, los van de WAF-managed rules.

Hoe verifieert Access de identiteit?

One-Time PIN per e-mail, geen wachtwoord om te beheren of te lekken. Sessie loopt via een ondertekende JWT in de CF_Authorization-cookie.

Waarom Tunnel i.p.v. firewall-lock voor de webshop?

Bij één origin-server is Tunnel even eenvoudig op te zetten én sterker beveiligd (geen open poort), dus baseline vanaf dag 1, geen upgrade-pad.

Waarom geen username/password voor plaatsers?

Access heeft geen native koppeling met de klantendatabase, en het vermengt twee gebruikerspopulaties met verschillend vertrouwensniveau. OTP heeft bovendien geen opgeslagen geheim dat kan lekken.

Log-mode vs. Block-mode: wat is het verschil?

Nieuwe of aangepaste regels starten in Log-mode. Na validatie in Security Events (minstens één werkdag) schakelen ze over naar Block. Cloudflare hanteert dit patroon zelf voor de eigen Managed Ruleset-updates.

Welk Cloudflare-plan past bij deze klant?

Business. Het WAF Attack Score Class-veld en rate limiting rules zijn pas vanaf dat plan beschikbaar. Custom rules bestaan al vanaf Pro, maar daar met een limiet van 20; gezien we voor deze case waarschijnlijk meer nodig hebben (SQLi, rate limiting-gerelateerde regels, en ruimte voor toekomstige regels), is Business ook op dat vlak de veiligere keuze met 100 custom rules. Enterprise wordt pas relevant als de video's boven de 512 MB-cachelimiet uitkomen.

Full of partial DNS-setup?

Full, aangenomen dat Cloudflare nog niet actief is op dit domein. Partial (CNAME) is vooral relevant bij grote organisaties met een reeds bestaand, strikt beheerd DNS-team, wat hier niet het profiel lijkt.

Kost Access per plaatser? Telt elk adres op @bedrijf.be als seat?

Zero Trust/Access is gratis tot 50 gebruikers, daarboven €7/gebruiker/maand. Ja, elke plaatser telt als één seat, ongeacht of de policy via een domeinmatch of individuele adressen werkt. Het gaat om alle unieke gebruikers die ooit authenticeerden (cumulatief), niet om gelijktijdig ingelogde gebruikers: eenmaal geauthenticeerd bezet iemand de seat tot een beheerder die actief verwijdert.

Waar komt de naam "Slowloris" vandaan?

Vragen?

Health Check → Implementation & Optimization → Watchtower.