Cloudflare: proteggi il tuo dominio dai bot

Illustrazione: filtrare gli abusi automatizzati mantenendo il sito accessibile.

Lo spam nei moduli e i tentativi ripetuti di accesso consumano tempo e risorse del server. Un sito lento o non disponibile può anche interrompere le richieste dei clienti reali. Cloudflare può offrire un utile livello di protezione davanti al tuo hosting, insieme alla sicurezza dell’applicazione e alla manutenzione regolare.

Questa guida riflette la documentazione Cloudflare verificata il 1 novembre 2026. Le regole seguenti sono esempi iniziali da adattare al tuo sito, non una promessa di fermare ogni bot.

Perché Cloudflare è utile per il tuo dominio

Cloudflare può gestire il DNS e far passare il traffico del sito attraverso la propria rete, abilitando la cache e i controlli di sicurezza prima che le richieste raggiungano il server. I record DNS only non ricevono questa protezione tramite proxy. Consulta la differenza nella guida all’aggiunta di un dominio.

Mantieni aggiornato l’hosting, conserva i backup e proteggi anche gli account amministrativi. Un servizio di filtraggio non corregge il codice vulnerabile dell’applicazione.

Collega il dominio senza compromettere il sito

1. Aggiungi il dominio a Cloudflare e scegli un piano. Controlla ogni record DNS importato, compresi il dominio principale, www, la posta e i record di verifica. Conserva i valori MX, SPF, DKIM e DMARC; gli hostname dei server di posta normalmente restano DNS only.
2. Imposta su Proxied i record A, AAAA o CNAME del sito che supportano questa modalità. Verifica che il tuo provider di hosting supporti la configurazione. Segui la procedura di attivazione.
3. Sostituisci i nameserver presso il registrar con quelli assegnati da Cloudflare. Se DNSSEC è attivo, segui la procedura di migrazione prima del cambio e riattivalo dopo l’attivazione. Consulta le istruzioni per la configurazione DNS completa.
4. Usa TLS Full (strict) dopo aver verificato che il server di origine supporti HTTPS con un certificato non scaduto, corrispondente all’hostname e rilasciato da un’autorità attendibile o da Cloudflare Origin CA. Verifica anche che il certificato presentato ai visitatori sia attivo. Consulta i requisiti di Full (strict).

Dopo il cambio, prova il sito, la posta, i moduli di contatto e il completamento degli acquisti.

Scegli la protezione anti-bot supportata dal tuo piano

Sul piano Free, attiva Bot Fight Mode nelle impostazioni Security, filtrando per Bot traffic. Prova subito le integrazioni: può sottoporre a verifica client automatizzati legittimi e le regole Skip personalizzate non possono escluderlo. Se interferisce con traffico necessario, disattivalo mentre valuti un’alternativa adatta. Consulta i limiti di Bot Fight Mode.

Super Bot Fight Mode sui piani a pagamento idonei supporta eccezioni più precise. Enterprise Bot Management offre controlli aggiuntivi. Controlla la disponibilità per piano prima di copiare consigli che usano un campo per il punteggio bot.

Imposta regole anti-bot mirate

In Security > Security rules > Create rule > Custom rules, assegna a ogni regola un nome chiaro, seleziona condizioni e azione, quindi controlla la sua posizione tra le regole esistenti. Cloudflare documenta l’editor delle regole personalizzate.

Regola 1: verifica le visite alla pagina di accesso

Per una pagina di accesso tramite browser su /login, combina queste condizioni con AND:

• URI Path uguale a /login.
• Request Method uguale a GET.
• Known Bots uguale a false, corrispondente a not cf.client.bot.
• Azione: Managed Challenge.

Questo esempio verifica i visitatori corrispondenti alle condizioni; non dimostra che siano dannosi. Sostituisci /login con il percorso reale, come /wp-login.php per WordPress, e includi la variante con barra finale se la tua applicazione la usa. Limita la regola all’hostname pertinente se la zona contiene più siti. Il campo dei bot conosciuti identifica bot riconosciuti come affidabili, non tutti i client automatizzati legittimi.

Regola 2: limita le richieste ripetute di accesso

Crea una regola separata di rate limiting che corrisponda al percorso reale di accesso ed escluda i bot conosciuti. Conta le richieste per IP sorgente. Scegli un intervallo supportato e una soglia superiore all’utilizzo normale misurato, poi una breve durata di Block disponibile sul tuo piano. Inizia da un solo endpoint e valuta i risultati prima di rendere la regola più restrittiva.

Su Free, i campi disponibili per la corrispondenza sono limitati a Path e Verified Bot; filtrare per metodo richiede un piano superiore adatto. Un IP condiviso in ufficio può raggruppare diversi clienti. Il rate limiting non è nemmeno un limite esatto al numero di richieste. Consulta disponibilità e limitazioni e parametri di configurazione.

Regola 3: proteggi i moduli con Turnstile

Aggiungi Turnstile ai moduli di contatto o registrazione. Il backend deve convalidare il token tramite Siteverify e rifiutare gli invii non validi prima di elaborarli. Il solo widget visibile non basta. Segui la convalida lato server.

Mantieni utile la protezione dopo la configurazione

Controlla gli eventi di sicurezza e prova il funzionamento da mobile, inclusi accesso, crawler dei motori di ricerca, monitoraggio, notifiche automatiche dei pagamenti e API. Le verifiche per browser non sono adatte a molte richieste tra sistemi. Restringi le regole o usa eccezioni supportate per integrazioni verificate, invece di fidarti di una stringa User-Agent o saltare tutti i controlli di sicurezza.

Chiedi al tuo host come impedire che l’accesso diretto al server di origine aggiri Cloudflare, mantenendo l’accesso per la manutenzione. Cloudflare descrive le opzioni nella guida alla protezione del server di origine.

Rivedi le regole quando cambiano il sito o le integrazioni. Una protezione anti-bot efficace dovrebbe ridurre gli abusi permettendo ai clienti di completare le azioni da cui dipende la tua attività.