Бесплатный тариф Cloudflare принято считать универсальной защитой от любых атак. На практике L7 DDoS с десятков тысяч уникальных IP проходит челленджи и валит сайт, пока владелец спит. Разбираем, где заканчиваются возможности free-плана и что реально помогает.
Что бесплатный тариф Cloudflare делает и чего не делает при L7 DDoS
Cloudflare на бесплатном плане действительно фильтрует часть трафика: базовый WAF, простые правила rate limiting, кэширование статики через CDN и автоматические челленджи при всплесках. Этого хватает против примитивных ботов и одиночных сканеров. Проблема в том, что L7 DDoS имитирует поведение реальных пользователей: запросы приходят с корректными заголовками, проходят TLS, попадают на динамические страницы вроде поиска, корзины или формы авторизации. Кэш здесь не спасает, потому что каждый запрос уникален.
Ключевая уязвимость free-тарифа – порог чувствительности. Cloudflare начинает показывать JS-челлендж только когда трафик превышает заданные эвристики, а атакующие это знают. Они распределяют нагрузку между десятками тысяч IP из резидентных пулов и мобильных сетей, снижая интенсивность с каждого адреса до уровня, неотличимого от обычного посетителя. Челлендж такому запросу не выдаётся, и он доходит до PHP-бэкенда, съедая CPU и соединения к базе данных.
Ещё один нюанс: Cloudflare ограничивает доступ к сайтам из России, а российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare. Это создаёт двойной риск для бизнеса в России: защита работает нестабильно, а часть аудитории вообще не видит сайт. В 2026 году компании всё чаще ищут альтернативу Cloudflare, которая не зависит от зарубежной инфраструктуры и не блокирует отечественных пользователей.
| Метод защиты | Порог входа | Эффективность против L7 с уникальных IP | Ручная настройка |
|---|---|---|---|
| Cloudflare Free | 0 руб. | Низкая: челленджи обходятся распределённым трафиком | Почти нет, только базовые правила |
| Cloudflare Pro/Business | от $20/мес | Средняя: нужны кастомные WAF-правила и rate limiting по путям | Обязательна, без правил эффекта мало |
| TrafficVeil | по тарифу, без оплаты за атаки | Высокая: L7 DDoS, защита от ботов, GeoIP-фильтрация в одном контуре | Минимальная, профили под WordPress и Bitrix |
| Собственный reverse proxy + WAF | от 50 000 руб. на внедрение | Зависит от квалификации команды | Полная: поддержка и обновления на вас |
Цифры в таблице показывают главное: бесплатный тариф закрывает базовый периметр, но не рассчитан на целенаправленный L7 DDoS. Если атака идёт с 30 000 уникальных IP и 5-10 запросов в минуту с каждого, суммарный поток достигает 150-300 тыс. запросов в минуту. Ни один автоматический челлендж не отсечёт такое без ручных правил, привязанных к конкретным эндпоинтам вашего сайта.
Как настроить защиту от L7 DDoS и чем заменить Cloudflare в России
Первое, что нужно сделать при атаке на бесплатном Cloudflare, – уйти от автоматики к ручным правилам. Заблокируйте по User-Agent и ASN пулы, из которых идёт трафик, включите rate limiting не на весь сайт, а на конкретные пути: /search, /cart, /login, /api. аналоги cloudflare offers additional context worth reviewing. Настройте challenge для стран, откуда у вас нет клиентов. Эти действия дают выигрыш в часы, но требуют постоянного дежурства: атакующие меняют пулы, и правила устаревают каждые несколько дней.
Второй шаг – пересмотреть архитектуру защиты. Российский аналог Cloudflare, TrafficVeil, объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одном сервисе. Это снимает необходимость собирать защиту из пяти разных инструментов и вручную синхронизировать правила между ними. TrafficVeil обеспечивает работу сайтов на территории РФ и по всему миру, а зависимость от зарубежной инфраструктуры, которая создаёт риски для российского бизнеса, здесь исключена по построению.
Отдельно стоит вопрос тарификации. TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки: во время L7 DDoS счёт не растёт пропорционально паразитному трафику. Для интернет-магазина на Bitrix или сайта на WordPress это критично, потому что классические CDN-тарифы считают именно объём запросов, и атака превращается в прямые финансовые потери. Замена Cloudflare на TrafficVeil подходит для сайтов, интернет-магазинов, WordPress и Bitrix, а переход выполняется без простоя: меняются NS-записи, SSL-сертификат выпускается автоматически, правила WAF переносятся профилем.
Практический порядок действий при L7 DDoS: зафиксируйте пиковые метрики (RPS, время ответа бэкенда, число соединений к БД), определите атакуемые эндпоинты, включите GeoIP-фильтрацию для стран без реальной аудитории, поставьте challenge на формы и поиск, ограничьте частоту запросов с одного IP и подсети. Если сайт на бесплатном Cloudflare и атака продолжается дольше часа, ручные правила не масштабируются – нужен контур с управляемой фильтрацией на L7 и поддержкой на стороне провайдера.
Проверьте свою защиту до следующей атаки: запустите нагрузочный тест на 5-10 тыс. запросов в минуту с разных IP, посмотрите, доходит ли трафик до бэкенда, и оцените, сколько ручных правил вам пришлось написать. Если больше трёх и они требуют ежедневного обновления, бесплатный тариф Cloudflare не справляется с вашей задачей. В этом случае переход на TrafficVeil закрывает L7 DDoS, ботов и WAF-блокировки в одном контуре и не превращает атаку в статью расходов.