Citadel steht vor Ihren HTTP/HTTPS-Anwendungen und entscheidet, was durchgelassen, geprüft, gebremst, aus dem Cache bedient, eskaliert oder blockiert wird, bevor Ihr Server CPU, Datenbankarbeit und Bandbreite aufwendet. So wehren Sie DDoS-Angriffe auf Anwendungsebene ab.
Entscheidungsprotokoll
So wird verbunden
Cloudflare bleibt Ihr DNS und Ihre Edge. Citadel ist der Reverse Proxy dahinter und entscheidet, welche Anfragen Ihren Server erreichen.
Geben Sie die IP oder den Hostnamen Ihres Servers, den Port und die TLS-Einstellung zum Server ein.
Kopieren Sie die Ingress-IP von der Domainseite. Richten Sie in Cloudflare DNS die Hauptdomain und jeden geschützten Hostnamen mit aktiviertem Proxy darauf aus und stellen Sie SSL/TLS auf Full.
Die Prüfung läuft etwa jede Minute, oder Sie wählen „Check connection“. Die Domain wechselt von „Awaiting DNS“ zu „Active“.
| Typ | Name | Inhalt | Proxy-Status |
|---|---|---|---|
A | @ | Citadel-Ingress-IP | Proxied |
A | www | Citadel-Ingress-IP | Proxied |
MX | @ | Ihr Mailserver | DNS only |
Mail-, TXT- und andere Nicht-Web-Einträge bleiben unverändert. Ein Web-Eintrag ohne Proxy (graue Wolke) umgeht Citadel. Cloudflare-Anleitung (Englisch)
Citadel schützt Layer-7-Traffic (HTTP/HTTPS). Die Abwehr auf Netzwerkebene ist eine eigene Aufgabe der Edge.
Angriffsverlauf
Ein 17-minütiger HTTP-Flood, dargestellt mit den Reihen Edge, Proxy und Blocked aus Citadel Analytics. Fahren Sie über das Diagramm, um jeden Moment abzulesen.
Warum Layer 7 anders ist
Ein Layer-7-DDoS-Angriff überflutet eine Website mit HTTP-Anfragen, die wie echte Besucher aussehen: Seitenaufrufe, Logins, Suchen und API-Aufrufe. Bandbreitenfilter allein stoppen das nicht. Deshalb setzt Citadel bei Anfragen, Pfaden und Sitzungen an, statt jedes DDoS-Problem als reines Bandbreitenproblem zu behandeln.
Hohes Anfragevolumen, das gültig genug aussieht, damit Anwendung und Datenbank echte Arbeit leisten.
Auto mit einem Rate-Limit-Preset. Auto eskaliert während der Flut und kehrt zurück, wenn sich der Traffic beruhigt.
Wiederholte Anmeldeversuche, die gezielt teure Login-Pfade treffen statt der ganzen Website.
Interaction bei laufendem Missbrauch. Setzen Sie API- und Webhook-Pfade vorher auf die Allowlist, denn sie können nicht klicken.
Bots und Scraper, die einfache Netzwerkprüfungen bestehen, sich aber nicht wie eine normale Browser-Sitzung verhalten.
JS oder Auto. Clients, die die Browser-Prüfung nicht bestehen, bleiben an der Edge hängen.
Kurze Spitzen, die einen Kunden nicht dauerhaft sperren sollen, aber trotzdem eine sofortige Reaktion brauchen.
Rate-Limit-Presets mit Strikes. Der Client wird automatisch wieder freigegeben, wenn die Sperre abläuft.
Steuerung
Mit Citadel sehen Sie, warum sich der Zustand des Traffics geändert hat, statt raten zu müssen, was eine unsichtbare Blackbox entschieden hat.
Wählen Sie, wie viel Hürde eine Domain aufbaut. Wählen Sie eine Stufe, um zu sehen, wer durchkommt.
Startet ruhig, eskaliert bei einem Angriff und kehrt zurück, wenn sich der Traffic beruhigt. Der Ausgangspunkt für öffentliche Websites.
Passende Clients umgehen die Prüfungen, auch im Lockdown.
/api/203.0.113.0/24StatusMonitor/2.1Wiederholungstäter werden Schritt für Schritt eskaliert statt mit einer groben Regel.
Geeignete statische Antworten kommen aus dem Cache, sodass wiederholte Anfragen den Server nicht belasten.
.css.jsBilderSchriften/api//admin/Ereignisse per E-Mail und Webhook, dazu Health-Prüfungen mit Latenz und Status.
Fügen Sie pro Seitentyp ein HTML-Gerüst ein. Citadel setzt die echten Prüfelemente ein.
<h1>{{BRAND}}</h1>
<p>{{MESSAGE}}</p>Access-Einträge mit Methode, Pfad, Status, IP, ASN, Land und Latenz. Security-Einträge für Prüfungen, Blocks, Rate Limits und Umgehungen. Error-Einträge für Server-Fehler 502, 503 und 504. Verfolgen Sie eine Anfrage über ihre ID. 15 Tage gespeichert, sensible Query-Werte geschwärzt.
r-7f3aGET/pricing200Weitergeleitetr-81c2POST/login403Prüfung gescheitertr-9d04GET/search?q=[redacted]429Rate Limitr-a6e1POST/api/webhook200Allowlist-Umgehungr-b257GET/checkout502Server nicht erreichbarr-c9f8GET/reports504Server-TimeoutCitadel-Portal
Jede Einstellung auf dieser Seite nehmen Sie selbst vor. Rechnungen und Tickets bleiben im StealthRDP-Kundenbereich.
Tarife
Starten Sie kostenlos und erweitern Sie, wenn die Zahl der geschützten Websites oder der saubere Traffic wächst.
Für kleinere Websites, die dieselben Kernfunktionen zur Anfragesteuerung nutzen möchten.
Für produktive Websites, die mehr geschützte Domains und mehr Traffic brauchen.
Für mehrere Websites und größere Kontingente an sauberem Traffic.
Starten Sie mit dem kostenlosen Tarif und passen Sie den Schutz pro Domain und Pfad an, wenn sich der Traffic ändert.