Citadel se sitúa delante de tus aplicaciones HTTP/HTTPS y decide qué pasa, qué se desafía, se frena, se sirve desde caché, se escala o se bloquea, antes de que tu servidor gaste CPU, trabajo de base de datos y ancho de banda. Así frenas un ataque DDoS en la capa de aplicación.
Registro de decisiones
Cómo se conecta
Cloudflare sigue siendo tu DNS y tu edge. Citadel es el proxy inverso que hay detrás y decide qué peticiones llegan a tu servidor.
Introduce la IP o el nombre de host de tu servidor, el puerto y el ajuste de TLS hacia el servidor.
Copia la IP de entrada de la página del dominio. En el DNS de Cloudflare, apunta el dominio raíz y cada nombre de host protegido a esa IP con el proxy activado, y pon SSL/TLS en Full.
Lo comprueba aproximadamente cada minuto, o pulsa «Check connection». El dominio pasa de «Awaiting DNS» a «Active».
| Tipo | Nombre | Contenido | Estado del proxy |
|---|---|---|---|
A | @ | IP de entrada de Citadel | Proxied |
A | www | IP de entrada de Citadel | Proxied |
MX | @ | Tu servidor de correo | DNS only |
Los registros de correo, TXT y otros que no son web no cambian. Un registro web sin proxy (nube gris) se salta Citadel. Guía de configuración de Cloudflare (en inglés)
Citadel protege el tráfico HTTP/HTTPS de capa 7. La mitigación en la capa de red es una tarea aparte del edge.
Cronología de un ataque
Una avalancha HTTP de 17 minutos, dibujada con las series Edge, Proxy y Blocked que usa Citadel Analytics. Recorre el gráfico para leer cada momento.
Por qué la capa 7 es distinta
Un ataque DDoS de capa 7 inunda una web con peticiones HTTP que parecen visitas reales: cargas de página, inicios de sesión, búsquedas y llamadas a la API. Los filtros de ancho de banda no bastan para pararlo. Por eso Citadel se centra en peticiones, rutas y sesiones, en lugar de tratar cada problema DDoS como un simple problema de ancho de banda.
Un gran volumen de peticiones lo bastante válidas como para que la aplicación y la base de datos trabajen de verdad.
Auto con un límite predefinido. Auto escala durante la avalancha y vuelve a la calma cuando baja el tráfico.
Intentos repetidos de inicio de sesión que atacan rutas de login costosas en lugar de toda la web.
Interaction durante el abuso. Añade antes las rutas de API y webhooks a la lista de permitidos, porque no pueden hacer clic.
Bots y scrapers que superan comprobaciones de red sencillas pero no se comportan como una sesión de navegador normal.
JS o Auto. Los clientes que no completan la comprobación del navegador se quedan en el edge.
Picos breves que no deberían bloquear a un cliente para siempre, pero que necesitan una respuesta inmediata.
Límites predefinidos con strikes. El cliente se recupera solo cuando vence el bloqueo.
Control
Con Citadel entiendes por qué cambió el estado del tráfico, sin adivinar qué decidió una caja negra invisible.
Elige cuánta fricción añade un dominio. Selecciona un nivel para ver quién pasa.
Empieza en calma, escala durante un ataque y vuelve a la calma cuando baja el tráfico. El punto de partida para webs públicas.
Los clientes que coinciden se saltan los desafíos, incluso en Lockdown.
/api/203.0.113.0/24StatusMonitor/2.1Los reincidentes escalan paso a paso en lugar de con una regla tosca.
Las respuestas estáticas aptas salen de la caché, así las peticiones repetidas no cargan el servidor.
.css.jsimágenesfuentes/api//admin/Eventos por correo y webhook, y sondeos de salud con latencia y estado.
Pega una plantilla HTML por tipo de página. Citadel inserta los controles de verificación reales.
<h1>{{BRAND}}</h1>
<p>{{MESSAGE}}</p>Entradas de acceso con método, ruta, estado, IP, ASN, país y latencia. Entradas de seguridad para desafíos, bloqueos, límites y omisiones. Entradas de error para los errores 502, 503 y 504 del servidor. Sigue una petición por su ID. Se guardan 15 días, con los valores sensibles de la consulta ocultos.
r-7f3aGET/pricing200Enviadar-81c2POST/login403Desafío fallidor-9d04GET/search?q=[redacted]429Limitadar-a6e1POST/api/webhook200Permitida sin desafíor-b257GET/checkout502Servidor inaccesibler-c9f8GET/reports504Tiempo de espera agotadoPortal de Citadel
Cada ajuste de esta página lo haces tú. Las facturas y los tickets siguen en el área de cliente de StealthRDP.
Planes
Empieza gratis y amplía cuando crezca el número de webs protegidas o el tráfico limpio.
Para webs pequeñas que quieren los mismos controles básicos de peticiones.
Para webs en producción que necesitan más dominios protegidos y más tráfico.
Para varias webs y mayores volúmenes de tráfico limpio.
Empieza con el plan gratuito y ajusta la protección por dominio y ruta a medida que cambie el tráfico.