Citadel · Protezione DDoS Layer 7Citadel si mette davanti alle tue applicazioni HTTP/HTTPS e decide cosa far passare, verificare, rallentare, servire dalla cache, sottoporre a controlli più severi o bloccare, prima che il tuo server consumi CPU, risorse del database e banda.
Registro delle decisioni
Come si collega
Cloudflare resta il tuo DNS e il tuo edge; dietro c’è Citadel, il reverse proxy che decide quali richieste raggiungono il tuo server.
VisitatoreBrowser, bot o flood
Edge CloudflareRecord A con proxy (nuvola arancione)CitadelIl reverse proxy controlla ogni richiesta
Il tuo serverRiceve solo traffico pulitoInserisci l’IP o l’hostname del tuo server, la porta e l’impostazione TLS verso il server.
Copia l’IP di ingresso dalla pagina del dominio. Nel DNS di Cloudflare, punta il dominio principale e ogni hostname protetto su quell’IP con il proxy attivo, e imposta SSL/TLS su Full.
Il controllo avviene circa ogni minuto, oppure puoi selezionare «Check connection». Il dominio passa da «Awaiting DNS» ad «Active».
| Tipo | Nome | Contenuto | Stato proxy |
|---|---|---|---|
A | @ | IP di ingresso Citadel | Proxied |
A | www | IP di ingresso Citadel | Proxied |
MX | @ | Il tuo server di posta | DNS only |
I record di posta, i TXT e gli altri record non web restano invariati. Un record web «DNS only» (nuvola grigia) non passa da Citadel. Guida alla configurazione di Cloudflare (in inglese)
Citadel protegge il traffico Layer 7 (HTTP/HTTPS). La mitigazione a livello di rete è un compito separato dell’edge.
Cronologia di un attacco
Un HTTP flood di 17 minuti, rappresentato con le serie Edge, Proxy e Blocked usate da Citadel Analytics. Muovi il puntatore sul grafico per leggere ogni momento.
Perché il Layer 7 è diverso
Un attacco DDoS Layer 7 inonda un sito web di richieste HTTP che sembrano provenire da visitatori reali: caricamenti di pagina, login, ricerche e chiamate API. I soli filtri sulla banda non lo fermano. Per questo Citadel si concentra su richieste, percorsi e sessioni, invece di fingere che ogni problema DDoS sia solo una questione di banda.
Un volume elevato di richieste abbastanza credibili da far lavorare davvero applicazione e database.
Auto con un preset di rate limit. Auto sale di livello durante il flood e torna alla normalità quando il traffico si calma.
Tentativi di autenticazione ripetuti che colpiscono i percorsi di login più onerosi invece dell’intero sito.
Interaction durante un abuso in corso. Metti prima in allowlist i percorsi di API e webhook, perché non possono cliccare.
Bot e scraper che superano semplici controlli di rete ma non si comportano come una normale sessione del browser.
JS o Auto. I client che non completano il controllo del browser si fermano all’edge.
Brevi picchi che non dovrebbero bloccare un cliente in modo permanente, ma richiedono comunque una risposta immediata.
Preset di rate limit con strike. Il client torna operativo automaticamente alla scadenza del ban.
Pannello di controllo
Citadel è pensato per farti capire perché il traffico ha cambiato stato, senza dover indovinare cosa abbia deciso una scatola nera invisibile.
Scegli quanto attrito aggiunge un dominio. Seleziona un livello per vedere chi passa.
Parte da un livello base tranquillo, sale di livello durante un attacco e torna alla normalità quando il traffico si calma. Il punto di partenza per i siti pubblici.
I client corrispondenti saltano le verifiche, anche in Lockdown.
/api/203.0.113.0/24StatusMonitor/2.1Con chi ripete gli abusi la risposta si inasprisce passo dopo passo, invece di applicare un’unica regola drastica.
Le risposte statiche idonee arrivano dalla cache, così le richieste ripetute non pesano sul server.
.css.jsimmaginifont/api//admin/Eventi via email e webhook, più controlli di stato con latenza ed esito.
Incolla una struttura HTML per ogni tipo di pagina. Citadel inserisce i veri controlli di verifica.
<h1>{{BRAND}}</h1>
<p>{{MESSAGE}}</p>Voci di accesso con metodo, percorso, stato, IP, ASN, paese e latenza. Voci di sicurezza per verifiche, blocchi, rate limit ed esenzioni. Voci di errore per gli errori 502, 503 e 504 del server. Traccia una singola richiesta tramite il suo ID. I log sono conservati per 15 giorni, con i valori sensibili delle query oscurati.
r-7f3aGET/pricing200Inoltratar-81c2POST/login403Verifica fallitar-9d04GET/search?q=[redacted]429Rate limitr-a6e1POST/api/webhook200Esente (allowlist)r-b257GET/checkout502Server irraggiungibiler-c9f8GET/reports504Timeout del serverPortale Citadel
Tutte le impostazioni di questa pagina sono self-service. Fatturazione, fatture e ticket restano nell’area clienti StealthRDP.
Piani
Inizia gratis, poi aumenta la quota quando crescono i siti protetti o il traffico pulito.
Per i siti più piccoli che vogliono gli stessi controlli di base sulle richieste.
Per siti in produzione che hanno bisogno di più domini protetti e più traffico.
Per configurazioni con più siti e quote di traffico pulito più ampie.
CitadelInizia con il piano gratuito, poi regola la protezione per dominio e percorso man mano che il traffico cambia.