Les enquêtes de Cloudflare sur les boutiques rappellent l'intérêt de vérifier les protections réellement appliquées. Quand un prestataire est bloqué, une règle IP Allow paraît pratique ; elle mérite pourtant un examen avant toute activation.
1. Relier l'adresse à un besoin précis
Demandez au prestataire l'adresse source utilisée, le nom d'hôte appelé, le chemin et l'heure d'un échec récent. Comparez ces éléments avec vos observations. Une adresse fournie dans un message ancien n'est pas une preuve suffisante de son usage actuel.
Cherchez ensuite l'exception existante dans les règles IP Access. Notez sa valeur, son action, son périmètre et sa raison. Identifiez une personne responsable de sa révision.
Distinguez une seule adresse d'un ASN, qui représente un ensemble beaucoup plus large. Évitez d'autoriser tout un opérateur réseau pour résoudre le problème d'un seul service.
Si le prestataire ne peut pas confirmer ses adresses de sortie, faites documenter une méthode d'identification adaptée à son intégration. N'inventez pas une liste à partir des adresses de son site public.
2. Comprendre ce que Allow retire
Cloudflare indique qu'une autorisation par IP ou ASN contourne les règles personnalisées, la limitation de débit et les règles WAF gérées. L'effet dépasse donc la règle qui a causé votre incident.
Écrivez la décision en toutes lettres : quel trafic doit être accepté et quelles vérifications doivent rester actives ? Si le besoin concerne un seul chemin, une permission portant sur toute l'adresse peut être trop large.
Cloudflare recommande les règles personnalisées pour les blocages par IP ou zone géographique. Pour remplacer une autorisation, examinez une exception Skip limitée aux contrôles nécessaires, en vérifiant ses possibilités dans votre configuration. Skip ne contourne pas tous les mécanismes de sécurité.
Cette étape est un choix de périmètre, pas une invitation à convertir automatiquement toutes les règles. Conservez une copie de l'existant et faites valider l'effet recherché.
3. Tester sans ouvrir davantage
Préparez avec le prestataire une requête normale et inoffensive. Notez l'heure, l'URL et le résultat avant la modification. Refaites exactement le même test après l'ajustement retenu.
Depuis une autre source, vérifiez que le contrôle que vous souhaitiez conserver reste effectif. Testez aussi une URL hors du périmètre prévu avec des requêtes de diagnostic autorisées.
Ne concluez pas au succès à partir du seul silence de Security Events : les requêtes autorisées par les règles IP Access n'y apparaissent pas par conception. Utilisez également le résultat côté application.
Fixez enfin une date de réexamen et un responsable. Si le service change d'adresses ou cesse d'être utilisé, retirez l'exception devenue inutile après vérification.
Sources : Cloudflare Blog, documentation Cloudflare.
Retrouvez-le dans nos publications
Les étapes clés de cet article, en carrousel. Suivez-nous pour découvrir les prochaines. Nos publications sont rédigées en anglais.