📘 תיעוד 140

הגבלת קצב (גרסה קודמת)

עודכן לאחרונה ב-5 ביוני 2026

הגבלת הקצב של Cloudflare מזהה באופן אוטומטי וממתנת קצבי בקשות מוגזמים עבור כתובות URL מסוימות או עבור דומיין שלם.

אזהרה

המידע בדף זה מתייחס לגרסה הקודמת של כללי הגבלת קצב, שחויבה לפי שימוש ואינה זמינה עוד.

Cloudflare שדרגה את כל כללי הגבלת הקצב לגרסה החדשה של כללי הגבלת קצב. למידע נוסף על מה שהשתנה בגרסה החדשה, עיין בשדרוג הגבלת קצב (גרסה קודמת).

נחסמת מגישה לאתר?

אם אתה מבקר שקיבל שגיאה בעת ניסיון לגשת לאתר, עיין בתיעוד שגיאה 1015.

קצבי הבקשות מחושבים באופן מקומי עבור מרכזי נתונים נפרדים של Cloudflare. השימושים הנפוצים ביותר בהגבלת קצב הם:

• הגנה מפני מתקפות DDoS ↗︎
• הגנה מפני מתקפת כוח גס ↗︎
• הגבלת גישה לחיפושים בפורום, לקריאות API, או למשאבים שכרוכים בפעולות עתירות מסד נתונים במקור שלך

כאשר כתובת IPv4 בודדת או טווח IP של IPv6 /64 חורגים מסף של כלל, בקשות נוספות לשרת המקור נחסמות עם קוד סטטוס תגובה HTTP 429. התגובה כוללת כותרת Retry-After כדי לציין מתי הלקוח יכול לחדש שליחת בקשות.

הערה

האם אתה מנסה להפעיל את הגבלת הקצב? הפעלת הגבלת קצב ↗︎.

#הגבלת קצב ו-SEO

משאבים שמורים במטמון וסורקי מנועי חיפוש מוכרים פטורים מכללי הגבלת הקצב שלך (גרסה קודמת בלבד). לכן, הם אינם משפיעים על דירוג ה-SEO של האתר שלך.

---

#זמינות

הערה

הגבלת קצב של Cloudflare (גרסה קודמת) היא שירות תוסף לכל תוכניות הלקוחות, הזמין ב-Security > WAF > Rate limiting rules.

מספר כללי הגבלת הקצב המותרים תלוי בתוכנית של הדומיין:

הגבלת הקצב של Cloudflare תומכת ברמות מרובות של שליטה בהגדרות, בהתאם לתוכנית Cloudflare של הדומיין. הטבלה הבאה ממפה מה אפשר לעשות לפי התוכנית שלך:

---

#רכיבים של כלל הגבלת קצב

כלל הגבלת קצב מורכב משלושה רכיבים נפרדים:

• קריטריונים להתאמת בקשות
• קריטריונים להתאמת קצב
• מיתון הכלל

#קריטריונים להתאמת בקשות

בקשות נכנסות מותאמות לפי נתיב הבקשה, סכמת הבקשה, שיטת הבקשה, וכן (באופן אופציונלי) קוד תגובה של המקור.

#נתיב הבקשה

לדוגמה:

• http://example.com/example
• http://example.com/example/*

נתיב הבקשה אינו תלוי רישיות. תבניות אינן יכולות להתאים לתוכן שאחרי מחרוזות שאילתה (?) או עוגנים (#). כוכבית (*) מתאימה לכל רצף תווים, כולל רצף ריק. לדוגמה:

• *.example.com/* מתאים לכל נתיב בכל תת-דומיין של example.com.
• *example.com/example.html מתאים ל-example.html ב-example.com או בכל תת-דומיין של example.com.
• * מתאים לכל דף באתר שלך.

בקשה אל example.com/path אינה זהה ל-example.com/path/. החריג היחיד לכלל זה הוא דף הבית: example.com מתאים ל-example.com/.

#סכמת הבקשה

HTTP או HTTPS. אם לא צוין אף ערך, שניהם מותאמים, והכלל יציג __ALL__.

#שיטת הבקשה

POST או GET. אם לא צוין אף ערך, כל השיטות מותאמות, והכלל יציג __ALL__.

#(אופציונלי) קוד תגובה של המקור

לדוגמה, התאם כלל הגבלת קצב רק כאשר שרת המקור מחזיר קוד סטטוס HTTP 401 או 403. כלל שהופעל ומתאים לקריטריוני קוד התגובה חוסם בקשות נוספות מאותו לקוח ללא קשר לקוד התגובה של המקור.

#קריטריונים להתאמת קצב

כלל יכול להתאים לפי המספר ולפי פרק הזמן של כל הבקשות שמגיעות מאותו לקוח.

#מספר הבקשות

ציין מינימום של שתי בקשות. לחסימה של בקשה בודדת, הפוך את הנתיב ללא זמין, לדוגמה, הגדר את שרת המקור כך שיחזיר קוד סטטוס HTTP 403.

#תקופת בקשה

כלל מופעל ברגע שהבקשות של לקוח חורגות מהסף למשך הזמן שצוין.

#מיתון הכלל

מיתוני כלל מורכבים מפעולת מיתון וממשך חסימה.

#פעולת מיתון

פעולות הגבלת קצב מבוססות על תוכנית הדומיין, כפי שצוין בזמינות:

• Block: Cloudflare מנפיקה שגיאת HTTP 429 כאשר חורגים מהסף.
• Non-Interactive Challenge: המבקר חייב לעבור אתגר לא אינטראקטיבי של Cloudflare. אם עבר, Cloudflare מתירה את הבקשה.
• Managed Challenge: המבקר חייב לעבור אתגר שנבחר באופן דינמי על ידי Cloudflare לפי המאפיינים של הבקשה. אם עבר, Cloudflare מתירה את הבקשה.
• Interactive Challenge: המבקר חייב לעבור Interactive Challenge. אם עבר, Cloudflare מתירה את הבקשה.
• Log: הבקשות נרשמות ב-Cloudflare Logs. זה מסייע לבדוק כללים לפני החלה בסביבת ייצור.

למידע נוסף על פעולות אתגר, עיין באתגרים.

#משך חסימה

הגדרת פסק זמן קצר מהסף גורמת ל-API להגדיל אוטומטית את פסק הזמן כך שיהיה שווה לסף.

מבקרים שפוגעים בהגבלת קצב מקבלים דף HTML ברירת מחדל אם לא צוין דף שגיאה מותאם אישית. בנוסף, לקוחות Business ו-Enterprise יכולים לציין תגובה בתוך הכלל עצמו. עיין בהגדרת תגובה מתקדמת לפרטים.

---

#זיהוי ספי הגבלת קצב

כדי לזהות סף כללי להגבלת קצב של Cloudflare, חלק 24 שעות של בקשות אתר שלא נשמרו במטמון במספר המבקרים הייחודיים לאותן 24 שעות. לאחר מכן, חלק בדקות הממוצעות המשוערות של ביקור. לבסוף, הכפל ב-4 (או יותר) כדי לקבוע סף משוער לדקה עבור האתר שלך. ערך גבוה מ-4 מתאים, מאחר שרוב המתקפות גבוהות בסדר גודל מקצבי תעבורה טיפוסיים.

כדי לזהות הגבלות קצב של URL עבור כתובות URL ספציפיות, השתמש ב-24 שעות של בקשות שלא נשמרו במטמון ובמבקרים ייחודיים עבור ה-URL הספציפי. התאם ספים לפי דיווחי משתמשים ולפי הניטור שלך.

---

#משימה 1: הגדרת כלל הגבלת קצב בסיסי

המקטעים הבאים מכסים שני סוגים נפוצים של כללי הגבלת קצב.

#הפעלת Protect your login

להגבלת הקצב יש כלי בלחיצה אחת, Protect your login, שיוצר כלל לחסימת הלקוח למשך 15 דקות כאשר הוא שולח יותר מ-5 בקשות POST בתוך 5 דקות. זה מספיק כדי לחסום את רוב ניסיונות הכוח הגס.

1. התחבר ללוח הבקרה של Cloudflare ↗︎, ובחר את החשבון ואת הדומיין שלך.
2. עבור אל Security > WAF > Rate limiting rules.
3. תחת Rate Limiting, בחר Protect your login.
4. הזן Rule Name ו-Enter your login URL בתיבת הדו-שיח Protect your login שמופיעה.
5. בחר Save.
6. Rule Name מופיע ברשימת כללי Rate Limiting שלך.

#יצירת כלל הגבלת קצב מותאם אישית

1. התחבר ללוח הבקרה של Cloudflare ↗︎, ובחר את החשבון ואת הדומיין שלך.
2. עבור אל Security > WAF > Rate limiting rules.
3. בחר Create rate limiting rule. נפתחת תיבת דו-שיח שבה מציינים את פרטי הכלל החדש.
4. הזן שם תיאורי לכלל בשדה Rule Name.
5. עבור If Traffic Matching the URL, בחר סכמת HTTP מהרשימה הנפתחת והזן URL.
6. בשדה from the same IP address exceeds, הזן מספר שלם גדול מ-1 שמייצג את מספר הבקשות בתקופת דגימה.
7. עבור requests per, בחר את תקופת הדגימה (התקופה שבה נספרות הבקשות). דומיינים בתוכניות Enterprise יכולים להזין ידנית כל משך בין 10 שניות ל-3,600 שניות (שעה אחת).
8. עבור Then, בחר אחת מהפעולות הזמינות לפי התוכנית שלך. עיין במקטע מיתון הכלל לפרטים.
9. אם בחרת Block או Log, עבור matching traffic from that visitor for, בחר כמה זמן להחיל את האפשרות לאחר שהופעל סף. דומיינים בתוכניות Enterprise יכולים להזין כל ערך בין 10 שניות ל-86,400 שניות (24 שעות).
10. כדי להפעיל את הכלל החדש, בחר Save and Deploy.

הכלל החדש מופיע ברשימת כללי הגבלת הקצב.

הערה

כל שינוי בכלל הגבלת קצב מוחק את הפעולות שהופעלו כרגע עבור אותו כלל. יש לנקוט זהירות בעת עריכת כללי הגבלת קצב כדי למתן מתקפה מתמשכת.

באופן כללי, בעת הגדרת סף נמוך יותר:

1. השאר את הכללים הקיימים במקומם והוסף כלל חדש עם הסף הנמוך יותר.
2. לאחר שהכלל החדש פעיל, המתן עד שיחלוף משך הפעולה של הכלל הישן לפני מחיקת הכלל הישן.

בעת הגדרת סף גבוה יותר (בגלל חסימת לקוחות לגיטימיים), הגדל את הסף בתוך הכלל הקיים.

---

#משימה 2: הגדרת קריטריונים מתקדמים (רק תוכניות Business ו-Enterprise)

האפשרות Advanced Criteria מגדירה אילו שיטות HTTP, תגובות כותרת, וקודי תגובה של המקור יותאמו לכלל הגבלת הקצב שלך.

כדי להגדיר את הקריטריונים המתקדמים עבור כלל חדש או קיים:

1. הרחב את Advanced Criteria.

2. בחר ערך מ-Method(s). ערך ברירת המחדל הוא ANY, שמתאים לכל שיטות ה-HTTP.

3. סנן לפי HTTP Response Header(s). בחר Add header response field כדי לכלול כותרות שמוחזרות משרת האינטרנט של המקור שלך.

   כותרת CF-Cache-Status מופיעה כברירת מחדל כדי ש-Cloudflare תגיש משאבים שמורים במטמון במקום להגביל את הקצב של אותם משאבים. כדי להגביל קצב גם של משאבים שמורים במטמון, הסר כותרת זו על ידי בחירת X, או הפעל את Also apply rate limit to cached assets.

   אם יש יותר מכותרת אחת תחת HTTP Response Header(s), חלה לוגיקה בוליאנית AND. כדי להחריג כותרת, השתמש באפשרות Not Equals. כל כותרת אינה תלויה רישיות.

4. תחת Origin Response code(s), הזן את הערך המספרי של כל קוד תגובת HTTP להתאמה. הפרד בין שני קודי HTTP או יותר בפסיק (לדוגמה: 401, 403).

5. (אופציונלי) הגדר תכונות נוספות של הגבלת קצב, לפי התוכנית שלך.

6. בחר Save and Deploy.

---

#משימה 3: הגדרת תגובה מתקדמת (רק תוכניות Business ו-Enterprise)

האפשרות Advanced Response מגדירה את פורמט המידע ש-Cloudflare מחזירה כאשר חורגים מסף של כלל. השתמש ב-Advanced Response כאשר ברצונך להחזיר תוכן טקסט פשוט סטטי או JSON.

כדי להגדיר תגובת טקסט פשוט או JSON:

1. הרחב את Advanced Response.
2. בחר פורמט Response type שאינו ברירת המחדל: Custom JSON או Custom TEXT.
3. הזן את תגובת הטקסט הפשוט או ה-JSON שברצונך להחזיר. גודל התגובה המרבי הוא 32 KB.
4. (אופציונלי) הגדר תכונות נוספות של הגבלת קצב, לפי התוכנית שלך.
5. בחר Save and Deploy.

#שימוש בדף HTML מותאם אישית או בהפניה

אם ברצונך להציג דף HTML מותאם אישית, הגדר דף מותאם אישית עבור שגיאות HTTP 429 (Too many requests) בלוח הבקרה. Cloudflare תציג דף זה כאשר תבחר Default Cloudflare Rate Limiting Page ב-Response type (ערך ברירת המחדל של השדה).

אפשר להשתמש בשיטה הבאה כדי להפנות לקוח שהוגבל בקצב אל URL ספציפי:

1. צור דף HTML בשרת שלך שיפנה אל כתובת ה-URL הסופית של הדף שברצונך להציג. כלול תג meta refresh ↗︎ בתוכן הדף, כמו בדוגמה הבאה:

   העתק

   <!doctype html>
   <html>
       <head>
           <meta charset="utf-8" />
           <title>Custom RL page</title>
           <meta
               http-equiv="refresh"
               content="0; url='https://yourzonename/block'"
           />
       </head>
   
       <body></body>
   </html>

   שים לב לכתובת ה-URL הציבורית של הדף שיצרת.

2. בלוח הבקרה של Cloudflare, עבור אל דף Settings. עבור אל Configurations ↗

3. עבור אל Error Pages.

4. ליד Rate limiting block, בחר בשלוש הנקודות > Edit.

5. בחר Custom page.

6. ב-Custom page address, הזן את כתובת ה-URL של הדף שיצרת בשרת שלך, הדף שמכיל את תג ה-meta refresh.

7. בחר Save.

פעל באותה גישה אם ברצונך להחזיר תוכן טקסט פשוט או JSON אבל התגובה גדולה מ-32 KB. במקרה זה, כתובת ה-URL של ההפניה תהיה כתובת ה-URL של משאב הטקסט הפשוט או ה-JSON שברצונך להציג.

הערות

• כלל הגבלת הקצב שלך אינו יכול להתאים לכתובת ה-URL של ההפניה שכללת בדף ה-HTML המותאם אישית עבור שגיאות 429.
• כדי להגן מפני מתקפות מניעת שירות (DoS), הדף של ההפניה צריך לכלול רק משאבים שנשמרים במטמון על ידי Cloudflare.

---

#משימה 4: הגדרת אפשרות Bypass (תוכניות Enterprise בלבד)

Bypass יוצר רשימת היתר או חריגה כך שאף פעולה לא חלה על קבוצה ספציפית של כתובות URL גם אם הגבלת הקצב הותאמה.

כדי להגדיר Bypass:

1. הרחב את Bypass.
2. ב-Bypass rule for these URLs, הזן את כתובות ה-URL שיש לפטור מכלל הגבלת הקצב. הזן כל URL בשורה נפרדת. HTTP או HTTPS שצוינו ב-URL מוסרים אוטומטית כאשר הכלל נשמר, ובמקום זאת הכלל חל גם על HTTP וגם על HTTPS.
3. (אופציונלי) הגדר תכונות נוספות של הגבלת קצב, לפי התוכנית שלך.
4. בחר Save and Deploy.

---

#ניתוח

הצג ניתוח הגבלת קצב עבור האזור שלך ב-Analytics & logs > Security. ניתוח הגבלת הקצב משתמש בקווים רציפים כדי לייצג תעבורה שמתאימה לבקשות מדומות, ובקווים מקווקווים כדי לתאר בקשות שנחסמו בפועל. יומנים שנוצרים על ידי כלל הגבלת קצב גלויים רק ללקוחות Enterprise דרך Cloudflare Logs.

Cloudflare מחזירה שגיאת HTTP 429 עבור בקשות חסומות. פרטים על בקשות חסומות לפי מיקום מסופקים ללקוחות Enterprise תחת Status codes בלוח הניתוח הזמין ב-Analytics > Traffic.

הערה

תגובות HTTP 429 שנשלחות למבקרי האתר יכללו כל תגובות HTTP 429 שמוחזרות מהמקור, אם שרת המקור מחיל גם הגבלת קצב משלו.

---

#סדר ביצוע הכללים

כללי הגבלת קצב מוערכים מהכלל שנוצר לאחרונה אל הכלל הישן ביותר.

לדוגמה, אם בקשה תואמת לשני הכללים הבאים:

• כלל #1: התאמה ל-test.example.com (נוצר ב-2024-03-01)
• כלל #2: התאמה ל-*.example.com* (נוצר ב-2024-03-12)

אז כלל #2 יופעל ראשון, כי הוא נוצר אחרון.

בנוסף, כשיש התאמה וה-WAF מחיל פעולת Log, הוא ממשיך להעריך כללי הגבלת קצב אחרים, כי Log היא פעולה שאינה מסיימת. אם ה-WAF מחיל כל פעולה אחרת, לא יוערכו כללים אחרים.

#מגבלות

הגבלת קצב נועדה להגביל גלי תעבורה שחורגים מקצב שהוגדר על ידי המשתמש. המערכת לא תוכננה לאפשר למספר מדויק של בקשות להגיע לשרת המקור. ייתכנו מקרים שבהם מוכנס עיכוב בין זיהוי הבקשה לעדכון המונה הפנימי. בגלל עיכוב זה, שיכול להגיע עד כמה שניות, בקשות עודפות עדיין יכולות להגיע למקור לפני שפעולה כגון חסימה או אתגור נאכפת.

#משאבים קשורים

• פתרון בעיות בהגבלת קצב (גרסה קודמת)
• הגדרת הגבלת קצב באמצעות ה-API של Cloudflare