Cloudflare Super Bot Fight Mode: controllo granulare anti-bot
Super Bot Fight Mode è la versione avanzata della protezione anti-bot Cloudflare, disponibile dai piani Pro in su. Mentre la versione Free è binaria (blocca o lascia passare), Super Bot Fight Mode introduce categorie multiple di traffico e azioni differenziate per ogni categoria. Permette di affinare la difesa: bloccare definitively gli scraper malevoli, sfidare il traffico sospetto, mantenere libero accesso ai bot verificati come Googlebot. È il livello standard per qualsiasi sito business serio.
Le tre categorie di traffico
Super Bot Fight Mode classifica il traffico in: Definitely automated: bot certi (signature note, comportamenti automatizzati evidenti, score 1-29). Likely automated: traffico probabilmente bot ma con qualche incertezza (score 30-59). Verified bots: bot identificati e categorizzati positivamente (Googlebot, Bingbot, Slackbot, etc.). Per ogni categoria scegli azione: Allow, Managed Challenge, Block. La quarta categoria è Static resource protection per asset.
Procedura passo-passo
- Verifica piano Pro+ (Super Bot Fight Mode incluso).
- Vai su Security → Bots.
- Disattiva Bot Fight Mode base se attivo.
- Trova Super Bot Fight Mode e attivalo.
- Per Definitely Automated imposta azione Block (default e raccomandato).
- Per Likely Automated imposta Managed Challenge per ridurre falsi positivi.
- Per Verified Bots imposta Allow (whitelist completa).
- Attiva JavaScript Detections per signal più precisi.
- Attiva Static Resource Protection per asset.
- Monitora Security Events per 1-2 settimane e affina.
JavaScript Detections
L'opzione JavaScript Detections injecta sull'edge un piccolo script che raccoglie segnali browser (canvas fingerprint, viewport, performance API, audio context). Questo arricchisce la classificazione bot/umano con accuratezza eccezionale. Bot puri (curl, Python requests) non eseguono JS e falliscono la rilevazione. Browser automatizzati (Selenium, Playwright) eseguono JS ma lasciano signature distinguibili. L'overhead per utenti è trascurabile (poche centinaia di byte).
Verified Bots: la whitelist intelligente
Cloudflare mantiene un registro di bot verificati che vengono identificati positivamente. La lista include: Googlebot, Bingbot, DuckDuckBot, Slack, Discord, LinkedInBot, Yandex, Baidu, Apple, social media crawlers, RSS readers, monitoring (Pingdom, UptimeRobot). La verifica avviene tramite confronto IP+User-Agent contro liste mantenute. I bot verificati passano sempre con priorità massima, garantendo che SEO, social sharing e monitoring continuino a funzionare.
Errori comuni e come risolverli
- Categoria Likely Automated blocca utenti reali: passa a Managed Challenge invece di Block.
- Bot custom legittimo bloccato: aggiungi a Bot Verification via apposita procedura Cloudflare per identificarlo come Verified.
- API mobile classificata bot: app native senza JS engine sono erroneamente bot. Usa WAF Skip rule per User-Agent app.
- Static resource protection rompe immagini: alcuni embed esterni bloccati. Whitelisting per Referer del dominio.
- Falsi positivi senza pattern: aggiungi WAF Skip Rule per specifici path o cookie noti.
Bot Analytics
Super Bot Fight Mode include Bot Analytics con dashboard dedicato. Mostra traffico bot vs umano nel tempo, breakdown per categoria, top bot per ASN, top paths attaccati, mappa geografica del traffico bot. È una miniera di insight per capire le minacce specifiche del tuo sito. Esporta i dati come CSV per analisi su tool esterni o integrazione SIEM.
Bot Management vs Super Bot Fight Mode
Per esigenze ancora più avanzate (e-commerce ad alto volume, ticketing platform) Cloudflare offre Bot Management sul piano Enterprise: machine learning models proprietari, fingerprinting più sofisticato, integrazione con WAF, action customization per ogni request, exposure pubblica del bot score per logica custom. Costa significativamente di più ma offre protezione di livello finanziario. Super Bot Fight Mode è sufficiente per il 95% dei siti.
Domande frequenti
D: Quanto costa Super Bot Fight Mode?
R: Incluso nei piani Pro (25 dollari/mese), Business e Enterprise.
D: Può convivere con CAPTCHA esistenti?
R: Sì, lavora a livello edge prima del raggiungimento dell'origine.
D: I bot scraper di concorrenza vengono bloccati?
R: Sì, è il principale use case. Categoria Definitely Automated.
D: Posso testare in modalità log-only?
R: Sì, imposta tutte le categorie su Allow inizialmente e monitora.
Considerazioni operative finali
Quando applichi una configurazione di questo tipo in produzione è sempre buona norma seguire un'approccio incrementale: parti con un test su staging, monitora gli effetti per qualche giorno, poi estendi gradualmente al traffico live. La rete Cloudflare elabora ogni cambiamento in pochi secondi a livello globale, quindi le modifiche sono effettive quasi immediatamente, ma gli effetti collaterali su utenti reali possono richiedere ore o giorni per emergere. Annota nel runbook interno data, motivo e parametri di ogni modifica significativa. Una documentazione precisa accelera enormemente il troubleshooting futuro e facilita il passaggio di consegne tra membri del team.
Vale anche la pena ricordare che Cloudflare aggiorna frequentemente l'interfaccia del dashboard e le posizioni delle voci di menu. La logica e le funzionalità descritte in questa guida restano valide, ma il percorso esatto per raggiungere ogni opzione può variare leggermente nel tempo. In caso di difficoltà a trovare una specifica voce, utilizza la barra di ricerca interna del dashboard oppure consulta la documentazione ufficiale aggiornata. La community Cloudflare sul forum ufficiale e su Stack Overflow è inoltre molto attiva e offre spesso risposte rapide a problemi specifici di configurazione.
Per progetti complessi che coinvolgono più servizi Cloudflare contemporaneamente (CDN, Workers, WAF, Access, R2) conviene strutturare la configurazione come codice tramite Terraform o Pulumi. Questo permette versioning, code review, rollback atomici e deploy ripetibili tra environment. Per team con esigenze più semplici la gestione manuale via dashboard resta perfettamente valida, soprattutto se accompagnata da una checklist scritta delle impostazioni applicate. La scelta dell'approccio dipende dalle dimensioni del progetto e dal grado di automazione desiderato. L'importante è essere consistenti e mantenere tracciabilità delle modifiche effettuate.
Hai bisogno di aiuto?
Se vuoi configurare Cloudflare per il tuo sito con il team di G Tech Group, scrivici tramite il modulo di contatto.