Cloudflare daje w jednym miejscu m.in.:

• CDN,
• DNS,
• ochronę DDoS,
• reverse proxy,
• TLS/SSL,
• WAF,
• caching,
• Workers / edge computing,
• Tunnel,
• Pages,
• R2, podstawowe usługi dostępne za darmo.

WAF (Web Application Firewall) to zapora sieciowa przeznaczona specjalnie do ochrony aplikacji webowych.

Najprościej:

Internet
   │
   │ żądanie HTTP/HTTPS
   ▼
┌──────────────┐
│     WAF      │  ← sprawdza żądanie
└──────┬───────┘
       │
       │ jeśli OK
       ▼
┌──────────────┐
│   aplikacja  │
│   / API       │
└──────────────┘

WAF analizuje np.:

GET /users?id=123

i próbuje rozpoznać, czy żądanie nie jest atakiem.

Przykładowo blokuje

SQL Injection:

GET /users?id=1' OR '1'='1

XSS:

<script>alert('hack')</script>

próby wykorzystania podatnych endpointów, nietypowe payloady, skanowanie aplikacji itd.

Może też robić rate limiting, np.:

IP 1 → 1000 requestów/s
          ↓
        WAF
          ↓
      BLOCK