Este documento oferece uma vista geral do reCAPTCHA para WAF e da respetiva integração com fornecedores de serviços de firewall de aplicações Web (WAF).
O reCAPTCHA fornece um plug-in implementado como um serviço na camada WAF. Permite que as FAPs ajudem a proteger o seu site contra spam e abusos. Utiliza técnicas avançadas de análise de risco para distinguir entre pedidos legítimos e fraudulentos.
reCAPTCHA para integração com WAF
O reCAPTCHA fornece um plug-in responsável pela deteção de bots na camada WAF para detetar, parar ou gerir a atividade automatizada que acede aos seus Websites ou serviços.
O reCAPTCHA para WAF integra-se com os seguintes fornecedores de serviços de WAF:
- Google Cloud: Google Cloud Armor
- Fornecedores de serviços de WAF de terceiros: Fastly Edge Compute e Cloudflare Workers
Para controlar o acesso às aplicações ou aos serviços, os fornecedores de serviços de WAF usam um conjunto de regras denominadas políticas que filtram o tráfego com base em condições. As condições incluem o endereço IP, o intervalo de IP, o código da região ou os cabeçalhos dos pedidos de um pedido recebido. O Cloud Armor usa políticas de segurança e os fornecedores de serviços WAF de terceiros usam políticas de firewall do reCAPTCHA (políticas de firewall).
O reCAPTCHA para WAF interage com fornecedores de serviços de WAF para fazer o seguinte:
- O utilizador final aciona uma ação da aplicação protegida pelo reCAPTCHA para WAF.
- O cliente JavaScript do reCAPTCHA emite um token encriptado que contém a avaliação do reCAPTCHA e os atributos associados.
- O token reCAPTCHA está anexado aos pedidos de seguimento.
O fornecedor de serviços de WAF descifra este token. Com base nos atributos do token e nas regras de segurança configuradas ou nas regras da política de firewall, o fornecedor de serviços do WAF permite, bloqueia ou redireciona os pedidos recebidos para uma página de desafio intersticial.
O diagrama seguinte é uma representação gráfica simplificada de como o fornecedor de serviços de WAF interage com o reCAPTCHA para que o WAF aplique a avaliação sem atrito:
Quando usar o reCAPTCHA para a integração de WAF
Use esta integração quando a sua aplicação já estiver protegida por uma WAF e quiser desassociar as alterações da política do reCAPTCHA do código de front-end e back-end.
Vantagens
O reCAPTCHA para integração com WAF oferece as seguintes vantagens:
- Não é necessário modificar o código do servidor de back-end, uma vez que a integração ocorre na camada de WAF.
- Não é necessário modificar o JavaScript de front-end, uma vez que o reCAPTCHA para integrações de WAF pode introduzir dinamicamente uma integração de cliente JavaScript (para chaves de token de sessão e de página de desafio) ou não é necessário nenhum cliente (para chaves expressas).
- O tráfego de bots é mitigado no limite da sua rede, o que reduz a carga no back-end protegido.
- As políticas de segurança do Google Cloud Armor ou as regras da política de firewall do reCAPTCHA simplificam as regras de acesso à sua aplicação protegida.
O que se segue?
- Saiba mais acerca das funcionalidades oferecidas pelo reCAPTCHA para WAF.