reCAPTCHA-Firewallrichtlinien – Übersicht

Dieses Dokument bietet einen Überblick über die reCAPTCHA-Firewallrichtlinien.

Eine reCAPTCHA-Firewallrichtlinie ist eine Reihe von Regeln, die eine Bedingung abgleichen Attribute verwenden, um Ihre Website vor Spam und Missbrauch zu schützen. Jede Regel wird ausgewertet für den eingehenden Traffic. Die Regeln werden in der Reihenfolge ausgewertet, in der sie in der Richtlinie hinzugefügt wurden.

Komponenten der reCAPTCHA-Firewallrichtlinie

Eine reCAPTCHA-Firewallrichtlinien-Regel besteht aus den folgenden Komponenten:

  • path: Ein URL-Pfad, auf den sich die Firewallrichtlinienregel bezieht. Beispiel: /login
  • condition: eine Richtlinienbedingung. Eine Richtlinienbedingung ist eine CEL (Common Expression Language). Ausdruck, der in einen booleschen Wert aufgelöst werden muss. Beispiel: recaptcha.score >= 0.5.
  • action: Eine Aktion, die Ihr WAF-Dienstanbieter ausführen muss, wenn der Richtlinienbedingung ist erfüllt. Weitere Informationen finden Sie unter Richtlinienaktionen.

Wenn eine eingehende Anfrage mit einer Richtlinienbedingung für den angegebenen Pfad übereinstimmt, Ihr WAF-Dienstanbieter die Anfrage zulässt, blockiert oder weiterleitet. basierend auf der angegebenen Aktion. Standardmäßig ist der Zugriff erlaubt.

Beispiel für eine reCAPTCHA-Firewallrichtlinie

Das folgende Beispiel für eine reCAPTCHA-Firewallrichtlinie enthält eine Regel, die angewendet wird zur Aktion login hinzu. Der Zugriff wird blockiert, wenn der Wert unter 0,5 liegt.

     policy {
          path: login.php
          condition: recaptcha.score < 0.5
          action: block
        }

Bedingungsattribute für reCAPTCHA-Firewallrichtlinien

In der folgenden Tabelle sind reCAPTCHA-Tokenattribute aufgeführt, mit denen Sie Bedingungen in Ihren reCAPTCHA-Firewallrichtlinien definieren können.

Attributname Datentyp Beschreibung
recaptcha.token.valid boolean Gibt an, ob das empfangene Token gültig ist. Ein Token ist gültig, wenn es nicht fehlerhaft oder abgelaufen ist, auch wenn der Wert niedrig ist.
recaptcha.token.action String Der Aktionsname, der bei der Tokengenerierung angegeben wird. Wird nur für Aktionstokens ausgefüllt. Dies ist der/die action -Parameter, der an grecaptcha.enterprise.execute(), wenn das Token erstellt wird. Weitere Informationen finden Sie unter Aktionsnamen.
recaptcha.score float Der Wert aus einem reCAPTCHA-Token. Ein gültiger Wert liegt zwischen 0,0 und 1,0. Die Bewertung 1,0 zeigt an, dass die Interaktion ein geringes Risiko birgt und wahrscheinlich legitim ist, während 0,0 bedeutet, dass die Interaktion und könnte betrügerisch sein. Weitere Informationen finden Sie unter Bewertungen interpretieren
recaptcha.assessment_type integer Die Art der durchgeführten Bewertung. assessment_type wird entsprechend dem reCAPTCHA-Schlüssel für WAF festgelegt, der mit der Anfrage.

Verwenden Sie eine der folgenden Konstanten, um den Wert von recaptcha.assessment_type in Ihrem CEL-Ausdruck zu vergleichen:

  • AssessmentType.ACTION
  • AssessmentType.SESSION
  • AssessmentType.CHALLENGEPAGE
  • AssessmentType.EXPRESS
Wenn Sie beispielsweise eine Bewertung von Aktionstokens vergleichen möchten, verwenden Sie AssessmentType.ACTION.
http.ip String Die IP-Adresse der eingehenden Anfrage.
http.path String Der Pfad der Anfrage-URI.
http.domain String Die Domain des angeforderten URI.

reCAPTCHA-Firewallrichtlinienaktionen

In der folgenden Tabelle sind die verschiedenen Richtlinienaktionen aufgeführt, die Sie in reCAPTCHA-Firewallrichtlinien:

Richtlinienaktion Beschreibung Ergebnis der Aktion
allow Gewährt Zugriff auf die angeforderte Seite. Die eingehende Nutzeranfrage wird ohne Unterbrechung an Ihr Backend gesendet.
block Verweigert den Zugriff auf die angeforderte Seite. Dem Nutzer wird der HTTP-Fehler 403 (Verboten) zurückgegeben.
redirect Leitet die eingehende Nutzeranfrage an die reCAPTCHA-Abrufseite weiter. Auf der reCAPTCHA-Abfrageseite wird die Nutzeranfrage ausgewertet und ein Cookie basierend auf der Bewertung angehängt. Später wird die Nutzeranfrage noch einmal zur ursprünglichen Seite weitergeleitet.
substitute Stellt eine andere Seite als die angeforderte Seite bereit auf betrügerische Nutzeranfrage hin. Der angeforderte Pfad wird durch einen anderen Pfad ersetzt, wenn die Anfrage an Ihr Backend gesendet wird. Der Nutzer sieht weiterhin die ursprüngliche URL.
set_header Legt einen benutzerdefinierten Header fest und lässt zu, dass die eingehende Nutzeranfrage das Back-End. Das Backend kann dann einen benutzerdefinierten Schutz auslösen. Der Nutzeranfrage wird ein Header hinzugefügt. Ihr Backend verwendet diese um eine benutzerdefinierte Schutzmaßnahme oder Analyse auszulösen.

Nächste Schritte