Super Bot Fight Mode instellen zonder je betalingen te breken

Super Bot Fight Mode is een schakelaar die geautomatiseerd verkeer uitdaagt of blokkeert. Het zit in Cloudflare Pro en hoger. Zet je hem zonder nadenken aan, dan breekt er meestal iets: een betaalwebhook die niet meer aankomt, een ERP-koppeling die 403's krijgt, een uptime-monitor die alarm slaat.

Dit artikel legt uit wat de instellingen doen, wat Cloudflare zelf als valkuilen noemt en hoe je een webshop stap voor stap beschermt. Het is een aanvulling op WAF en bot-bescherming voor je webshop.

Wat Super Bot Fight Mode doet

Cloudflare deelt verkeer in categorieën. Per categorie kies je wat er gebeurt:

• Definitely automated. Verkeer dat Cloudflare met zekerheid als bot herkent.
• Likely automated. Verkeer dat waarschijnlijk een bot is.
• Verified bots. Bekende, geverifieerde bots, zoals zoekmachines.

Daarnaast zijn er twee opties:

• Static resource protection. Bescherming voor ondersteunde bestandstypen.
• JavaScript detections. Onzichtbare code die helpt bij detectie.

Per categorie kies je Allow, of een uitdagende of blokkerende actie. Bij "Allow" gebeurt er niets.

Wat Cloudflare zelf als beperkingen noemt

Uit de documentatie, de punten die voor webshops tellen:

• Het geldt voor je hele domein. Je kunt het niet per pad instellen en niet via WAF custom rules aanpassen.
• Uitzonderingen maak je met een Skip-regel. Die draait vóór Super Bot Fight Mode.
• API- en mobiele-app-verkeer kan worden uitgedaagd. Voor fijnmaziger controle noemt Cloudflare Bot Management, een apart product.
• Gebruik je Cloudflare Tunnel? Laat dan "Definitely automated" op Allow staan, anders krijg je websocket: bad handshake-fouten.
• Upgrade je van Bot Fight Mode? Zet die eerst uit.

De tweede en derde punt zijn voor webshops het belangrijkst. Een webshop is vol geautomatiseerd verkeer dat je wilt hebben.

Het geautomatiseerde verkeer dat je wilt toelaten

Maak vóór je iets aanzet een lijst. Denk aan:

Voor elk van deze bronnen bepaal je: komt het van een vast IP, van een vast pad of van beide? Daarop bouw je je Skip-regels.

Zo voer je het veilig in

1. Maak de Skip-regels eerst. Skip voor de webhook-paden van je PSP, voor de API-paden van je koppelingen en voor vaste IP's van je ERP. Controleer dat de applicatie zelf de handtekening of het token van webhooks valideert. Een pad zonder IP-controle is alleen veilig met die validatie.
2. Begin met "Definitely automated" op Challenge of Block. Dat is de categorie met de minste valse alarmen.
3. Laat "Likely automated" eerst op Allow. Kijk een week naar de events. Zet hem pas om als je ziet wat erin valt.
4. Verified bots: laat toe. Je wilt dat zoekmachines je shop kunnen crawlen.
5. Test met een echte bestelling. Betaal met elke methode die je aanbiedt en controleer of de orderstatus bijwerkt.
6. Controleer je monitoring en feeds. Haalt je shoppingfeed nog data op?

Hoe je een Skip-regel opzet

Een skip-regel is een custom rule met de actie Skip. Je kiest welke functies je overslaat. Een voorbeeld voor een webhook:

(http.request.uri.path eq "/jouw-webhook-pad"
 and http.request.method eq "POST")

Beperk de skip zo smal mogelijk: een exact pad, een methode, zo mogelijk een IP. Een brede skip is een gat.

Lees ook custom rules voor Magento voor de volgorde van regels.

Headless en apps

Heb je een headless frontend, een PWA of een mobiele app die je eigen API aanroept? Dan is dat geautomatiseerd verkeer in de ogen van een bot-detector. Cloudflare waarschuwt dat het API- en appverkeer kan uitdagen. Test dit grondig, of overweeg een andere aanpak voor die paden.

Bots die je wél wilt blokkeren

De winst zit in wat je tegenhoudt:

• Scrapers die je catalogus en prijzen kopiëren.
• Credential-stuffing op klantaccounts.
• Voorraad-hamsteraars bij een campagne.
• Carding-bots op je checkout.

Combineer dit met rate limiting op de gevoelige paden. Super Bot Fight Mode geeft een brede filter, rate limiting zet een rem op specifieke plekken.

Eerst inventariseren, dan pas aanzetten

Het grootste risico van bot-bescherming is dat je verkeer blokkeert dat je nodig hebt. Maak daarom voor je iets aanzet een lijst van alle geautomatiseerde verkeersstromen naar je shop:

Per stroom bepaal je hoe je hem herkent (IP-adres, hostnaam, header, pad) en of je hem met een Skip-regel vooraf toelaat. Voeg bij elke stroom wie de eigenaar is en wanneer het IP-bereik voor het laatst is gecontroleerd.

De uitrol in vier stappen

1. Zet de Skip-regels klaar voor de stromen hierboven, vóór je de bot-bescherming aanzet. Controleer dat de volgorde klopt.
2. Begin met de zachtste instelling die je plan toestaat voor de categorieën die je wilt aanpakken, en kijk in de events wat er wordt uitgedaagd.
3. Test elke koppeling. Plaats een testbestelling, trigger een voorraadupdate, laat een webhook afgaan. Alleen een succesvolle ronde telt.
4. Verscherp per categorie. Voor verkeer dat je zeker niet wilt, mag de actie harder.

Wat te doen bij betaalproblemen

Als na het aanzetten betalingen niet meer worden bijgewerkt, loop dan dit af:

• Kijk in de events van de afgelopen uren naar verzoeken op het webhook-pad van je PSP.
• Staat er een challenge of blokkade op? Voeg dan een Skip-regel toe voor dat pad en/of de IP's van de PSP, volgens de documentatie van de provider.
• Controleer in het dashboard van de PSP of mislukte webhooks opnieuw worden aangeboden. Veel providers proberen het meerdere keren.
• Zoek orders die in de tussentijd in een tussenstatus zijn blijven hangen en corrigeer ze handmatig.

Gebruik niet alleen IP-adressen als filter: die kunnen wijzigen. Combineer ze met het pad en, waar de PSP dat ondersteunt, een gedeeld geheim of handtekening die de applicatie controleert. Dat laatste is de echte beveiliging van een webhook, niet de WAF.

Bots die je wel wilt zien

Niet alle bots zijn vijandig. Een shop heeft baat bij zoekmachinecrawlers, en steeds vaker bij AI-crawlers die producten tonen in antwoorden. Beslis bewust welke je toelaat, en leg dat vast in je robots-beleid en je regels. Hoe je dat aanpakt lees je in AI-crawlers, llms.txt en robots.txt.

Meten wat het oplevert

Kijk voor en na de wijziging naar:

• Het aandeel verkeer dat als bot wordt aangemerkt
• De serverbelasting en het aantal verzoeken naar zoek en productpagina's
• Het aantal mislukte inlogpogingen en betalingen
• De conversie en het aantal klachten

Een goede uitrol vermindert de belasting en laat de conversie ongemoeid. Gebeurt het omgekeerde, dan staat er iets te streng. Meer over bot-aanvallen op webshops staat in carding, credential stuffing en scraping en op de pagina webshop security.