מה Cloudflare חסם באתר שלנו בחודש אחד: בוטים, סורקים וניסיונות פריצה

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: בחודש אחד (8.10–7.11.2026) Cloudflare חסם או אתגר 27,040 מתוך 99,050 בקשות לאתר שלנו, כ-27% מכל התנועה. 96% מהן נחסמו בחסימה מלאה, רובן על ידי כללים מותאמים שכתבנו בחבילה החינמית. במדגם של 100 חסימות, 61 היו ניסיונות להריץ קבצי PHP שלא קיימים באתר, ו-27 חיפשו קבצי ‎.env ו-‎.git.

⏱ זמן קריאה: 7 דקות · סוג: נתונים מהדשבורד שלנו · נבדק לאחרונה מול Cloudflare Security Analytics: 07.11.2026

מה זה Security Events ב-Cloudflare?

Security Events הוא היומן של כל בקשה ש-Cloudflare עצר, אתגר או סימן בגלל כלל אבטחה. בדשבורד הוא נמצא תחת Security > Analytics, בלשונית Events. הלשונית Traffic באותו מסך מראה את כל הבקשות, וכמה מהן נחסמו.

חשוב לדעת שהרשימה המפורטת היא מדגם. לפי התיעוד של Cloudflare, Security Analytics משתמש כברירת מחדל ביומנים מדוגמים, כדי להחזיר תוצאות מהר. הסיכומים בראש המסך מדויקים מספיק למגמות, אבל לא כל בקשה מופיעה בטבלה.

מה בדיוק Cloudflare חסם אצלנו?

בעיקר סורקים אוטומטיים שמחפשים פרצות מוכרות, לא אנשים. לקחנו את 100 החסימות האחרונות מהמדגם ב-7.11.2026 ומיינו אותן לפי הנתיב שהתבקש:

מה ניסו	מתוך 100	דוגמאות לנתיבים	מה הם מחפשים
קבצי PHP שלא קיימים	61	שמות נפוצים של web shells	Web shell שתוקף אחר כבר השאיר, או קובץ שאפשר להריץ
‎.env ו-‎.git	27	קבצי הגדרות וקוד מקור שנשכחו בתיקייה ציבורית	סיסמאות למסד נתונים ומפתחות API שנשכחו בתיקייה ציבורית
גיבויים של wp-config	5	עותקי גיבוי וקבצי עריכה זמניים של wp-config	פרטי החיבור למסד הנתונים
xmlrpc.php	1	‎/xmlrpc.php	ניחוש סיסמאות בכמויות
אחר	6	קבצי הגדרות ובקשות סריקה כלליות	מיפוי האתר

אף אחד מהקבצים האלה לא קיים אצלנו. אבל אם לא היינו חוסמים, כל בקשה כזו הייתה מגיעה לשרת, מפעילה את וורדפרס ומחזירה שגיאת 404. אלפי בקשות כאלה בחודש הן עומס מיותר על השרת.

מאיפה הגיעו הבקשות שנחסמו?

מכל העולם, ובעיקר משרתים בענן ולא ממחשבים ביתיים. חמש המדינות המובילות בבקשות שנחסמו: הולנד (3,780), דרום קוריאה (3,440), ארצות הברית (3,440), אוסטרליה (3,430) וצרפת (2,580).

• רובן מזדהות כמחשב שולחני: 25,490 מתוך 25,930 החסימות. זה כמעט בטוח זיוף של User-Agent.
• 84% השתמשו ב-HTTP/1.1 (21,860), לעומת כ-61% בכל התנועה לאתר. דפדפנים מודרניים מתחברים ב-HTTP/2 ו-HTTP/3, וסקריפטים פשוטים נשארים ב-1.1.
• 91% היו בקשות GET, כלומר סריקה. 2,260 היו POST, ניסיונות לשלוח נתונים לטפסים או לקבצים.

שימו לב שגם אנחנו מופיעים ביומן: בדיקות ה-curl שהרצנו בעצמנו ב-7.11.2026 נרשמו ביומן. כשקוראים את היומן, כדאי לזהות קודם את הכתובות שלכם.

אילו כללים חוסמים את זה בחבילה החינמית?

את ההגדרות המדויקות אנחנו לא מפרסמים, כי פירוט כללים עוזר למי שמנסה לעקוף אותם. אלה העקרונות, והם זהים לכמעט כל מדריך אבטחה לוורדפרס. החבילה החינמית של Cloudflare מאפשרת 5 כללים מותאמים וכלל הגבלת קצב אחד, ולצדם הכללים המנוהלים החינמיים:

עקרון	פעולה	מה הוא תופס
קבצים רגישים ונתיבים מוכרים	Block	בקשות ל-‎.env, ‎.git, גיבויי wp-config ושמות נפוצים של web shells
אזור הניהול וההתחברות	Managed Challenge	בדיקה למי שאינו בוט מאומת
סריקות אוטומטיות	Block או Challenge	סורקים שאיננו צריכים ובקשות לקבצי PHP שאינם חלק מוורדפרס הרגיל
הגבלת קצב	Block	יותר מדי ניסיונות התחברות בזמן קצר

Managed Challenge הוא בדיקה ש-Cloudflare מציג לגולש, ומחליט לבד אם להסתפק בבדיקה שקופה או לבקש אינטראקציה. לפי התיעוד של Cloudflare, זו האפשרות המומלצת ברוב המקרים. בן אדם עובר אותה, וסקריפט פשוט נתקע. סקריפט כמו curl שמגיע לעמוד מוגן מקבל 403 עם הכותרת cf-mitigated: challenge.

הכללים המנוהלים החינמיים (Free Managed Ruleset) חסמו עוד 2,280 בקשות. Cloudflare מעדכן אותם בעצמו מול פרצות נפוצות. בנובמבר 2026 הדשבורד הציג אצלנו הודעה שהם מגנים גם מפני מתקפות php2shell.

איך קוראים את Security Events באתר שלכם?

1. בדשבורד של Cloudflare בחרו את הדומיין, ואז Security > Analytics.
2. בלשונית Traffic בחרו טווח של Last 30 days וראו את השורה Mitigated by Cloudflare.
3. לחצו Show more top statistics. בכרטיס Security actions עמדו על Block ולחצו Filter, כדי לראות רק בקשות שנחסמו.
4. גללו ל-Sampled logs, הגדילו ל-100 שורות בעמוד, ועברו על עמודת הנתיב (Path).
5. חפשו בקשות לגיטימיות שנחסמו: שער תשלום, שירות גיבוי, תוסף שפונה ל-API. אם יש כאלה, הוסיפו החרגה לכלל.

האם החבילה החינמית מספיקה?

לאתר תוכן כמו שלנו, כן, אבל היא דורשת עבודה ידנית. את הכללים צריך לכתוב ולעדכן בעצמכם כשמופיע דפוס חדש. היומן בחבילה החינמית הוא מדגם, ואין בה את חוקי ה-WAF המלאים של Cloudflare.

בקלאודוויז יש שתי דרכים לקבל יותר בלי לכתוב כללים: התוסף Cloudflare Enterprise, שכולל WAF וזיהוי בוטים ברמת Enterprise לפי עמוד המוצר (החל מ-$4.99 לחודש, נכון ל-6.11.2026), ו-Bot Protection ברמת השרת. ההשוואה: Cloudflare Free מול Enterprise. הגנה מפני בוטים בתוך הפאנל: Bot Protection בקלאודוויז. המחירים: מחירון התוספים.

אילו טעויות כדאי להימנע מהן?

חוסמים בוטים שאתם צריכים: כלל רחב מדי עלול לחסום את Googlebot או את בוטי החיפוש של מנועי AI. בכל כלל כדאי להוסיף החרגה לבוטים מאומתים (cf.client.bot). מה קרה כשבוטי AI נחסמו אצלנו ברמת השרת: בוטי AI ו-403 בקלאודוויז.

חוסמים webhooks: שערי תשלום ושירותי משלוח פונים לאתר מהשרתים שלהם. החריגו את הנתיבים שלהם, למשל wc-api בווקומרס, לפני שמפעילים אתגר על רשתות שלמות.

מבלבלים בין סריקה למתקפה: אלפי בקשות ל-‎.env זה רעש קבוע ולא סימן שפרצו לכם. מתקפת עומס נראית אחרת: קפיצה חדה בבקשות לעמודים אמיתיים. על זה: מתקפת DDoS על אתר.

שאלות נפוצות

מדריכים קשורים

• Bot Protection בקלאודוויז
• מתקפת DDoS על אתר: מה עושים
• בוטי AI ו-403 בקלאודוויז
• איך האתר הזה מאוחסן בקלאודוויז
• כל המדריכים בתחום: אבטחה

מקורות: דשבורד Cloudflare של cw-servers.co.il, Security Analytics ו-Security rules, נבדק ב-7.11.2026 (כתובות IP הוסתרו); Security Analytics, Custom rules, Managed rules, Challenge pages (Cloudflare Docs); Cloudflare Enterprise on Cloudways. נכתב ונבדק על ידי עשהאל דרייר · עודכן: 07.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים