עודכן לאחרונה: · מאת עשהאל דרייר
בקצרה: מתקפת DDoS היא הצפה של האתר בבקשות מאלפי מחשבים בו-זמנית, עד שהשרת לא מצליח לענות לגולשים אמיתיים. בזמן אמת: מזהים בניטור התעבורה מאיפה הבקשות מגיעות, מפעילים Under Attack Mode ב-Cloudflare, חוסמים כתובות או מדינות בחומת האש של השרת, ומוודאים שאי אפשר לעקוף את Cloudflare דרך כתובת ה-IP. כך זה עובד בקלאודוויז (Cloudways), נכון ל-7.11.2026.
מה זה מתקפת DDoS ואילו סוגים יש?
DDoS (Distributed Denial of Service) היא מתקפת מניעת שירות מבוזרת: הרבה מכונות, בדרך כלל מחשבים ומכשירים שנפרצו, שולחות תעבורה לאותו יעד. ההבדל מ-DoS רגיל הוא הפיזור, ולכן חסימת כתובת אחת לא עוצרת אותה.
| סוג | מה קורה | מי עוצר בדרך כלל |
|---|---|---|
| שכבות 3–4 (רשת ותעבורה) | הצפת חבילות או חיבורים שממלאת את הרוחב פס | הספק והרשת. בקלאודוויז, הגנת שכבות 3–4 כלולה בכל השרתים |
| שכבה 7 (אפליקציה, HTTP Flood) | הרבה בקשות "רגילות" לעמודים כבדים: חיפוש, עגלה, wp-login | CDN עם WAF ו-Rate Limiting, וחומת אש ברמת השרת |
| בוטים אגרסיביים | סורקים או גוגלים מזויפים שמעמיסים בלי כוונה להפיל | ניהול בוטים, חסימה לפי User-Agent או קצב |
לפי עמוד האבטחה של קלאודוויז, כל השרתים כוללים הגנת DDoS בשכבות 3 ו-4, ושרתי Flexible מוגנים גם בחומת אש ברמת השרת (Imunify360) שמסננת תעבורה זדונית ומתקפות DoS. רוב המתקפות שמפילות אתרי וורדפרס הן בשכבה 7, ושם צריך את ההגנות שבהמשך.
איך מזהים שהאתר תחת מתקפת DDoS?
הסימן הראשון הוא בדרך כלל שגיאות 502/504 או אתר שתקוע, יחד עם CPU של השרת ב-100% בלי סיבה עסקית (אין מבצע, אין קמפיין).
- בפאנל קלאודוויז, פתחו את האפליקציה: Monitoring > Analytics > Traffic. לפי המדריך הרשמי, יש שם את הכתובות עם הכי הרבה בקשות, תעבורת בוטים, הכתובות המבוקשות וקודי התגובה.
- חפשו דפוס: כתובות IP בודדות עם אלפי בקשות, כתובת URL אחת שחוזרת (למשל /?s= או wp-login.php), או User-Agent אחד.
- בשרת, פתחו Security > Overview. לפי מדריך האבטחה של קלאודוויז, מוצגת שם הערכה של עוצמת המתקפות והאירועים שנחסמו ב-30 הימים האחרונים.
- השוו ל-Google Analytics: אם השרת קורס אבל מספר הגולשים האמיתיים רגיל, התעבורה היא לא אנשים.
לא כל עומס הוא מתקפה. בוטים של AI או סורקי SEO יכולים להעמיס מאוד. מדדנו בעצמנו אילו בוטים נחסמים בשרת שלנו: הבוטים של AI בקלאודוויז. ואם האתר פשוט איטי בלי מתקפה, ראו אתר איטי ו-CPU גבוה.
מה עושים בזמן אמת כשהאתר מותקף?
הסדר: קודם עוצרים את הדימום ב-Cloudflare, אחר כך חוסמים בשרת, ורק בסוף מנתחים.
- הפעילו Under Attack Mode: עם תוסף Cloudflare Enterprise של קלאודוויז, זה מתג בהגדרות Cloudflare של האפליקציה. לפי קלאודוויז, זה צעד אחרון שמיועד למתקפת שכבה 7, ובוטים מאומתים כמו Googlebot ו-Bingbot ממשיכים לסרוק. בחשבון Cloudflare משלכם, ההגדרה נמצאת בלוח הבקרה של Cloudflare.
- ודאו ש-Rate Limiting ו-WAF דולקים: בתוסף של קלאודוויז שניהם מופעלים כברירת מחדל, תחת Cloudflare > Settings > Security.
- חסמו בחומת האש של השרת: Security > Firewall מאפשר לחסום כתובות IP, טווחים (Subnets) ומדינות. אם כל המתקפה מגיעה ממדינה שאין לכם בה לקוחות, חסימת מדינה היא צעד מהיר.
- חסמו גישה ישירה ל-IP של השרת: מתקפה שמכוונת ישר לכתובת השרת עוקפת את Cloudflare. ב-Settings & Packages אפשר לחסום תעבורה ישירה לכתובת ה-IP, לפי המדריך של קלאודוויז.
- הגנו על הנקודות הכבדות: wp-login.php, xmlrpc.php וחיפוש באתר. חוק אתגר ב-Cloudflare לכתובות האלה מוריד את רוב העומס.
- פתחו טיקט לתמיכה עם הכתובות והזמנים שראיתם. ראו איך פותחים טיקט בקלאודוויז.
מה Under Attack Mode עושה לגולשים?
לפי התיעוד של Cloudflare, כל גולש עובר בדיקת דפדפן שמחליטה תוך עד חמש שניות אם לאשר או לחסום, והגולש צריך JavaScript פעיל. Cloudflare מזהירה שהמצב פוגע זמנית בגישה ובנתוני האנליטיקס. לכן מכבים אותו ברגע שהמתקפה נגמרת.
שימו לב: אפליקציות מובייל, Webhooks של חברות סליקה וחיבורי API לא מריצים JavaScript ועלולים להיחסם. בחנות, בדקו אחרי ההפעלה שתשלומים עדיין עוברים. ראו התראות תשלום שלא מגיעות לווקומרס.
הקוד BFCM802 מוריד 80% מהחשבון בחודשיים הראשונים (עד 200$ הנחה בחודש), כולל העברת אתרים חינם בלי הגבלה. ללקוחות חדשים בלבד, ורק עד סוף המבצע.
המבצע מסתיים ב-4 בדצמבר 2026, ב-23:59 שעון ישראל.
מתחילים בניסיון חינם, בלי כרטיס אשראי. את הקוד מזינים בקופה ובודקים שהוא מופיע.
אחרי בלאק פריידי: 30% הנחה ל-3 חודשים עם הקוד ASAEL. בשרת גדול (מעל כ-444$ בחודש) ASAEL משתלם יותר כבר עכשיו. למחשבון BFCM802 מול ASAEL
פותחים שרת ניסיון חינם, בלי כרטיס אשראי. כשעוברים לתוכנית בתשלום, הקוד ASAEL מוריד 30% מהחשבון בשלושת החודשים הראשונים.
הקישור ממלא את הקוד בטופס ההרשמה. רק ודאו שהוא מופיע.
האם Cloudflare חינם מספיק נגד DDoS?
לרוב המתקפות, כן. לפי התיעוד של Cloudflare, הגנת DDoS בלי הגבלה, בשכבות 3 עד 7, כלולה בכל התוכניות, כולל החינמית. ההבדל הוא בכלים שמסביב: ניהול בוטים, Rate Limiting גמיש ותמיכה. אפשר לראות מה Cloudflare חוסמת בפועל במדריך אירועי האבטחה ב-Cloudflare.
| יכולת | Cloudflare חינם | Cloudflare Enterprise דרך קלאודוויז |
|---|---|---|
| הגנת DDoS שכבות 3–7 | כן | כן |
| ניהול בוטים | Bot Fight Mode, בלי החרגות דרך WAF | Bot Management ברמת Enterprise |
| Rate Limiting | בהגדרה ידנית בחשבון שלכם, לפי התוכנית | מופעל כברירת מחדל |
| עלות | 0$ | 4.99$ לדומיין בחודש (1–4 דומיינים), נכון ל-7.11.2026 |
לפי התיעוד של Bot Fight Mode, אי אפשר להחריג ממנו כתובות עם חוקי WAF, והוא עלול לאתגר תעבורת API ומובייל. השוואה מלאה: Cloudflare Enterprise בקלאודוויז, ומחירים במחירון התוספים.
איך מתכוננים למתקפה הבאה?
- הפעילו Cloudflare (חינם או Enterprise) לפני שיש מתקפה. הפעלה באמצע מתקפה דורשת שינוי DNS, ועד 24 שעות התפשטות.
- חסמו גישה ישירה ל-IP של השרת, כדי שאי אפשר יהיה לעקוף את Cloudflare.
- הגבילו את wp-login.php ו-xmlrpc.php. קלאודוויז מגנה מניסיונות התחברות חוזרים ב-SSH וב-HTTP.
- ודאו שהקאש עובד: עמוד מהקאש עולה לשרת כמעט כלום, גם תחת עומס.
- רשמו מראש מי מטפל, מאיפה נכנסים לפאנל, ואיפה המתגים. בזמן מתקפה אין זמן לחפש.
ביטוח נוסף: גיבוי עדכני. מתקפת DDoS לא גונבת מידע, אבל לפעמים משמשת להסוואה של פריצה. מדריך הקשחה: שיפור האבטחה בקלאודוויז.
שאלות נפוצות
הסימנים הנפוצים הם שגיאות 502/504, CPU של השרת ב-100% ותעבורה חריגה בלי עלייה בגולשים אמיתיים ב-Analytics. בקלאודוויז, מסך Traffic באפליקציה מראה אילו כתובות IP ו-URL שולחים הכי הרבה בקשות.
מצב חירום של Cloudflare שבו כל גולש עובר בדיקת דפדפן קצרה לפני הכניסה לאתר, ובוטים זדוניים נחסמים. הוא מיועד למתקפות בשכבת האפליקציה, ומפעילים אותו רק בזמן מתקפה כי הוא פוגע זמנית בחוויה ובאנליטיקס.
כן, ברמה הבסיסית. כל השרתים כוללים הגנת DDoS בשכבות 3–4, ושרתי Flexible מוגנים בחומת אש ברמת השרת (Imunify360). למתקפות בשכבת האפליקציה מומלץ Cloudflare, חינם או דרך תוסף Cloudflare Enterprise.
בדרך כלל לא. DDoS נועדה להפיל את האתר, לא לפרוץ אליו. לפעמים היא משמשת להסחת דעת מפריצה, ולכן אחרי מתקפה כדאי לבדוק משתמשים, קבצים ויומני אבטחה.
כן. בלשונית Security של השרת, במסך Firewall, אפשר לחסום כתובות IP, טווחי כתובות ומדינות. לפני שחוסמים מדינה, ודאו שאין לכם שם לקוחות או שירותים חיצוניים שצריכים גישה.
כן, הגנת DDoS בלי הגבלה כלולה גם בתוכנית החינמית, לפי Cloudflare. מה שחסר בחינם הוא בעיקר ניהול בוטים מתקדם ו-Rate Limiting גמיש, שחשובים במתקפות בשכבת האפליקציה.
מדריכים קשורים
- הגנה מבוטים בקלאודוויז
- Cloudflare Enterprise בקלאודוויז
- מחירון התוספים של קלאודוויז
- שגיאות 502 ו-504: מה בודקים
- סקירת קלאודוויז: למי זה מתאים
- כל מדריכי האבטחה
מקורות
- Cloudflare DDoS Protection – הגנה בלי הגבלה, שכבות 3–7, בכל התוכניות (נבדק 07.11.2026)
- Under Attack mode – Cloudflare Docs (בדיקה עד 5 שניות, השפעה על אנליטיקס)
- Bot Fight Mode – Cloudflare Docs
- Cloudways Managed Security – DDoS שכבות 3–4, Imunify360, חסימת IP ומדינות
- How to Enable Cloudflare on Your Application – Cloudways KB (Under Attack Mode, WAF, Rate Limiting)
- A Brief Guide to Server Security Management – Cloudways KB (Overview, Incidents, Firewall)
- How to Monitor Traffic Statistics of an Application – Cloudways KB
- How to Block Direct Web Traffic Pointed Towards Server’s IP – Cloudways KB
מקור רשמי: Cloudways Knowledge Base ו-Cloudflare Docs. המדריך נכתב ונבדק על ידי עשהאל דרייר · עודכן: 07.11.2026
גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים
