WAF Koruması Nedir ve Cloudflare’da Nasıl Etkinleştirilir?

WAF (Web Application Firewall), web uygulamalarınızı SQL Injection, XSS, CSRF ve DDoS gibi saldırılardan koruyan bir güvenlik katmanıdır. Gelen HTTP/HTTPS trafiğini analiz ederek zararlı isteklere karşı filtreleme yapar. Bu makalede, WAF’in ne olduğunu, nasıl çalıştığını ve Cloudflare üzerinden nasıl etkinleştirileceğini adım adım inceleyeceğiz.

1) WAF Nedir?

WAF (Web Application Firewall), uygulama katmanındaki (Layer 7) saldırıları tespit edip engelleyen özel bir güvenlik sistemidir. Gelen trafiği analiz eder ve belirli kurallara göre filtre uygular. Özellikle web formları, giriş panelleri ve API uç noktaları için önemlidir.

• SQL Injection saldırılarını tespit eder.
• XSS (Cross-Site Scripting) denemelerini engeller.
• File Upload Abuse ve Bot Traffic’i sınırlandırır.

2) WAF Neden Gereklidir?

• Sunucuyu gereksiz yükten korur.
• Uygulama güvenlik açıklarını azaltır.
• Gerçek kullanıcı trafiğini kötü niyetli taleplerden ayırır.
• Veri sızıntılarını önler ve SLA sürekliliğini sağlar.

3) Cloudflare Üzerinde WAF’in Rolü

Cloudflare WAF, tüm web trafiğini proxy üzerinden geçirir ve OWASP Top 10 tabanlı kurallarla saldırıları önler. Ayrıca gerçek zamanlı tehdit istihbaratı (Threat Intelligence) kullanır.

Cloudflare WAF’in Sağladığı Avantajlar:

• Hazır OWASP kuralları (XSS, SQLi, CSRF vb.)
• IP Reputation ve Bot tespiti
• Custom Rule (Özel Güvenlik Kuralları) oluşturma
• DDoS mitigation

4) Cloudflare’da WAF Nasıl Aktif Edilir?

1. Cloudflare hesabınıza giriş yapın.
2. Koruma sağlamak istediğiniz domaini seçin.
3. Üst menüden Security → WAF sekmesine gidin.
4. “Managed Rules” bölümünü etkinleştirin.
5. Cloudflare Managed Ruleset’i aktif hale getirin.
6. İsteğe göre “WordPress”, “Joomla” veya “Drupal” gibi hazır profil kurallarını ekleyin.

5) Özel Kural (Custom Rule) Oluşturma

Cloudflare WAF, belirli IP, ülke veya URL bazlı kurallar tanımlamanıza izin verir.

Security → WAF → Create Rule

Örnek: Belirli bir ülkeyi engelleme

Field: Country | Operator: equals | Value: CN
Action: Block

6) Rate Limiting (İstek Oranı Sınırlama)

DDoS veya bot saldırılarına karşı istek sınırlandırması eklemek için:

Security → WAF → Tools → Rate Limiting Rules

Örneğin 1 dakikada 100 istekten fazlasını engelleyecek bir kural tanımlayabilirsiniz.

7) Firewall Events (Log İzleme)

Engellenen veya izin verilen istekleri izlemek için:

Security → Events

Burada hangi IP, URL veya saldırı türünün tetiklendiğini görebilirsiniz.

8) Cloudflare Free ve Pro Plan Farkı

• Free Plan: Temel DDoS koruması, sınırlı WAF erişimi.
• Pro Plan: OWASP kural seti + Custom Rules.
• Business/Enterprise: Gelişmiş Bot Management + özel IP Reputation.

9) Plesk veya cPanel ile Cloudflare WAF Kullanımı

cPanel ve Plesk üzerinde Cloudflare eklentisini kurarak doğrudan panel üzerinden WAF yönetimi yapılabilir:

Plesk → Extensions → Cloudflare → Enable WAF
cPanel → Security → Cloudflare Plugin

10) En İyi Uygulama Önerileri

• WAF kurallarını periyodik olarak güncelleyin.
• Custom Rule eklemeden önce test modunda çalıştırın.
• WordPress gibi CMS sistemlerinde XML-RPC isteklerini sınırlayın.
• Fail2Ban veya server-level firewall ile entegre kullanın.

Sonuç

WAF Koruması, web sitenizin en önemli savunma katmanlarından biridir. Cloudflare WAF, güçlü filtreleme kuralları ve global tehdit analiziyle web sitenizi modern saldırılara karşı proaktif biçimde korur. Kurumsal düzeyde güvenlik için WAF Koruma, Kurumsal Hosting ve Premium VDS çözümleri bir arada değerlendirilmelidir.