새 룰은 Log 로 시작합니다지켜본 뒤 Block·Challenge 로 바꾸는 순서

Log 는 통과시키므로 같은 요청이 뒤의 요청 수 제한이나 관리형 룰에서 막힐 수는 있습니다.

챌린지가 안 맞는 API 경로라면 룰을 걸기 전에 Security Analytics? 에서 같은 조건으로 «걸릴 요청»부터 셉니다.

도메인 › Security › Analytics › Traffic 탭 › Filter

Free 플랜의 Events 탭은 표본 로그(Sampled logs)만 보여 줍니다.

도메인 › Security › Analytics › Events 탭 › Add filter › Rule ID › Sampled logs 한 줄 펼치기

섞였다면 중급의 «정상 요청은 어떻게 빼나요?»로 넘어갑니다.

왜 1주일인가요? Cloudflare 도 새 관리형 룰을 첫 주엔 Log 로 돌립니다. 평일과 주말도 한 번씩 거칩니다.

Cloudflare 는 대부분의 WAF? 룰에 Managed Challenge 를 권합니다. 페이지 안 AJAX 호출은 챌린지가 실패하므로 Turnstile? 사전 통과를 씁니다.

curl 같은 명령줄 도구와 Selenium 같은 자동화 브라우저는 운영 환경의 챌린지를 풀지 못합니다.

• 룰 이름에 관찰을 끝낼 날짜를 적어 둡니다.
• 막은 건수가 0 이면 아직 Log 인지부터 봅니다. «Mitigated by WAF» 수치에는 Log 건이 빠집니다.

도메인 › Security › Analytics › Events 탭 › Add filter › Rule ID equals (룰 ID)

• 값에 마우스를 올려 Filter, Exclude 로 바로 좁히거나 뺍니다.
• Events summary 는 Action, Host, Country 별로 건수를 묶습니다.
• 필터를 건 URL 을 보내면 동료도 같은 화면을 엽니다.

필터 값엔 따옴표와 와일드카드를 쓰지 않고, ASN 은 숫자만 넣습니다(예: 64500).

그래프가 최근 며칠을 비워 보이면 기간을 바꾸거나 표, API 로 다시 셉니다. 2026-10-15 랩 존도 그래프는 10-10 이후 비었지만 GraphQL 에는 매일 이벤트가 있었습니다.

(http.host eq "www.example.com" and starts_with(http.request.uri.path, "/login"))
and not (ip.src in $monitoring_ips or cf.client.bot)

1. 호스트와 경로로 범위부터 줄입니다. 존 전체 룰은 이미지 서버나 웹훅 주소까지 건드립니다.
2. 고정 출발지의 연동과 모니터링은 IP 목록으로 뺍니다($monitoring_ips 는 예시).
3. 검색 엔진 같은 좋은 봇은 cf.client.bot 으로 뺍니다.

User-Agent 처럼 요청이 밝히는 값은 바꿔 보내기 쉬워 기준으로 맞지 않습니다.

잘 도는 룰의 조건은 넓히지 않습니다. 넓혀야 하면 새 룰로 Log 부터 다시 합니다.

도메인 › Security › Security rules › 룰 이름 › Choose action › 저장

• Block 은 Pro 이상에서 응답 형식과 상태 코드(400~499, 기본 403)를 바꿀 수 있습니다.
• 식 오류나 플랜에 없는 기능이면 대시보드가 저장을 막습니다.
• 변경 기록은 계정 Audit logs 에 남습니다.

바꾼 뒤 같은 룰 ID 로 Log 대신 Block(또는 챌린지)이 찍히는지 보고, 1주 더 지켜봅니다.

CSR = 풀린 챌린지 수 ÷ 낸 챌린지 수

도메인 › Security › Security rules › 해당 룰의 CSR

자동화는 대개 챌린지를 보자마자 떠나므로 실패 건수가 큰 것은 이상하지 않습니다.

Events 탭의 challengeSolved 는 앞서 낸 챌린지를 풀었다는 기록이라 룰 조건과 달라 보여도 정상입니다.

1주 동안 본 것은 «그 조건»의 요청입니다. 조건까지 넓히면 아무도 본 적 없는 요청이 바로 막힙니다.

• 넓힐 때는 새 룰을 Log(다른 플랜은 Managed Challenge)로 다시 시작합니다.
• 좁히는 수정(예외 추가)은 관찰 중인 룰에 바로 해도 됩니다.

GET /zones/{zone_id}/rulesets/phases/http_request_firewall_custom/entrypoint

응답의 id 가 룰셋 ID, rules 에 각 룰의 ID 와 정의가 있습니다.

PATCH /zones/{zone_id}/rulesets/{ruleset_id}/rules/{rule_id}
{"action": "block", "expression": "(지금 식)", "description": "(지금 설명)", "enabled": true}

• 호출마다 룰셋의 새 버전이 생깁니다.

같은 룰셋을 동시에 여러 요청으로 고치면 속도 제한에 걸릴 수 있어, 여러 룰은 룰셋 전체를 한 번에 갱신합니다.

GET /zones/{zone_id}/rulesets/phases/http_request_firewall_custom/entrypoint/versions
GET /zones/{zone_id}/rulesets/phases/http_request_firewall_custom/entrypoint/versions/{version}

1. 버전 목록에서 바꾸기 전 번호를 찾습니다(목록에는 룰이 없음).
2. 그 번호로 조회해 그 버전의 룰 정의를 꺼냅니다.
3. 꺼낸 정의로 룰셋을 갱신(PUT)합니다. 먼저 dry_run=true 로 검사할 수 있습니다.

PUT 은 본문에 없는 룰을 지우니 지금 버전도 먼저 따로 저장해 둡니다.

• 요청이 많을수록 더 적은 비율만 봅니다(적응형 표본 추출).
• 기간을 좁히면 표본이 줄거나 사라지니 오탐은 하루나 한 시간 단위로 찾습니다.
• 목록은 한 번에 500건까지 내보냅니다(Business 이상).

전체 기록은 Logpush? 나 유료 Log Explorer 로 받습니다. Logpush 는 2026-09-30 부터 모든 플랜에서 되며 데이터셋은 제품마다 다릅니다.

PATCH /zones/{zone_id}/rulesets/{ruleset_id}/rules/{rule_id}?dry_run=true

• 식 문법과 필드·함수·연산자 사용 가능 여부
• 액션과 파라미터, 단계(phase) 호환
• 권한, 플랜 기능, 룰 개수 한도
• 룰이 참조하는 자원(목록 등)

만들기, 고치기, 지우기에 모두 붙고, 성공하면 평소 200 인 요청이 result: null 을 줍니다.

통과가 «정상 사용자를 막지 않는다»는 뜻은 아니며, 그 판단은 Log 관찰이 맡습니다.

PUT(룰셋 갱신)은 본문의 룰 목록으로 룰셋 전체를 바꿔, 한 룰만 담으면 나머지가 사라집니다.

• 룰 하나는 PATCH, 여러 룰을 한꺼번에 바꿀 때만 PUT 에 전체 목록을 담습니다.
• 어느 쪽이든 dry_run=true 검사와 버전 번호 기록을 먼저 합니다.