# Domaines Cloudflare

{{#include ../../banners/hacktricks-training.md}}

Dans chaque TLD configuré dans Cloudflare, il y a des **paramètres et services généraux** qui peuvent être configurés. Sur cette page, nous allons **analyser les paramètres liés à la sécurité de chaque section :**

<figure><img src="../../images/image (101).png" alt=""><figcaption></figcaption></figure>

### Vue d'ensemble

- [ ] Avoir une idée de **combien** les services du compte sont **utilisés**
- [ ] Trouver également le **zone ID** et le **account ID**

### Analytique

- [ ] Dans **`Sécurité`**, vérifier s'il y a une **limitation de taux**

### DNS

- [ ] Vérifier les données **intéressantes** (sensibles ?) dans les **enregistrements DNS**
- [ ] Vérifier les **sous-domaines** qui pourraient contenir des **informations sensibles** juste en se basant sur le **nom** (comme admin173865324.domin.com)
- [ ] Vérifier les pages web qui **ne sont pas** **proxyées**
- [ ] Vérifier les **pages web proxyées** qui peuvent être **accessées directement** par CNAME ou adresse IP
- [ ] Vérifier que **DNSSEC** est **activé**
- [ ] Vérifier que **CNAME Flattening** est **utilisé** dans **tous les CNAMEs**
- Cela pourrait être utile pour **cacher les vulnérabilités de prise de contrôle de sous-domaines** et améliorer les temps de chargement
- [ ] Vérifier que les domaines [**ne sont pas vulnérables au spoofing**](https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-smtp/index.html#mail-spoofing)

### **Email**

TODO

### Spectrum

TODO

### SSL/TLS

#### **Vue d'ensemble**

- [ ] Le **chiffrement SSL/TLS** devrait être **Complet** ou **Complet (Strict)**. Tout autre enverra du **trafic en clair** à un moment donné.
- [ ] Le **Recommander SSL/TLS** devrait être activé

#### Certificats Edge

- [ ] **Always Use HTTPS** devrait être **activé**
- [ ] **HTTP Strict Transport Security (HSTS)** devrait être **activé**
- [ ] **La version minimale de TLS devrait être 1.2**
- [ ] **TLS 1.3 devrait être activé**
- [ ] **Automatic HTTPS Rewrites** devrait être **activé**
- [ ] **Certificate Transparency Monitoring** devrait être **activé**

### **Sécurité**

- [ ] Dans la section **`WAF`**, il est intéressant de vérifier que les **règles de pare-feu** et de **limitation de taux sont utilisées** pour prévenir les abus.
- L'action **`Bypass`** désactivera les fonctionnalités de sécurité de Cloudflare pour une requête. Elle ne devrait pas être utilisée.
- [ ] Dans la section **`Page Shield`**, il est recommandé de vérifier qu'elle est **activée** si une page est utilisée
- [ ] Dans la section **`API Shield`**, il est recommandé de vérifier qu'elle est **activée** si une API est exposée dans Cloudflare
- [ ] Dans la section **`DDoS`**, il est recommandé d'activer les **protections DDoS**
- [ ] Dans la section **`Paramètres`** :
- [ ] Vérifier que le **`Niveau de Sécurité`** est **moyen** ou supérieur
- [ ] Vérifier que le **`Challenge Passage`** est de 1 heure au maximum
- [ ] Vérifier que le **`Vérification de l'Intégrité du Navigateur`** est **activée**
- [ ] Vérifier que le **`Support de Privacy Pass`** est **activé**

#### **Protection DDoS de CloudFlare**

- Si possible, activez le **Mode de Lutte contre les Bots** ou le **Mode de Lutte contre les Super Bots**. Si vous protégez une API accessible de manière programmatique (depuis une page frontale JS par exemple). Vous pourriez ne pas être en mesure d'activer cela sans rompre cet accès.
- Dans **WAF** : Vous pouvez créer des **limites de taux par chemin URL** ou pour des **bots vérifiés** (règles de limitation de taux), ou pour **bloquer l'accès** basé sur IP, Cookie, référent...). Ainsi, vous pourriez bloquer les requêtes qui ne proviennent pas d'une page web ou qui n'ont pas de cookie.
- Si l'attaque provient d'un **bot vérifié**, au moins **ajoutez une limite de taux** aux bots.
- Si l'attaque est dirigée vers un **chemin spécifique**, comme mécanisme de prévention, ajoutez une **limite de taux** dans ce chemin.
- Vous pouvez également **whitelister** des adresses IP, des plages IP, des pays ou des ASN depuis les **Outils** dans WAF.
- Vérifiez si les **règles gérées** pourraient également aider à prévenir les exploitations de vulnérabilités.
- Dans la section **Outils**, vous pouvez **bloquer ou donner un défi à des IP spécifiques** et **agents utilisateurs.**
- Dans DDoS, vous pourriez **remplacer certaines règles pour les rendre plus restrictives**.
- **Paramètres** : Réglez le **Niveau de Sécurité** sur **Élevé** et sur **Sous Attaque** si vous êtes sous attaque et que la **Vérification de l'Intégrité du Navigateur est activée**.
- Dans Domaines Cloudflare -> Analytique -> Sécurité -> Vérifiez si la **limite de taux** est activée
- Dans Domaines Cloudflare -> Sécurité -> Événements -> Vérifiez les **Événements malveillants détectés**

### Accès

{{#ref}}
cloudflare-zero-trust-network.md
{{#endref}}

### Vitesse

_Je n'ai pas trouvé d'option liée à la sécurité_

### Mise en cache

- [ ] Dans la section **`Configuration`**, envisagez d'activer l'**outil de scan CSAM**

### **Routes des Workers**

_Vous devriez déjà avoir vérifié_ [_cloudflare workers_](#workers)

### Règles

TODO

### Réseau

- [ ] Si **`HTTP/2`** est **activé**, **`HTTP/2 to Origin`** devrait être **activé**
- [ ] **`HTTP/3 (avec QUIC)`** devrait être **activé**
- [ ] Si la **vie privée** de vos **utilisateurs** est importante, assurez-vous que **`Onion Routing`** est **activé**

### **Trafic**

TODO

### Pages personnalisées

- [ ] Il est optionnel de configurer des pages personnalisées lorsqu'une erreur liée à la sécurité est déclenchée (comme un blocage, une limitation de taux ou le mode je suis sous attaque)

### Applications

TODO

### Scrape Shield

- [ ] Vérifiez que l'**Obfuscation des adresses email** est **activée**
- [ ] Vérifiez que les **Exclusions côté serveur** sont **activées**

### **Zaraz**

TODO

### **Web3**

TODO

{{#include ../../banners/hacktricks-training.md}}
