Cara pasang Cloudflare WAF (Web Application Firewall) dilakukan langsung melalui dashboard Cloudflare dengan mengaktifkan aturan keamanan (Security Rules) serta mengonfigurasi managed rulesets untuk memblokir lalu lintas berbahaya secara otomatis sebelum mencapai server asal. Cloudflare WAF tersedia mulai dari paket gratis hingga enterprise, dengan tingkat kustomisasi aturan yang semakin mendalam pada paket berbayar.
Web Application Firewall bekerja dengan memfilter, memantau, dan memblokir lalu lintas HTTP/HTTPS bolak-balik antara aplikasi web dan internet. Melalui sistem ini, celah kerentanan aplikasi seperti injeksi kode berbahaya, Cross-Site Scripting (XSS), dan brute force login dapat dicegah tanpa harus mengubah kode sumber aplikasi di server hosting.
Persyaratan Awal Sebelum Konfigurasi WAF
Sebelum mengaktifkan dan mengatur WAF di Cloudflare, pastikan beberapa prasyarat teknis berikut telah terpenuhi agar proses integrasi berjalan lancar tanpa gangguan akses pengguna sah:
- Domain sudah diarahkan (pointing nameserver) ke akun Cloudflare.
- Status proxy Cloudflare pada menu DNS aktif (ikon awan oranye/proxied), bukan DNS only (abu-abu).
- Akses login ke dashboard Cloudflare dengan hak administrator atau super administrator.
Tabel Perbandingan Fitur WAF Cloudflare Berdasarkan Paket
| Fitur WAF | Free Plan | Pro Plan | Business Plan |
|---|---|---|---|
| Custom WAF Rules | 5 Aturan | 20 Aturan | 100 Aturan |
| Cloudflare Managed Rulesets | Terbatas | Ya | Ya |
| OWASP Core Ruleset | Tidak | Ya | |
| Rate Limiting Lanjutan | Dasar | Tersedia | Tersedia |
Langkah-Langkah Teknis Cara Pasang Cloudflare WAF
Ikuti tahapan sistematis berikut untuk mengaktifkan dan mengonfigurasi perlindungan WAF pada situs web Anda:
1. Masuk ke Menu Keamanan (Security)
Login ke dasbor Cloudflare, pilih domain yang ingin diamankan, kemudian navigasikan ke menu Security di bilah sisi kiri, lalu klik submenu WAF.
2. Konfigurasi Managed Rules (Aturan Kelolaan Cloudflare)
Pada tab Managed rules, Anda dapat mengaktifkan kumpulan aturan bawaan Cloudflare untuk mendeteksi kerentanan umum:
- Klik tombol Deploy ruleset jika opsi belum aktif.
- Pilih aksi default untuk aturan yang cocok, umumnya disetel ke Block atau Managed Challenge untuk memverifikasi apakah pengunjung adalah manusia atau bot otomatis.
- Simpan perubahan.
3. Membuat Custom WAF Rule (Aturan Kustom)
Jika Anda ingin membuat aturan spesifik, misalnya memblokir akses ke direktori login admin dari negara tertentu atau IP tertentu, gunakan Custom Rules:
- Buka tab Custom rules dan klik Create rule.
- Beri nama aturan pada kolom Rule name (contoh: Blokir Akses WP-Admin Asing).
- Tentukan kondisi pada bagian When incoming requests match. Contoh ekspresi untuk melindungi halaman admin:
(http.request.uri.path contains "/wp-login.org" and ip.geoip.country ne "ID") - Pilih tindakan (Action) pada bagian Choose an action, seperti Block atau JS Challenge.
- Klik Deploy untuk mengaktifkan aturan tersebut secara real-time.
Tips Troubleshooting & Best Practices
Kesalahan umum saat memasang WAF adalah membuat aturan yang terlalu ketat sehingga memblokir mesin pencari (crawler) atau pengguna sah. Gunakan mode Log atau Simulation terlebih dahulu pada aturan baru untuk memantau apakah ada false positive sebelum menerapkan aksi blokir mutlak. Selalu periksa menu Security > Events untuk melihat log serangan yang berhasil dicegah beserta detail alamat IP dan User-Agent penyerang.