Cloudflare免费套餐的自定义WAF规则只有5条，很多人看到这个数字的第一反应是“5条能干什么”，然后就不再往下看了。但按官方文档的口径，免费版除了这5条自定义规则，还能用免费的托管规则集、1条限速规则、IP访问规则、User Agent封禁、区域锁定等一批功能。真正的问题从来不是5条够不够，而是这5条你有没有放在最值钱的位置上。
先把免费与付费的边界说清楚，免得你把力气花在根本用不上的地方。自定义规则的数量按套餐分：免费5条、Pro20条、Business100条、Enterprise1000条，而且免费版不支持正则表达式匹配。限速规则更紧张，免费版只有1条，计数周期固定10秒、缓解时间固定10秒、按IP计数，没有自定义计数表达式。这两项是免费版最硬的约束，其余的功能基本都在。
限速只有一条这件事，决定了它该用在哪里。正确的位置是登录接口和表单提交接口——这两个地方被刷的代价最直接，要么是被撞库，要么是被灌垃圾内容。有人把它用在首页，指望“限速保护全站”，结果正常访客翻页快一点就被拦，而恶意流量换个IP就绕过去了。限速按IP计数，对固定IP的攻击有效，对分散的IP代理池效果有限，这一点在配置时就该心里有数。
托管规则集是免费的，应该第一个打开
很多人配置防护时是从自定义规则开始的，顺序反了。官方文档明确列着，免费版可以使用WAF托管规则集，也就是免费的那套预置规则集，它由官方团队持续更新，覆盖大量已知漏洞的探测特征，而且不占用那5条自定义额度。应该先把它打开，观察一段时间，让它在安全事件里把攻击流量筛出来，然后再去决定自定义规则写什么。
——
本文节选自 A5 创业网 的《Cloudflare免费版有5条WAF规则，用满了能挡住大部分CC攻击》，原文链接：https://www.admin5.com/article/20261009/16704316.shtml
