Cloudflare CWS: начните с одного правила.

Проверка до изменения, а не после

19 октября Cloudflare объявил о бета-версии Cloud Workload Security. Сервис проверяет запросы к облачным API ещё до того, как они дойдут до провайдера. В примере из документации он блокирует запрос, который сделал бы публичным хранилище R2. Именно эта деталь кажется мне полезной: правило должно останавливать конкретную ошибку там, где она может случиться.

Владельцу бизнеса стоит задать себе простой вопрос: какое рутинное изменение может открыть то, что должно оставаться закрытым? С этого я бы и начал — раньше, чем сравнивать панели управления разных продуктов или оформлять ещё одну подписку на защиту.

Что я бы проверил в 3tf

Первый эксперимент я хочу сделать нарочно узким: пустое тестовое хранилище, одно запрещённое изменение и подтверждение, что правило срабатывает. Это план внутреннего пилота, а не уже внедрённая система и не результат, полученный для клиента.

Здесь важно, как устроен сервис Cloudflare. Прокси работает в вашей инфраструктуре и проверяет запросы, которые через него проходят, а политики настраиваются в панели управления. Включённая политика ещё не доказывает, что все пути к ресурсу идут через этот прокси. Прежде чем говорить, что процесс защищён, я бы попросил нашу техническую команду нарисовать эти маршруты.

Внедрять сервис я бы стал только при двух результатах сразу: запрещённое изменение отклоняется, а разрешённая операция по-прежнему проходит. Если защита мешает команде работать, её начнут обходить. Поэтому измерять нужно обе стороны.

Три сценария, с которых можно начать

Портал с документами клиентов. Сервисная компания в Дубае может хранить загруженные файлы в закрытом объектном хранилище. Я бы проверил на тестовых файлах без реальных данных, блокируется ли именно операция открытия публичного доступа. Дальше стоит обсудить другие пути доступа, права и ссылки из приложения. Один успешный тест не доказывает, что защищены все документы клиентов.

Выкладка обновлений сайта. Перед запуском рекламной кампании разработчики иногда меняют настройки хранилища вместе с обновлением приложения. Я бы предложил прогон на тестовом стенде: политика с чётко заданными границами и конкретный человек, который отвечает за отклонённые запросы. Главный показатель — проходят ли штатные релизы без неожиданных остановок.

Общая среда разработки. Если облачные ресурсы меняют несколько человек или скриптов, я бы сравнил задуманную политику с тем, какие решения по запросам принимаются на деле. Так можно найти пробелы в маршрутизации или слишком широкие правила. Совместимость каждой интеграции нужно проверять отдельно: я бы не рассчитывал, что поддерживаются любые облачные сервисы и инструменты.

Как я бы провёл пилот

Сначала нужно простыми словами договориться, какое действие запрещено. Затем технический ответственный проходит инструкцию Cloudflare с тестовым хранилищем, включает режим блокировки и проверяет, в каком состоянии остался ресурс после разрешённой и после отклонённой операции. Реальных данных клиентов в эксперименте быть не должно.

Для каждого случая фиксируются сам запрос, ожидаемое и фактическое решение и время, которое ушло на разбор неожиданного результата. Отдельно стоит посмотреть, что происходит с запросами, не подпавшими ни под одно правило, и с ошибками политик. А порядок восстановления после сбоя нужно согласовать до того, как обсуждать запуск на рабочих системах.

Что проверить компаниям в ОАЭ

CWS пока в бета-версии. По словам Cloudflare, нужна подписка Zero Trust, и для неё достаточно бесплатного тарифа Free. Но расходы на разработку, хостинг и поддержку от этого не исчезают. Кроме того, по инструкции для настройки нужны технический доступ и прокси, который вы запускаете у себя.

Из анонса, который я изучил, не следует, что сервис размещается в ОАЭ, хранит данные в стране или подходит под местное регулирование. Это нужно отдельно проверять для конкретного внедрения. И текущие права доступа в облаке по-прежнему имеют значение.

Мой вывод: сервис заслуживает небольшого эксперимента с наглядными результатами. Прежде чем включать его в стандарт проектов 3tf, я хочу увидеть данные о покрытии, ложных блокировках и ответственных. Точное правило с понятным тестом — лучшее начало, чем широкое обещание безопасности.

Источники и даты

Первоисточники, проверены 20 октября 2026: анонс бета-версии Cloudflare от 19 октября; обзор продукта; инструкция с тестовым хранилищем; проверка запросов; требования к платформе. Документация обновлена 19 октября. Сценарии применения выше — мои предложения. Речь не идёт о партнёрстве или результатах внедрения.