Quando un sito web è bersagliato da traffico anomalo, bot aggressivi o un possibile attacco DDoS di livello applicativo, Cloudflare offre la modalità “I’m Under Attack”, pensata per aumentare temporaneamente i controlli sulle richieste HTTP.

La modalità introduce una verifica prima di consentire l’accesso al sito e può bloccare parte del traffico sospetto.

🛡️ Cos’è la modalità Under Attack?

I’m Under Attack Mode, spesso abbreviata in IUAM, è una funzione di protezione di Cloudflare progettata soprattutto per situazioni in cui un sito è effettivamente sotto attacco.

Quando viene attivata, Cloudflare applica controlli di sicurezza aggiuntivi e presenta ai visitatori una pagina intermedia di verifica. Il visitatore legittimo viene normalmente autorizzato dopo il controllo, mentre il traffico sospetto può essere bloccato.

Non è quindi una semplice impostazione da lasciare sempre attiva.

Consiglio: utilizzala soprattutto durante un attacco o un picco di traffico chiaramente anomalo.

---

🔐 Come attivare Under Attack Mode

La procedura può variare leggermente in base alla versione della dashboard Cloudflare utilizzata.

1. Accedi a Cloudflare

Entra nella dashboard Cloudflare e seleziona:

Account → dominio da proteggere

È necessario che il dominio sia già gestito attraverso Cloudflare.

2. Apri le impostazioni di sicurezza

Nella nuova dashboard puoi raggiungere le impostazioni di sicurezza attraverso:

Security → Settings

Cloudflare indica Security Level: I’m under attack mode tra le impostazioni disponibili.

3. Cerca “Under Attack Mode”

Individua:

Security Level → I’m Under Attack

e attiva l’impostazione.

Nella dashboard classica, Cloudflare indica anche la possibilità di attivarla direttamente dalla pagina della zona tramite Quick Actions → Under Attack Mode.

---

⚡ Cosa succede dopo l’attivazione?

Il comportamento del sito cambia immediatamente.

Un visitatore può visualizzare una schermata di verifica prima di accedere alla pagina.

Cloudflare utilizza una Managed Challenge, attraverso la quale determina se la richiesta deve essere autorizzata.

In pratica:

Visitatore → Cloudflare → controllo di sicurezza → sito

anziché:

Visitatore → sito

Questo permette di filtrare una parte significativa del traffico automatizzato.

---

⏱️ La verifica dura pochi secondi

La pagina di controllo può rimanere visualizzata per alcuni secondi mentre Cloudflare analizza la richiesta.

Una volta superato il controllo, il visitatore può continuare a navigare normalmente. Il comportamento successivo dipende anche dalla configurazione del Challenge Passage.

---

🌍 Posso proteggere soltanto una parte del sito?

Sì.

Questa è una soluzione particolarmente interessante per siti complessi.

È possibile utilizzare una Configuration Rule per applicare Under Attack soltanto a determinati percorsi.

Per esempio, potresti proteggere:

/admin

oppure una specifica area dell’applicazione.

Cloudflare permette di creare una regola basata sul percorso URI e impostare I’m Under Attack soltanto quando la richiesta corrisponde alla condizione scelta.

---

🎯 Esempio: proteggere WordPress

Immaginiamo un sito WordPress che riceva un’ondata di richieste sospette.

Invece di applicare necessariamente Under Attack a tutto il dominio, puoi valutare una regola mirata verso una determinata area.

Ad esempio:

/wp-login.php

oppure:

/wp-admin

⚠️ Bisogna però prestare attenzione: proteggere indiscriminatamente determinate URL può interferire con login, API, servizi esterni e strumenti amministrativi.

---

🚨 Attenzione alle API

Under Attack Mode può interferire con alcune applicazioni che non si comportano come un normale browser.

Cloudflare avverte infatti che la modalità può influenzare API e altri tipi di traffico applicativo.

È quindi opportuno prestare attenzione se il sito utilizza:

• API REST;
• applicazioni mobile;
• webhook;
• sistemi di pagamento;
• integrazioni esterne;
• servizi automatici;
• software gestionali.

Una protezione eccessivamente aggressiva può trasformarsi in un piccolo boomerang tecnologico. 🪃

---

📊 Controllare il traffico prima di attivarla

Prima di lasciare Under Attack attiva, è utile analizzare il traffico ricevuto dal sito.

Cloudflare mette a disposizione strumenti di analisi della sicurezza e delle richieste HTTP che consentono di individuare traffico anomalo e regole che stanno intervenendo.

Questo permette di capire se il problema è realmente:

• DDoS;
• bot;
• scansioni automatiche;
• tentativi ripetuti di accesso;
• traffico proveniente da determinate aree;
• abuso di specifici endpoint.

---

🧱 Under Attack non è l’unica protezione

Cloudflare offre numerosi strumenti complementari.

Tra questi troviamo:

• WAF;
• regole personalizzate;
• rate limiting;
• Bot Fight Mode;
• protezione DDoS;
• IP Access Rules;
• Managed Rules.

Ad esempio, Bot Fight Mode può essere utilizzato per rilevare e mitigare traffico generato da bot e automatismi sospetti.

Per questo motivo non è sempre necessario attivare Under Attack per qualsiasi aumento di traffico.

---

🔄 Come disattivare Under Attack Mode

Quando l’attacco è terminato, è consigliabile tornare alla configurazione normale.

Accedi nuovamente a:

Cloudflare → dominio → Security → Settings

e disattiva:

I’m Under Attack Mode

Nella dashboard precedente, la modalità può essere disattivata utilizzando lo stesso controllo con cui è stata attivata.

---

❗ Errori da evitare

Lasciarla attiva permanentemente

Non è generalmente consigliato. Cloudflare la descrive come una misura da utilizzare come ultima risorsa quando il sito è sotto attacco.

Attivarla per un normale aumento di visite

Un improvviso successo sui social non significa necessariamente DDoS.

Prima analizza il traffico.

Dimenticare API e servizi esterni

Una challenge può interferire con sistemi automatici che non possono completare normalmente il controllo.

Non controllare Analytics

La presenza della pagina intermedia può influenzare alcuni strumenti di analisi di terze parti.

---

🧩 Procedura consigliata

In caso di attacco:

1. Analizza il traffico

⬇️

2. Identifica URL e sorgenti coinvolte

⬇️

3. Attiva Under Attack Mode

⬇️

4. Controlla che sito, login e API funzionino

⬇️

5. Monitora il traffico

⬇️

6. Quando l’attacco termina, disattiva la modalità

Questo approccio evita di mantenere inutilmente una protezione particolarmente invasiva.

Conclusione

La modalità Cloudflare I’m Under Attack è uno strumento potente per aumentare rapidamente la protezione di un sito durante un attacco.

La procedura principale è:

Cloudflare → dominio → Security → Settings → Security Level → I’m Under Attack Mode → ON

Può essere applicata anche selettivamente tramite regole di configurazione.

🔐 Usala soprattutto durante un vero attacco o quando il traffico anomalo lo giustifica, poi disattivala quando la situazione torna normale.