Intervalos de IP da Cloudflare
Os intervalos de endereços IPv4 e IPv6 atuais da Cloudflare, confirmados todos os dias na API da Cloudflare. Cole endereços IP dos registos do seu servidor de origem para ver quais são da Cloudflare e copie os intervalos como regras de nginx, Apache, iptables, ufw, nftables ou grupos de segurança da AWS.
Verificar endereços IP
- Funciona no seu navegador
- Atualizado diariamente a partir da Cloudflare
Ilimitado: funciona no seu navegador, sem necessidade de iniciar sessão
- 1Entrada
- 2Resultados
Passo 1
Este endereço IP é da Cloudflare?
Cole endereços IP, um por linha ou separados por vírgulas, ou cole linhas diretamente de um registo de acesso. Pode misturar IPv4 e IPv6; as portas, os parênteses retos e o resto da linha do registo são ignorados.
Intervalos
Intervalos de IP atuais da Cloudflare
Última atualização a 26 de outubro de 2026, a partir da API da Cloudflare. A lista é verificada novamente todos os dias. Fonte: cloudflare.com/ips
Intervalos IPv4 (15)
| Intervalo | Primeiro endereço | Último endereço | Endereços |
|---|---|---|---|
| 173.245.48.0/20 | 173.245.48.0 | 173.245.63.255 | 4096 |
| 103.21.244.0/22 | 103.21.244.0 | 103.21.247.255 | 1024 |
| 103.22.200.0/22 | 103.22.200.0 | 103.22.203.255 | 1024 |
| 103.31.4.0/22 | 103.31.4.0 | 103.31.7.255 | 1024 |
| 141.101.64.0/18 | 141.101.64.0 | 141.101.127.255 | 16 384 |
| 108.162.192.0/18 | 108.162.192.0 | 108.162.255.255 | 16 384 |
| 190.93.240.0/20 | 190.93.240.0 | 190.93.255.255 | 4096 |
| 188.114.96.0/20 | 188.114.96.0 | 188.114.111.255 | 4096 |
| 197.234.240.0/22 | 197.234.240.0 | 197.234.243.255 | 1024 |
| 198.41.128.0/17 | 198.41.128.0 | 198.41.255.255 | 32 768 |
| 162.158.0.0/15 | 162.158.0.0 | 162.159.255.255 | 131 072 |
| 104.16.0.0/13 | 104.16.0.0 | 104.23.255.255 | 524 288 |
| 104.24.0.0/14 | 104.24.0.0 | 104.27.255.255 | 262 144 |
| 172.64.0.0/13 | 172.64.0.0 | 172.71.255.255 | 524 288 |
| 131.0.72.0/22 | 131.0.72.0 | 131.0.75.255 | 1024 |
Intervalos IPv6 (7)
| Intervalo | Primeiro endereço | Último endereço |
|---|---|---|
| 2400:cb00::/32 | 2400:cb00:: | 2400:cb00:ffff:ffff:ffff:ffff:ffff:ffff |
| 2606:4700::/32 | 2606:4700:: | 2606:4700:ffff:ffff:ffff:ffff:ffff:ffff |
| 2803:f800::/32 | 2803:f800:: | 2803:f800:ffff:ffff:ffff:ffff:ffff:ffff |
| 2405:b500::/32 | 2405:b500:: | 2405:b500:ffff:ffff:ffff:ffff:ffff:ffff |
| 2405:8100::/32 | 2405:8100:: | 2405:8100:ffff:ffff:ffff:ffff:ffff:ffff |
| 2a06:98c0::/29 | 2a06:98c0:: | 2a06:98c7:ffff:ffff:ffff:ffff:ffff:ffff |
| 2c0f:f248::/32 | 2c0f:f248:: | 2c0f:f248:ffff:ffff:ffff:ffff:ffff:ffff |
Configurar
Configuração pronta a copiar
Gerada a partir dos intervalos acima. Reveja cada uma antes de a aplicar e mantenha uma forma de voltar a entrar: é fácil escrever uma regra de firewall que bloqueia o seu próprio acesso.
Coloque isto no bloco http. Os registos, os limites de taxa e as regras de permissão passam a ver o endereço do visitante em vez de um da Cloudflare.
Repor os IPs dos visitantes (nginx)
# Cloudflare IP ranges, retrieved 2026-10-26 from https://www.cloudflare.com/ips/ # Restores the visitor's address from CF-Connecting-IP (ngx_http_realip_module). set_real_ip_from 173.245.48.0/20; set_real_ip_from 103.21.244.0/22; set_real_ip_from 103.22.200.0/22; set_real_ip_from 103.31.4.0/22; set_real_ip_from 141.101.64.0/18; set_real_ip_from 108.162.192.0/18; set_real_ip_from 190.93.240.0/20; set_real_ip_from 188.114.96.0/20; set_real_ip_from 197.234.240.0/22; set_real_ip_from 198.41.128.0/17; set_real_ip_from 162.158.0.0/15; set_real_ip_from 104.16.0.0/13; set_real_ip_from 104.24.0.0/14; set_real_ip_from 172.64.0.0/13; set_real_ip_from 131.0.72.0/22; set_real_ip_from 2400:cb00::/32; set_real_ip_from 2606:4700::/32; set_real_ip_from 2803:f800::/32; set_real_ip_from 2405:b500::/32; set_real_ip_from 2405:8100::/32; set_real_ip_from 2a06:98c0::/29; set_real_ip_from 2c0f:f248::/32; real_ip_header CF-Connecting-IP;
Ative o mod_remoteip e coloque isto na configuração do servidor. Use %a no LogFormat para registar o endereço do visitante.
Repor os IPs dos visitantes (Apache)
# Cloudflare IP ranges, retrieved 2026-10-26 from https://www.cloudflare.com/ips/ # Restores the visitor's address from CF-Connecting-IP (mod_remoteip). RemoteIPHeader CF-Connecting-IP RemoteIPTrustedProxy 173.245.48.0/20 RemoteIPTrustedProxy 103.21.244.0/22 RemoteIPTrustedProxy 103.22.200.0/22 RemoteIPTrustedProxy 103.31.4.0/22 RemoteIPTrustedProxy 141.101.64.0/18 RemoteIPTrustedProxy 108.162.192.0/18 RemoteIPTrustedProxy 190.93.240.0/20 RemoteIPTrustedProxy 188.114.96.0/20 RemoteIPTrustedProxy 197.234.240.0/22 RemoteIPTrustedProxy 198.41.128.0/17 RemoteIPTrustedProxy 162.158.0.0/15 RemoteIPTrustedProxy 104.16.0.0/13 RemoteIPTrustedProxy 104.24.0.0/14 RemoteIPTrustedProxy 172.64.0.0/13 RemoteIPTrustedProxy 131.0.72.0/22 RemoteIPTrustedProxy 2400:cb00::/32 RemoteIPTrustedProxy 2606:4700::/32 RemoteIPTrustedProxy 2803:f800::/32 RemoteIPTrustedProxy 2405:b500::/32 RemoteIPTrustedProxy 2405:8100::/32 RemoteIPTrustedProxy 2a06:98c0::/29 RemoteIPTrustedProxy 2c0f:f248::/32
Aceita as portas 80 e 443 vindas da Cloudflare e descarta-as para todos os outros. As portas que o Docker publica contornam a cadeia INPUT; filtre-as na cadeia DOCKER-USER.
iptables e ip6tables
# Cloudflare IP ranges, retrieved 2026-10-26 from https://www.cloudflare.com/ips/ # Allows TCP 80,443 from Cloudflare only. Appends to INPUT: keep your SSH and # established-connection rules above these, and remove broader web rules. iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 173.245.48.0/20 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 103.21.244.0/22 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 103.22.200.0/22 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 103.31.4.0/22 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 141.101.64.0/18 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 108.162.192.0/18 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 190.93.240.0/20 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 188.114.96.0/20 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 197.234.240.0/22 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 198.41.128.0/17 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 162.158.0.0/15 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 104.16.0.0/13 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 104.24.0.0/14 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 172.64.0.0/13 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 131.0.72.0/22 -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 80,443 -j DROP ip6tables -A INPUT -p tcp -m multiport --dports 80,443 -s 2400:cb00::/32 -j ACCEPT ip6tables -A INPUT -p tcp -m multiport --dports 80,443 -s 2606:4700::/32 -j ACCEPT ip6tables -A INPUT -p tcp -m multiport --dports 80,443 -s 2803:f800::/32 -j ACCEPT ip6tables -A INPUT -p tcp -m multiport --dports 80,443 -s 2405:b500::/32 -j ACCEPT ip6tables -A INPUT -p tcp -m multiport --dports 80,443 -s 2405:8100::/32 -j ACCEPT ip6tables -A INPUT -p tcp -m multiport --dports 80,443 -s 2a06:98c0::/29 -j ACCEPT ip6tables -A INPUT -p tcp -m multiport --dports 80,443 -s 2c0f:f248::/32 -j ACCEPT ip6tables -A INPUT -p tcp -m multiport --dports 80,443 -j DROP
Permite as portas 80 e 443 a partir de cada intervalo da Cloudflare. Com a política predefinida do ufw, as outras origens continuam bloqueadas.
ufw
# Cloudflare IP ranges, retrieved 2026-10-26 from https://www.cloudflare.com/ips/ # Allows TCP 80,443 from Cloudflare only, with ufw's default "deny incoming". # Delete broader rules first, such as "ufw allow 80/tcp" or "ufw allow 'Nginx Full'". ufw allow proto tcp from 173.245.48.0/20 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 103.21.244.0/22 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 103.22.200.0/22 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 103.31.4.0/22 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 141.101.64.0/18 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 108.162.192.0/18 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 190.93.240.0/20 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 188.114.96.0/20 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 197.234.240.0/22 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 198.41.128.0/17 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 162.158.0.0/15 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 104.16.0.0/13 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 104.24.0.0/14 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 172.64.0.0/13 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 131.0.72.0/22 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 2400:cb00::/32 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 2606:4700::/32 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 2803:f800::/32 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 2405:b500::/32 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 2405:8100::/32 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 2a06:98c0::/29 to any port 80,443 comment 'Cloudflare' ufw allow proto tcp from 2c0f:f248::/32 to any port 80,443 comment 'Cloudflare'
Uma tabela separada com conjuntos de intervalos para as duas famílias de endereços. A sua regra de descarte aplica-se seja o que for que as outras tabelas aceitem.
nftables
# Cloudflare IP ranges, retrieved 2026-10-26 from https://www.cloudflare.com/ips/
# Drops TCP 80, 443 unless it comes from Cloudflare. Load with: nft -f cloudflare.nft
table inet cloudflare_origin {
set cloudflare_v4 {
type ipv4_addr
flags interval
elements = {
173.245.48.0/20,
103.21.244.0/22,
103.22.200.0/22,
103.31.4.0/22,
141.101.64.0/18,
108.162.192.0/18,
190.93.240.0/20,
188.114.96.0/20,
197.234.240.0/22,
198.41.128.0/17,
162.158.0.0/15,
104.16.0.0/13,
104.24.0.0/14,
172.64.0.0/13,
131.0.72.0/22,
}
}
set cloudflare_v6 {
type ipv6_addr
flags interval
elements = {
2400:cb00::/32,
2606:4700::/32,
2803:f800::/32,
2405:b500::/32,
2405:8100::/32,
2a06:98c0::/29,
2c0f:f248::/32,
}
}
chain input {
type filter hook input priority filter; policy accept;
tcp dport { 80, 443 } ip saddr @cloudflare_v4 accept
tcp dport { 80, 443 } ip6 saddr @cloudflare_v6 accept
tcp dport { 80, 443 } drop
}
}Acrescenta regras de entrada para as portas 80 e 443 a partir de todos os intervalos da Cloudflare. Depois, remova qualquer regra que permita estas portas a partir de 0.0.0.0/0 ou::/0.
Grupo de segurança da AWS (CLI)
# Cloudflare IP ranges, retrieved 2026-10-26 from https://www.cloudflare.com/ips/
# Replace the group ID. Each range on each port counts as one rule toward the
# security group's inbound rule quota (60 by default).
aws ec2 authorize-security-group-ingress \
--group-id sg-0123456789abcdef0 \
--ip-permissions '[{"IpProtocol":"tcp","FromPort":80,"ToPort":80,"IpRanges":[{"CidrIp":"173.245.48.0/20","Description":"Cloudflare"},{"CidrIp":"103.21.244.0/22","Description":"Cloudflare"},{"CidrIp":"103.22.200.0/22","Description":"Cloudflare"},{"CidrIp":"103.31.4.0/22","Description":"Cloudflare"},{"CidrIp":"141.101.64.0/18","Description":"Cloudflare"},{"CidrIp":"108.162.192.0/18","Description":"Cloudflare"},{"CidrIp":"190.93.240.0/20","Description":"Cloudflare"},{"CidrIp":"188.114.96.0/20","Description":"Cloudflare"},{"CidrIp":"197.234.240.0/22","Description":"Cloudflare"},{"CidrIp":"198.41.128.0/17","Description":"Cloudflare"},{"CidrIp":"162.158.0.0/15","Description":"Cloudflare"},{"CidrIp":"104.16.0.0/13","Description":"Cloudflare"},{"CidrIp":"104.24.0.0/14","Description":"Cloudflare"},{"CidrIp":"172.64.0.0/13","Description":"Cloudflare"},{"CidrIp":"131.0.72.0/22","Description":"Cloudflare"}],"Ipv6Ranges":[{"CidrIpv6":"2400:cb00::/32","Description":"Cloudflare"},{"CidrIpv6":"2606:4700::/32","Description":"Cloudflare"},{"CidrIpv6":"2803:f800::/32","Description":"Cloudflare"},{"CidrIpv6":"2405:b500::/32","Description":"Cloudflare"},{"CidrIpv6":"2405:8100::/32","Description":"Cloudflare"},{"CidrIpv6":"2a06:98c0::/29","Description":"Cloudflare"},{"CidrIpv6":"2c0f:f248::/32","Description":"Cloudflare"}]},{"IpProtocol":"tcp","FromPort":443,"ToPort":443,"IpRanges":[{"CidrIp":"173.245.48.0/20","Description":"Cloudflare"},{"CidrIp":"103.21.244.0/22","Description":"Cloudflare"},{"CidrIp":"103.22.200.0/22","Description":"Cloudflare"},{"CidrIp":"103.31.4.0/22","Description":"Cloudflare"},{"CidrIp":"141.101.64.0/18","Description":"Cloudflare"},{"CidrIp":"108.162.192.0/18","Description":"Cloudflare"},{"CidrIp":"190.93.240.0/20","Description":"Cloudflare"},{"CidrIp":"188.114.96.0/20","Description":"Cloudflare"},{"CidrIp":"197.234.240.0/22","Description":"Cloudflare"},{"CidrIp":"198.41.128.0/17","Description":"Cloudflare"},{"CidrIp":"162.158.0.0/15","Description":"Cloudflare"},{"CidrIp":"104.16.0.0/13","Description":"Cloudflare"},{"CidrIp":"104.24.0.0/14","Description":"Cloudflare"},{"CidrIp":"172.64.0.0/13","Description":"Cloudflare"},{"CidrIp":"131.0.72.0/22","Description":"Cloudflare"}],"Ipv6Ranges":[{"CidrIpv6":"2400:cb00::/32","Description":"Cloudflare"},{"CidrIpv6":"2606:4700::/32","Description":"Cloudflare"},{"CidrIpv6":"2803:f800::/32","Description":"Cloudflare"},{"CidrIpv6":"2405:b500::/32","Description":"Cloudflare"},{"CidrIpv6":"2405:8100::/32","Description":"Cloudflare"},{"CidrIpv6":"2a06:98c0::/29","Description":"Cloudflare"},{"CidrIpv6":"2c0f:f248::/32","Description":"Cloudflare"}]}]'As mesmas regras em JSON IpPermissions, para a API do EC2 ou uma chamada de um SDK da AWS.
Grupo de segurança da AWS (JSON IpPermissions)
[
{
"IpProtocol": "tcp",
"FromPort": 80,
"ToPort": 80,
"IpRanges": [
{
"CidrIp": "173.245.48.0/20",
"Description": "Cloudflare"
},
{
"CidrIp": "103.21.244.0/22",
"Description": "Cloudflare"
},
{
"CidrIp": "103.22.200.0/22",
"Description": "Cloudflare"
},
{
"CidrIp": "103.31.4.0/22",
"Description": "Cloudflare"
},
{
"CidrIp": "141.101.64.0/18",
"Description": "Cloudflare"
},
{
"CidrIp": "108.162.192.0/18",
"Description": "Cloudflare"
},
{
"CidrIp": "190.93.240.0/20",
"Description": "Cloudflare"
},
{
"CidrIp": "188.114.96.0/20",
"Description": "Cloudflare"
},
{
"CidrIp": "197.234.240.0/22",
"Description": "Cloudflare"
},
{
"CidrIp": "198.41.128.0/17",
"Description": "Cloudflare"
},
{
"CidrIp": "162.158.0.0/15",
"Description": "Cloudflare"
},
{
"CidrIp": "104.16.0.0/13",
"Description": "Cloudflare"
},
{
"CidrIp": "104.24.0.0/14",
"Description": "Cloudflare"
},
{
"CidrIp": "172.64.0.0/13",
"Description": "Cloudflare"
},
{
"CidrIp": "131.0.72.0/22",
"Description": "Cloudflare"
}
],
"Ipv6Ranges": [
{
"CidrIpv6": "2400:cb00::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2606:4700::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2803:f800::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2405:b500::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2405:8100::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2a06:98c0::/29",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2c0f:f248::/32",
"Description": "Cloudflare"
}
]
},
{
"IpProtocol": "tcp",
"FromPort": 443,
"ToPort": 443,
"IpRanges": [
{
"CidrIp": "173.245.48.0/20",
"Description": "Cloudflare"
},
{
"CidrIp": "103.21.244.0/22",
"Description": "Cloudflare"
},
{
"CidrIp": "103.22.200.0/22",
"Description": "Cloudflare"
},
{
"CidrIp": "103.31.4.0/22",
"Description": "Cloudflare"
},
{
"CidrIp": "141.101.64.0/18",
"Description": "Cloudflare"
},
{
"CidrIp": "108.162.192.0/18",
"Description": "Cloudflare"
},
{
"CidrIp": "190.93.240.0/20",
"Description": "Cloudflare"
},
{
"CidrIp": "188.114.96.0/20",
"Description": "Cloudflare"
},
{
"CidrIp": "197.234.240.0/22",
"Description": "Cloudflare"
},
{
"CidrIp": "198.41.128.0/17",
"Description": "Cloudflare"
},
{
"CidrIp": "162.158.0.0/15",
"Description": "Cloudflare"
},
{
"CidrIp": "104.16.0.0/13",
"Description": "Cloudflare"
},
{
"CidrIp": "104.24.0.0/14",
"Description": "Cloudflare"
},
{
"CidrIp": "172.64.0.0/13",
"Description": "Cloudflare"
},
{
"CidrIp": "131.0.72.0/22",
"Description": "Cloudflare"
}
],
"Ipv6Ranges": [
{
"CidrIpv6": "2400:cb00::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2606:4700::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2803:f800::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2405:b500::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2405:8100::/32",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2a06:98c0::/29",
"Description": "Cloudflare"
},
{
"CidrIpv6": "2c0f:f248::/32",
"Description": "Cloudflare"
}
]
}
]Prefere não ser você a manter atualizadas as regras da origem e as listas de intervalos? O Vigilbase Shield é a Cloudflare totalmente gerida: a nossa equipa configura e afina o WAF, a proteção contra DDoS e a filtragem de bots dos seus sites. Conheça o Vigilbase Shield
Verifique como está configurada a sua conta da Cloudflare
O Cloudflare Checkup analisa a sua conta com acesso apenas de leitura, incluindo as definições de SSL/TLS, WAF e DNS, classifica-a de A a F e envia-lhe o relatório completo por email.
Apresentamos o Vigilbase OS
O sistema operativo da cibersegurança.
Ligue as ferramentas de segurança que já paga. Crie painéis personalizados em minutos, com todos os registos e eventos auditáveis e pesquisáveis num único lugar.
one.vigilbase.com/acme.examplePré-visualização · dados de exemplo
Sistema de segurança da Acme
events | where severity >= medium | last 24hAgente VigilA trabalhar
- Investigar Pico de credential stuffing contra /login
- Corrigir Regra de limite de taxa aplicada no edge
- Verificar Tráfego de ataque reduzido 98% em cinco minutos
O que são os intervalos de IP da Cloudflare?
Os intervalos de IP da Cloudflare são os blocos de endereços IPv4 e IPv6 da rede da Cloudflare. Quando um registo DNS passa pelo proxy, os visitantes ligam-se à Cloudflare e a Cloudflare liga-se ao seu servidor de origem a partir de um endereço destes intervalos. A Cloudflare publica a lista em cloudflare.com/ips e através da sua API, e raramente a altera.
Os servidores de origem por trás da Cloudflare usam a lista para duas tarefas: repor o endereço IP real de cada visitante a partir do cabeçalho CF-Connecting-IP e aceitar tráfego web apenas da Cloudflare, para que ninguém contorne o WAF e a proteção contra DDoS ligando-se diretamente à origem.
Como usar os intervalos de IP da Cloudflare na sua origem
A maioria das origens por trás da Cloudflare precisa da lista para os dois primeiros passos. O terceiro fecha a brecha que uma lista de permissões de IPs deixa aberta.
1. Repor os endereços IP dos visitantes
Por trás da Cloudflare, todos os pedidos chegam à origem a partir de um endereço da Cloudflare. Confie no cabeçalho CF-Connecting-IP apenas quando vem destes intervalos (set_real_ip_from no nginx, RemoteIPTrustedProxy no Apache). Se confiar nele vindo de qualquer lado, qualquer cliente pode falsificar o seu endereço.
2. Aceitar tráfego web apenas da Cloudflare
Permita as portas 80 e 443 a partir destes intervalos e bloqueie-as para todos os outros, na firewall do servidor ou no grupo de segurança do seu fornecedor de cloud. Mantenha regras separadas para SSH, email e qualquer hostname que não passe pelo proxy.
3. Autenticar também a ligação
O tráfego de todos os clientes da Cloudflare vem dos mesmos intervalos, por isso uma lista de permissões de IPs, por si só, não prova que um pedido passou pela sua zona. Ative os Authenticated Origin Pulls ou ligue a origem com o Cloudflare Tunnel em vez de abrir portas.
4. Manter a lista atualizada
A Cloudflare acrescenta intervalos de vez em quando. Gere novamente a configuração a partir desta página ou da API da Cloudflare quando a lista mudar, em vez de a copiar uma vez e esquecê-la.
Verificações relacionadas e próximos passos
- Verificador de Cloudflare
Veja se um site está na Cloudflare e se o tráfego passa pelo proxy ou é apenas DNS.
- Cloudflare Checkup
Uma análise apenas de leitura da sua conta e zonas da Cloudflare, com uma classificação de A a F e as correções mais importantes.
- Verificador de Cabeçalhos de Segurança HTTP
Verifique os cabeçalhos de segurança que o seu site envia através da Cloudflare.
- Vigilbase Shield
Cloudflare, totalmente gerida: a nossa equipa configura e afina o WAF, a proteção contra DDoS e a filtragem de bots dos seus sites.
Cloudflare gerido
Mantenha a Cloudflare configurada, monitorizada e a melhorar. A Vigilbase trata das alterações acordadas e da resposta a incidentes, com opções de cobertura Core, Priority e Critical.
Explorar Cloudflare geridoSOC gerido
SOC gerido nas ferramentas de segurança que já paga. O agente Vigil investiga, os analistas tratam das exceções e a cobertura segue o seu nível de SLA.
Explorar SOC geridoFontes
Perguntas
Perguntas frequentes sobre os intervalos de IP da Cloudflare
Quais são os intervalos de IP atuais da Cloudflare?
Os intervalos IPv4 e IPv6 atuais estão listados nesta página, com a data em que foram obtidos. Vêm da API da Cloudflare (api.cloudflare.com/client/v4/ips), que publica as mesmas listas que cloudflare.com/ips-v4 e cloudflare.com/ips-v6. Esta página consulta a API uma vez por dia.
Como verifico se um endereço IP pertence à Cloudflare?
Cole o endereço no verificador desta página. Compara cada endereço com todos os intervalos publicados, IPv4 e IPv6, e mostra o intervalo em que se encontra. Pode colar muitos endereços de uma vez, incluindo linhas inteiras de um registo de acesso, e a verificação é feita no seu navegador.Uma correspondência significa que o endereço está na rede da Cloudflare. Não indica que cliente ou serviço da Cloudflare enviou o pedido.
Porque é que os registos do meu servidor mostram endereços IP da Cloudflare em vez dos meus visitantes?
Quando um hostname passa pelo proxy, é a Cloudflare que abre a ligação à sua origem, por isso o endereço de origem é da Cloudflare. A Cloudflare envia o endereço do visitante no cabeçalho CF-Connecting-IP. Configure o seu servidor web para o ler nos pedidos que vêm dos intervalos da Cloudflare, com o excerto de nginx ou Apache desta página.Guia prático de proteção de sites
Devo permitir apenas endereços IP da Cloudflare na minha origem?
Num site que passa pelo proxy, sim: permita as portas 80 e 443 a partir dos intervalos da Cloudflare e bloqueie-as para todos os outros, para que os atacantes não cheguem diretamente à origem nem contornem o WAF e a proteção contra DDoS. Mantenha as suas próprias regras para SSH, email e qualquer hostname apenas DNS, porque esse tráfego não passa pela Cloudflare.Como funciona uma firewall de aplicações webOperação de WAF gerido e controlo de alterações
Basta permitir os intervalos de IP da Cloudflare para proteger a minha origem?
Por si só, não. O tráfego de todos os clientes da Cloudflare vem dos mesmos intervalos, por isso alguém pode apontar a sua própria zona da Cloudflare para o endereço da sua origem. Acrescente os Authenticated Origin Pulls, que obrigam a Cloudflare a apresentar um certificado de cliente, ou use o Cloudflare Tunnel, que não precisa de nenhuma porta de entrada aberta.Proteção de aplicações e APIsO que inclui Managed Cloudflare
A que portas se liga a Cloudflare?
A Cloudflare faz proxy de HTTP nas portas 80, 8080, 8880, 2052, 2082, 2086 e 2095, e de HTTPS nas portas 443, 2053, 2083, 2087, 2096 e 8443. Os excertos de firewall desta página abrem a 80 e a 443; acrescente qualquer outra porta que a sua origem sirva.
Preciso dos intervalos de IP da Cloudflare se usar o Cloudflare Tunnel?
Não para a firewall. Com o Cloudflare Tunnel, o conector cloudflared estabelece ligações de saída para a Cloudflare, por isso a origem pode bloquear todo o tráfego web de entrada. Pode continuar a precisar da configuração de IP real se o seu servidor web registar o endereço do conector.Acesso interno e Zero Trust
Com que frequência mudam os intervalos de IP da Cloudflare?
Raramente, mas mudam. Esta página consulta diariamente a API da Cloudflare e mostra quando a lista foi obtida. Quando a lista mudar, gere novamente qualquer configuração de firewall ou de servidor web que tenha copiado daqui.
Alguma coisa que colo é enviada à Vigilbase?
Não. O verificador funciona no seu navegador e os endereços que colar não são enviados à Vigilbase.Privacidade e tratamento de dados