自定义 CC 防御

进入“防御策略管理 → 我的策略”，或者在网站详情的“安全防护设置”里新建规则。

CC 规则不需要一开始就设置得很严格。建议先观察，再根据日志调整。

规则可以设置什么

匹配域名、URL、请求方法、IP、User-Agent 和请求头；
按单个 IP、单个路径或整个网站统计；
设置统计时间和请求次数；
选择观察、验证码、限速或临时封禁；
添加白名单。

推荐配置方法

登录接口

只匹配登录路径和 POST 请求，按单个 IP 统计。先使用验证码，确认误封少后再考虑临时封禁。

API 接口

按接口路径、账号或 API Key 限制，不要只按 User-Agent 判断。支付回调要单独放行，并保留签名校验。

静态文件

图片、CSS、JS 和字体通常不需要 CC，先用缓存减少源站压力。

管理后台

可以给 /admin、后台登录和写操作单独设置规则。办公 IP 只加入最小范围白名单。

WebSocket

WebSocket 是长连接，不要直接套普通短时间请求规则。先确认套餐和源站支持，再设置连接数和握手频率。

支付回调不要加人机验证

支付平台的回调不是浏览器请求，不能依赖登录、极验或前端跳转。回调路径要关闭缓存，并配置最小范围的放行规则。

误封怎么办

打开网站详情 →“拉黑日志”，查看命中的 IP、URL、规则和时间。

先把动作改成观察或验证码；
确认是哪个条件误匹配；
只给可信来源加白名单；
不要为了一个误封关闭整站防护。

复制和新建

“复制”是按照当前规则新建一条规则，不会修改原规则。复制后要重新检查域名、路径、阈值和白名单。