[{"data":1,"prerenderedAt":168},["ShallowReactive",2],{"publication:he:P075":3},{"meta":4,"copy":16,"relatedArticles":129,"terms":160,"term":161,"resourceParent":162,"glossaryParent":165},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14,"preparedOn":15},"P075","\u002Fblog\u002Fcloudflare-origin-exposure","article","שרת המקור חשוף מאחורי Cloudflare","שרת המקור חשוף מאחורי Cloudflare: איך בודקים את גבול ההגנה","מה המשמעות של גישה ישירה לשרת המקור: מיפוי פרוקסי, מקטעי TLS, הגבלת גישה ובדיקות מורשות בלי לשבש ניטור ואינטגרציות.",[12,13],"\u002Fservices\u002Fcloudflare","\u002Fservices\u002Flinux-vps","2026-09-22","2026-10-29",{"intro":17,"sections":18,"checklist":82,"faq":88,"sources":98,"links":101,"cta":124},"שימוש ב-Cloudflare אינו מוכיח שכל בקשה לאתר עוברת דרכו. צריך למפות מה מפורסם דרך הפרוקסי והאם שרת המקור מקבל גם גישה ישירה שאינה תואמת למדיניות. הבדיקה מתבצעת רק על נכסים שבבעלותכם או בהרשאה מפורשת. המטרה היא לבדוק גבול גישה ולהשאיר פעילות תקינה, לא לאסוף כתובות של מערכות זרות.",[19,24,51,60,69,74],{"title":20,"paragraphs":21},"מהו מקור ומה בדיוק רוצים למנוע",[22,23],"המקור הוא השירות שמגיש את האתר מאחורי שכבת התיווך. אם המסלול הישיר עדיין מקבל בקשות שאמורות לעבור דרך ההגנות בקצה, ייתכן שאותן הגנות אינן חלות על כל התעבורה. חשיפה של כתובת אינה לבדה הוכחת פגיעה, ותשובת שרת אינה מוכיחה אילו פעולות הותרו.","הגדירו מראש את השאלה: האם רק תיווך מותר, האם קיימים שותפים הזקוקים למסלול אחר ואילו שירותים משותפים לאותו שרת. תכנון לא נכון יכול לפגוע גם בדואר, בבדיקות בריאות או בתחזוקה. אל תסיקו שתעודה או WAF לבדם סוגרים כל דרך אל המקור.",{"title":25,"paragraphs":26,"table":28},"מפו מסלולי תעבורה לפני הגבלת גישה",[27],"השוו את אזור ה-DNS, הגדרות הפרוקסי, הגדרות האחסון והמסלולים שמנהל המערכת מאשר. הבדיקות הטכניות צריכות להישאר ברשימת הנכסים והמטרות שהוגדרו; אין צורך במדריך לסריקת כתובות כדי להכין מפת אחריות.",{"caption":29,"headers":30,"rows":34},"מסלולים שצריך לסווג לפני שינוי",[31,32,33],"מסלול","מה מאמתים","תלות שצריך לשמור",[35,39,43,47],[36,37,38],"תעבורת גולשים","דרך הפרוקסי המתוכננת","שמות מארח וחיבור מאובטח",[40,41,42],"אינטגרציה או שותף","מקור בקשה ושיטה מאושרים","טפסים, תשלומים או API",[44,45,46],"ניטור ותחזוקה","מי צריך לבדוק או לנהל","יכולת התאוששות וגישה מורשית",[48,49,50],"שירות אחר בשרת","גבול נפרד מהאתר","דואר או יישום שאינם בפרוקסי",{"title":52,"paragraphs":53,"sources":56},"בחרו בקרה שמתאימה לתשתית",[54,55],"Cloudflare מציגה שכבות שונות להגנת מקור, ובהן הגבלת גישה ברשת ושיטות נוספות לאימות הנתיב. בחירת הבקרה תלויה בארכיטקטורה, בתמיכת האחסון ובפעילות לגיטימית שצריכה להישאר. רשימת כתובות מותרות דורשת תחזוקה ואינה זהה לאימות כל בקשה.","אלה דוגמאות מוצר, לא הוראות להחלת כלל גורף בכל שרת. מנהל מורשה צריך להבין מה ייחסם, איזה גיבוי תפעולי קיים ואיך בודקים את החיבורים לפני הרחבה. אחסון משותף ושירות מנוהל עשויים להגביל את סוג השינוי שניתן לבצע.",[57],{"label":58,"url":59},"Cloudflare: שכבות הגנה לשרת המקור","https:\u002F\u002Fdevelopers.cloudflare.com\u002Ffundamentals\u002Fsecurity\u002Fprotect-your-origin-server\u002F",{"title":61,"paragraphs":62,"sources":65},"בדקו TLS וזהות חיבור בנפרד מחומת אש",[63,64],"חיבור מוצפן למקור עונה על שאלה שונה מהשאלה מי רשאי להגיע אליו. ב-Cloudflare, Full (strict) מוסיף דרישות לתעודת המקור. הוא אינו לבדו רשימת הרשאות רשת או מדיניות שמונעת כל מסלול ישיר.","לא פותרים תקלה על ידי החלשה אוטומטית של אימות תעודה. בדקו איזה רכיב נכשל ומהו שם המארח הנדרש, והבחינו בין תעודת קצה לתעודת מקור. מסלול שעובד ללא השכבה המתוכננת צריך להיבחן מול המדיניות, לא להיות מוכרז תקין רק מפני שמופיע בו HTTPS.",[66],{"label":67,"url":68},"Cloudflare: דרישות Full (strict)","https:\u002F\u002Fdevelopers.cloudflare.com\u002Fssl\u002Forigin-configuration\u002Fssl-modes\u002Ffull-strict\u002F",{"title":70,"paragraphs":71},"דוגמה: כלל חדש מפסיק עדכון סטטוס הזמנה",[72,73],"זו המחשה ולא מקרה לקוח. העסק מגביל גישה למקור ואז מגלה שחיבור של ספק תשלום אינו מעדכן הזמנה. האחראי חוזר למפת המסלולים, מזהה את התלות ובודק מסלול נתמך ומאושר מול הספק, במקום לפתוח את השרת לכל כתובת כדי להעלים את הסימפטום.","בחלון השינוי בודקים פעולה עסקית בנתוני ניסיון ובאישור המתאים. לא מבצעים חיוב לקוח לצורך בדיקה ללא תיאום. הדרך חזרה צריכה לשמור גישה ניהולית ולהיות מתועדת, אחרת תיקון תקלה ביישום עלול להפוך לנעילת תחזוקה.",{"title":75,"paragraphs":76,"example":79},"איך נראה סיכום בדיקה שימושי",[77,78],"הסיכום צריך לציין נכסים שנכללו, נתיב מותר, תצפית על גישה שנועדה להיחסם ובדיקות תפקוד לאחר שינוי. מסלול שלא ניתן לבדוק נשאר מגבלה. קבעו מי מתחזק הגדרות ומי מקבל דיווח כאשר חיבור חיוני נכשל.","אל תציגו אי-נגישות מבדיקה אחת כהוכחה שאין עוד חשיפה. הגדרות ספק, תתי-דומיין או שינוי שירות יכולים להשפיע בעתיד. במצב של חשד לפגיעה משמרים ראיות ומתאמים טיפול מתאים; הקשחת נתיב אינה מחליפה ניקוי או בירור של אירוע.",{"title":80,"text":81},"רשומת גבול גישה מוצעת","נכס מורשה: __. מסלולים מותרים: __. תלות בשותפים: __. שינוי שאושר: __. בדיקת נתיב מותר: __. בדיקת הגבלה מאושרת: __. מגבלה ואחראי לתחזוקה: __. אין לשמור סודות בדוח.",[83,84,85,86,87],"נקבע היקף נכסים והרשאה מפורשת.","מופו גולשים, שותפים ושירותים נוספים.","הבקרה נבחרה לפי התשתית ולא לפי כלל גורף.","הפרוטוקול והרשאת הגישה נבדקו בנפרד.","נשמרו גישה חלופית ובדיקות תפקוד.",[89,92,95],{"question":90,"answer":91},"כתובת מקור ידועה אומרת שהאתר נפרץ?","לא, זו שאלה של חשיפה וגבולות גישה. צריך לבדוק מה נגיש ומה המדיניות, ולהפריד זאת מראיות לפעילות לא מורשית.",{"question":93,"answer":94},"Cloudflare WAF מגן גם על בקשה ישירה למקור?","אין להניח זאת: בודקים האם הבקשה אכן עוברת דרך השכבה שעליה מסתמכים ומהן הבקרות במקור עצמו.",{"question":96,"answer":97},"אפשר לחסום הכול חוץ מרשימה שמצאתי באינטרנט?","אין להחיל רשימה לא מאומתת באופן גורף. צריך תיעוד רשמי, תחזוקה, מיפוי מסלולים ודרך חזרה כדי שלא לשבש תפעול או גישה מורשית.",[99,100],{"label":58,"url":59},{"label":67,"url":68},[102,105,108,111,113,115,118,121],{"path":103,"label":104},"\u002Fglossary\u002Fhttps","HTTPS לעומת הרשאת גישה",{"path":106,"label":107},"\u002Fglossary\u002Fwaf","מה WAF מספק",{"path":109,"label":110},"\u002Fblog\u002Fdns-change-checklist","שינוי רשומות ומסלולים",{"path":12,"label":112},"בדיקת הגדרות Cloudflare",{"path":13,"label":114},"הגדרות גישה בשרת Linux",{"path":116,"label":117},"\u002Fservices\u002Fsecurity-audit","בדיקת אבטחה בהיקף מורשה",{"path":119,"label":120},"\u002Fglossary\u002Ffirewall","תפקיד חומת האש במסלול לשרת",{"path":122,"label":123},"\u002Fblog\u002Fsecurity-headers-explained","בחירת כותרות ובדיקת תפקוד",{"title":125,"description":126,"button":127,"type":128},"רוצים לבדוק אם ההגנה בקצה מכסה את הנתיב למקור?","נמפה את הארכיטקטורה והחיבורים המורשים ונגדיר בדיקה ושינוי מתואמים לפי יכולות האחסון.","לתיאום בדיקת דומיין ותשתית","check",[130,138,146,153],{"id":131,"path":109,"title":132,"description":133,"category":134,"artwork":135,"order":136,"publishedOn":137},"P068","איך משנים DNS בלי לפגוע באתר ובדואר: רשימת בדיקה","תכנון שינוי DNS לעסק: מיפוי רשומות, TTL, דואר ו-DNSSEC, חלון שינוי, בדיקות ודרך חזרה. בלי הבטחת אפס הפרעות או מחיקה גורפת.","infrastructure","integrations",85,"2026-10-02",{"id":139,"path":140,"title":141,"description":142,"category":134,"artwork":143,"order":144,"publishedOn":145},"P115","\u002Fblog\u002Fdomain-expiry-risk","איך מונעים אובדן דומיין עסקי: בעלות, חידוש ושחזור","ניהול דומיין עסקי: רשם ובעלות, אנשי קשר, חידוש ותשלום, גישה חלופית ותוכנית במקרה פקיעה. בלי להניח מועדי חסד אחידים.","domain-renewal",70,"2026-09-12",{"id":147,"path":122,"title":148,"description":149,"category":134,"artwork":150,"order":151,"publishedOn":152},"P081","אילו כותרות אבטחה כדאי להגדיר באתר ואיך בודקים שינוי","כותרות אבטחה לאתר עסקי: CSP, HSTS, סוג תוכן ומדיניות הפניות. מיפוי תלות, בדיקת דפים ותהליכים ותוכנית מעבר מבוקרת.","security",62,"2026-08-31",{"id":154,"path":155,"title":156,"description":157,"category":134,"artwork":150,"order":158,"publishedOn":159},"P067","\u002Fblog\u002Fwebsite-ssl-warning","שגיאת תעודת SSL באתר: מה בודקים ומה לא לעקוף","אבחון אזהרת SSL\u002FTLS באתר: שם מארח, תוקף, שרשרת אמון, שרת מקור ו-Cloudflare. בדיקות בעלים ותיעוד בלי לעקוף את האזהרה.",94,"2026-10-12",[],null,{"path":163,"label":164},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":166,"label":167},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134062639]