Chrome सालो धरि बिना ताला वाली साइट सँ अहाँकेँ डराबैत रहल। आब प्रत्येक साइट पर ताला अछि - आ दस पैघ साइट मे सँ सात पर ओ मिडलबॉक्स धरि जाइत अछि
ताला आ HTTPS एकटा कारण सँ बनल: ताकि अहाँ आ साइटक बीच केओ अहाँक पठाओल चीज नहि पढ़ि सकए। अहाँक ISP, कैफ़े Wi-Fi, तार पर कोनो राज्य - सभ खाली सिफरटेक्स्ट देखैत अछि। ब्राउज़र सालो सिखौलक: ताला नहि - पासवर्ड नहि डालू।
Cloudflare एकटा प्रॉक्सी छै जे अहाँ आ साइटक बीच बैसैत अछि; Amazon CloudFront, Azure Front Door, Akamai आ Fastly सेहो ओहिना करैत अछि। «हमला केँ रोकबाक» लेल मिडलबॉक्स केँ ट्रैफ़िक खुलल मे देखबाक पड़ैत अछि। तैं अहाँक कनेक्शन ओकर सर्वर पर खतम होइत अछि: ओतए अनुरोध डिक्रिप्ट होइत अछि, ओकर नियम सँ जाँचल जाइत अछि, आ तखने अलग कनेक्शन पर साइट केँ पठाओल जाइत अछि। Cloudflare क अपन डॉक्स एकरा TLS termination कहैत अछि - «ओ बिंदु जतए HTTPS ट्रैफ़िक डिक्रिप्ट होइत अछि ताकि Cloudflare ओकरा inspect कऽ सकए»। Amazon, Azure आ Akamai क डॉक्स मे ओही बिंदु क ओही नाम अछि।
तकनीकी रूप सँ ई क्लासिक man in the middle छै। हमला सँ एकटाए फर्क: साइट मालिक स्वयं साइट केँ मिडलबॉक्सक पाछू राखि एकरा लेल साइन अप कएलक। प्लान वा सेटिंग्स एकरा नहि हटैत अछि: जखन धरि साइट मिडलबॉक्सक पाछू अछि, एन्क्रिप्शन मिडलबॉक्स पर खतम होइत अछि - फ्री प्लान पर सेहो, Enterprise पर सेहो। अहाँसँ केओ नहि पुछलक, आ ताला कहबो नहि करत।
व्यवहार में इसका मतलब - डॉक्स और तारीखों से
कोई फैसला नहीं। सिर्फ Cloudflare के अपने दस्तावेज़, उसकी अपनी घटना रिपोर्ट और सार्वजनिक लेख - तारीखों के साथ, ताकि हर पंक्ति जाँची जा सके।
दस में से सात सबसे बड़ी साइटें - मिडलबॉक्स के पीछे
HTTP Archive 2025 के अनुसार, दुनिया की हज़ार सबसे ज़्यादा देखी साइटों में से 71% HTML दस्तावेज़ भी मिडलबॉक्स से देती हैं; टॉप 10,000 में - 70%, टॉप 100,000 में - 62%। वे मिडलबॉक्स कौन: Cloudflare - ऐसी साइटों का 58%, फिर Amazon CloudFront (7%), Fastly (5%), Akamai (2%) और क्लाउड लोड बैलेंसर। दुनिया की सभी साइटें गिनें तो हर तीसरी मिडलबॉक्स के पीछे है; अकेले Cloudflare - सभी साइटों का 26% और reverse-proxy बाज़ार का 85%।
WAF हर अनुरोध का body पढ़ता है - डॉक्स के अनुसार
Cloudflare नियम «हर आने वाले अनुरोध के body का निरीक्षण» करते हैं, और उनके rules भाषा में फ़ील्ड http.request.body.raw है «बिना बदला HTTP request body»। लॉगिन फ़ॉर्म एक request body है। उसमें लॉगिन और पासवर्ड plaintext हैं।
Cloudbleed, 2017: मिडलबॉक्स की मेमोरी दूसरे जवाबों में लीक हुई
22 सितंबर 2016 से 18 फरवरी 2017 तक Cloudflare के पार्सर में बग ने एक साइट की मेमोरी के टुकड़े दूसरी के जवाब में मिला दिए: हेडर, पासवर्ड वाले POST के हिस्से, cookie, API कुंजी और टोकन। Cloudflare ने 1.2 मिलियन हिट गिने; लीक सर्च कैश में पहुँचे - 80,000 से ज़्यादा पेज साफ़ किए। प्रेस में Uber, OkCupid, Fitbit नाम आए।
नवंबर 2023: हमलावर चोरी की कुंजियों से Cloudflare में घुसे
14 से 24 नवंबर 2023 तक हमलावर - Cloudflare उन्हें «nation-state» कहता है - Okta ब्रीच से चुराए क्रेडेंशियल लेकर Cloudflare के सिस्टम में काम किए: Confluence wiki, Jira, Bitbucket, 76 रिपॉज़िटरी डाउनलोड। उसके बाद Cloudflare ने 5,000 से ज़्यादा क्रेडेंशियल घुमाए और 4,893 सिस्टम जाँचे।
सबके लिए एक स्विच
2 जुलाई 2019 - 27 मिनट, WAF में एक regex, ट्रैफ़िक 82% गिरा। 21 जून 2022 - 75 मिनट, 19 डेटा सेंटर। 18 नवंबर 2025 - लगभग छह घंटे, «2019 के बाद सबसे बुरा आउटेज»: X, ChatGPT, Spotify, Shopify, Coinbase गिरे। 5 दिसंबर 2025 - और 25 मिनट। 20 फरवरी 2026 - छह घंटे, BGP त्रुटि। इनमें से कोई आउटेज हमला नहीं था।
Cloudflare तय करता है कि आप इंसान हैं या नहीं
साइट मालिक एक बॉक्स टिक करता है - और पहुँच वह नहीं, Cloudflare का फ़िल्टर तय करता है। उनके डॉक्स «challenge loop, जब चुनौती बार-बार आती है» मानते हैं, VPN और प्रॉक्सी की वजह से भी। 2016 से Cloudflare Tor को अलग «देश» मानता है और कहता है वहाँ से 94% अनुरोध दुर्भावनापूर्ण हैं; Tor Project ने «CAPTCHA का अंतहीन लूप» और कम से कम 80% Tor पतों के ब्लॉक की बात कही।
जब राज्य मिडलबॉक्स से लड़ता है: रूस का मामला
अक्टूबर 2024 में Cloudflare ने फ्री प्लान पर ECH एन्क्रिप्शन डिफ़ॉल्ट चालू किया। 6 नवंबर 2024 को ECH वाले Cloudflare के पीछे की साइटें रूसी ISP पर खुलना बंद हो गईं; 7 नवंबर को CMU SSOP (Roskomnadzor इकाई, रूस का संचार नियामक) ने ECH को «प्रतिबंधों को दरकिनार करने ��ा साधन» कहा और मालिकों को इसे बंद करने «या बेहतर, घरेलू CDN इस्तेमाल» की सलाह दी। 9 जून 2025 से रूस के चार सबसे बड़े ऑपरेटरों ने Cloudflare ट्रैफ़िक को किसी भी फ़ाइल के पहले 16 KB तक काट दिया। रूस से ट्रैफ़िक लगभग 30% गिरा; रूसी वेब की 40% से ज़्यादा साइटें - लगभग 300,000 - Cloudflare के पीछे हैं। 2 जून 2026 को FSB ने कहा कि विदेशी खुफिया एजेंसियाँ रूसी अधिकारियों के फोन से डेटा इकट्ठा कर रही थीं Cloudflare और Fastly की «तकनीकी क्षमताओं» से, और आपराधिक संहिता धारा 272 व 273 के तहत मामले खोले - उसने कोई तकनीकी सबूत नहीं दिखाया, कंपनियों ने जवाब नहीं दिया। वही Cloudflare 2022 से UK रक्षा मंत्रालय की साइटें सरकारी अनुबंध पर ढँकता है - Army, Royal Navy, RAF और 330,000 उपयोगकर्ताओं का Defence Gateway: 2022-2025 के लिए £425k और 2025-2026 के लिए £105k।
हर जगह वही स्कीम: Amazon, Akamai, Azure, Fastly
कोई भी प्रॉक्सी या क्लाउड लोड बैलेंसर जो TLS खुद पर खत्म करता है, वैसा ही काम करता है: Amazon CloudFront और ALB, Azure Front Door और Application Gateway, Akamai, Fastly, Imperva, Alibaba Cloud CDN, Tencent EdgeOne। हर एक का अपना WAF है जो request body पढ़ता है, अपना कैश और अपने आउटेज। Cloudflare सिर्फ सबसे बड़ा है और दस्तावेज़ों में सबसे खुला। ओरिजिन सर्वर पर सर्टिफिकेट वाला साधारण होस्टिंग अलग है: वहाँ ट्रैफ़िक सिर्फ साइट पढ़ती है।
अहाँक पैसाक लेल एकर मतलब
मिडलबॉक्स के पीछे एक्सचेंज
मिडलबॉक्स के पीछे वेब वॉलेट
ऑफ़लाइन साइन वाला वॉलेट
किसी भी साइट को एक मिनट में जाँचें
हमें या उन्हें मानने की ज़रूरत नहीं। मिडलबॉक्स हर जवाब में निशान छोड़ता है, और कोई भी देख सकता है।
हमने पाँच सबसे लोकप्रिय वॉलेट लिए और देखा उनके साइट और आपके बीच कौन बैठता है
हमने अनुमान नहीं लगाया और दूसरों की समीक्षाएँ नहीं पढ़ीं: साइटों पर साधारण अनुरोध किए, response headers और सर्टिफिकेट देखे। नतीजा नीचे, जैसा है।
एतबा पढ़लाक बाद लोक की पुछैत अछि
सरल शब्द मे Cloudflare की छै?
एक मिडलबॉक्स कंपनी: साइट अपन सभटा ट्रैफ़िक हुनकर सर्वर सँ पठाबैत अछि, आ ओ लोक «सुरक्षित» करैत अछि। «सुरक्षित» करबाक लेल ओ अहाँक कनेक्शन अपन तरफ डिक्रिप्ट करैत अछि। दुनियाक एक चौथाई साइट एहिना चलैत अछि।
की Cloudflare हमर password देखैत अछि?
हँ। कनेक्शन ओकर सर्वर पर खतम होइत अछि, आ डॉक्स अनुसार फ़िल्टर नियम प्रत्येक अनुरोधक body पढ़ैत अछि - यूज़रनेम आ पासवर्ड वाला लॉगिन फ़ॉर्म ठीक ओही request body छै। ओकरा राखैत अछि वा कतेक काल - ओकर नीति तय करैत अछि, जाहि केँ अहाँ जाँच नहि सकैत छी।
साइट हमरा सँ इंसान होएबाक पुष्टि किएक लेल किएक माँगैत अछि?
ओ साइट नहि, Cloudflare छै। मालिक जाँच चालू कएलक, आ मिडलबॉक्स फ़िल्टर तय करैत अछि: VPN, Tor, «संदिग्ध» क्षेत्र, पुरान ब्राउज़र - आ अहाँ challenge loop मे फँसैत छी। Cloudflare स्वयं अप�� दस्तावेज़ मे एहन लूप मानैत अछि।
हमर देश मे Cloudflareक पाछूक साइट नहि खुलैत अछि। की करूँ?
जखन कोनो देश मिडलबॉक्स सँ लड़ैत अछि, उपयोगकर्ताक पास VPN बचैत अछि - वा बिना मिडलबॉक्सक साइट। साइट मालिकक पास एकटा असली हल: अपन आ उपयोगकर्ताक बीच सँ Cloudflare हटाउ। तथ्य 07 क रूस मामला देखाबैत अछि कतेक तेज «साइट डाउन अछि» सँ «मिडलबॉक्स ISP सँ बिगड़ि गेल» बनि जाइत अछि।
की ई खाली Cloudflareक बात छै?
नहि। कोनो मिडलबॉक्स जे TLS अपन पर खतम करैत अछि, एहिना काज करैत अछि: Amazon CloudFront आ AWS लोड बैलेंसर, Azure Front Door, Akamai, Fastly, Imperva। दुनियाक हजार सभसँ पैघ साइट मे सँ 71% मिडलबॉक्सक पाछू अछि: Cloudflare - ओहि मे सँ 58%, Amazon - 7%, Fastly - 5%, Akamai - 2%। साधारण होस्टिंग अलग अछि: ओतए ट्रैफ़िक आ सर्टिफिकेट स्वयं साइटक होइत अछि।
हम साइटक मालिक छी। की करूँ?
तय करू की बेसी मायने रखैत अछि: «हमला सँ सुरक्षा» वा ई जे उपयोगकर्ताक पासवर्ड दोसरक कोड सँ नहि गुजरए। प्लान आ सेटिंग्स एकरा नहि बदलैत अछि - कोनो प्लान पर सिफर मिडलबॉक्स पर खतम होइत अछि। एकटा समझौता अछि - प्रॉक्सी जे TLS डिक्रिप्ट नहि करैत अछि आ स्ट्रीम खाली सर्वर नाम सँ आगू पठाबैत अछि। हमर फ्रंट सर्वर एहिना काज करैत अछि: अतिरिक्त ट्रैफ़िक सँ बचाव रहैत अछि, plaintext मिडलबॉक्स नहि।