Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Options pour les défis et l'acquisition de jetons
Vous pouvez proposer des défis et acquérir des jetons à l'aide des SDK d'intégration d' AWS WAF applications ou des actions de règles Challenge etCAPTCHA. D'une manière générale, les actions relatives aux règles sont plus faciles à mettre en œuvre, mais elles entraînent des coûts supplémentaires, s'immiscent davantage sur votre expérience client et sont obligatoires. JavaScript Les SDK nécessitent une programmation dans vos applications clientes, mais ils peuvent offrir une meilleure expérience client, ils sont gratuits et peuvent être utilisés avec JavaScript ou dans des applications Android ou iOS. Vous ne pouvez utiliser les SDK d'intégration d'applications qu'avec des ACL Web qui utilisent l'un des groupes de règles gérés payants d'atténuation intelligente des menaces, décrits dans la section suivante.
Comparaison des options pour les défis et l'acquisition de jetons | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Action de règle Challenge | Action de règle CAPTCHA | JavaScript Défi du SDK | Défi du SDK mobile | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Qu'est-ce que c'est | Règle : action qui impose l'acquisition du AWS WAF jeton en présentant au client du navigateur un défi silencieux (interstitiel) | Règle : action qui impose l'acquisition du AWS WAF jeton en présentant à l'utilisateur final un défi visuel ou audio (interstitiel) |
Couche d'intégration des applications, pour les navigateurs clients et les autres appareils qui s'exécutentJavaScript. Lance le défi silencieux et obtient un jeton |
Couche d'intégration des applications, pour les applications Android et iOS. Rend nativement le défi silencieux et obtient un jeton |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Bon choix pour... | Validation silencieuse contre les sessions de bots et application de l'acquisition de jetons pour les clients qui prennent en charge JavaScript | Validation silencieuse par l'utilisateur final contre les sessions de bot et application de l'acquisition de jetons, pour les clients qui prennent en charge JavaScript | Validation silencieuse contre les sessions de bots et mise en œuvre de l'acquisition de jetons pour les clients qui les prennent en charge JavaScript. Les SDK offrent la latence la plus faible et le meilleur contrôle sur l'endroit où le script de défi s'exécute dans l'application. |
Validation silencieuse contre les sessions de bots et application de l'acquisition de jetons pour les applications mobiles natives sur Android et iOS. Les SDK offrent la latence la plus faible et le meilleur contrôle sur l'endroit où le script de défi s'exécute dans l'application. |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Considérations relatives à la | Implémenté en tant que règle, paramètre d'action | Implémenté en tant que règle, paramètre d'action | Nécessite l'un des groupes de règles payants ACFP, ATP ou Bot Control de l'ACL Web. Nécessite un codage dans l'application client. |
Nécessite l'un des groupes de règles payants ACFP, ATP ou Bot Control de l'ACL Web. Nécessite un codage dans l'application client. |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Considérations concernant l'exécution | Flux intrusif pour les demandes sans jetons valides. Le client est redirigé vers un interstitiel de AWS WAF challenge. Ajoute des allers-retours sur le réseau et nécessite une deuxième évaluation de la requête Web. | Flux intrusif pour les demandes sans jetons valides. Le client est redirigé vers un AWS WAF interstitiel CAPTCHA. Ajoute des allers-retours sur le réseau et nécessite une deuxième évaluation de la requête Web. | Peut être exécuté dans les coulisses. Vous permet de mieux contrôler l'expérience du défi. | Peut être exécuté dans les coulisses. Vous permet de mieux contrôler l'expérience du défi. | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Requiert JavaScript | Oui | Oui | Oui | Non | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Clients pris en charge | Navigateur et appareils qui exécutent Javascript | Navigateur et appareils qui exécutent Javascript | Navigateur et appareils qui exécutent Javascript | Appareils Android et iOS | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Supporte les applications d'une seule page (SPA) | Exécution uniquement. Vous pouvez utiliser cette Challenge action conjointement avec les SDK pour vous assurer que les demandes contiennent un jeton de défi valide. Vous ne pouvez pas utiliser l'action de règle pour envoyer le script de défi à la page. |
Exécution uniquement. Vous pouvez utiliser cette CAPTCHA action conjointement avec les SDK pour vous assurer que les demandes contiennent un jeton CAPTCHA valide. Vous ne pouvez pas utiliser l'action de règle pour envoyer le script CAPTCHA à la page. |
Oui | N/A | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Coût supplémentaire | Oui, pour les paramètres d'action que vous spécifiez explicitement, soit dans les règles que vous définissez, soit en tant que dérogation aux actions des règles dans les groupes de règles que vous utilisez. Non dans tous les autres cas. | Oui, pour les paramètres d'action que vous spécifiez explicitement, soit dans les règles que vous définissez, soit en tant que dérogation aux actions des règles dans les groupes de règles que vous utilisez. Non dans tous les autres cas. | Non, mais nécessite l'un des groupes de règles payants ACFP, ATP ou Bot Control. | Non, mais nécessite l'un des groupes de règles payants ACFP, ATP ou Bot Control. | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Pour plus de détails sur les coûts associés à ces options, consultez les informations relatives à l'atténuation intelligente des menaces sur la page AWS WAF
Tarification
Il peut être plus simple de lancer des défis et d'appliquer les jetons de base en ajoutant simplement une règle avec une CAPTCHA action Challenge ou. Vous devrez peut-être utiliser les actions des règles, par exemple si vous n'avez pas accès au code de l'application.
Cependant, si vous pouvez implémenter les SDK, vous pouvez réduire les coûts et réduire le temps de latence dans votre évaluation ACL Web des requêtes Web des clients, par rapport à l'utilisation de l'Challengeaction suivante :
-
Vous pouvez écrire l'implémentation de votre SDK pour exécuter le défi à n'importe quel moment de votre application. Vous pouvez acquérir le jeton en arrière-plan, avant toute action du client susceptible d'envoyer une demande Web à votre ressource protégée. De cette façon, le jeton peut être envoyé avec la première demande de votre client.
-
Si, au contraire, vous acquérez des jetons en implémentant une règle avec l'Challengeaction, la règle et l'action nécessitent une évaluation et un traitement supplémentaires des requêtes Web lorsque le client envoie une demande pour la première fois et chaque fois que le jeton expire. L'Challengeaction bloque la demande qui ne contient pas de jeton valide et non expiré et renvoie l'interstitiel de défi au client. Une fois que le client a répondu avec succès au défi, l'interstitiel renvoie la demande Web d'origine avec le jeton valide, qui est ensuite évalué une deuxième fois par l'ACL Web.
