AWS WAF יכולה כעת להוסיף אוטומטית את JavaScript SDK שלה לדפי HTML שמוגשים דרך Amazon CloudFront. השינוי נועד למנוע מצב שבו כללי Bot Control או Fraud Control מופעלים ב-Web ACL, אך האפליקציה אינה שולחת את אותות הלקוח הנדרשים משום שתגית הסקריפט חסרה או נשברה במהלך פריסה.
מה משתנה בפועל
כאשר מפעילים את האפשרות החדשה, CloudFront מוסיף את תגית הסקריפט ל-HTML המוגש למשתמשים. לפי הודעת AWS מ-30 באוקטובר 2026, אין צורך לשנות קוד אפליקציה, תהליך build או pipeline פריסה. ה-SDK אוסף אותות בצד הלקוח שמשמשים שלוש קבוצות כללים מנוהלות:
- Bot Control ברמת Targeted inspection.
- Fraud Control Account Takeover Prevention, או ATP.
- Fraud Control Account Creation Fraud Prevention, או ACFP.
עד כה צוותים נדרשו לשלב את התגית בכל עמוד ובכל אפליקציה, ולתחזק אותה לאורך גרסאות. בסביבה עם כמה אתרים, CMS או עמודים שאינם בשליטת צוות הפיתוח, קל להגיע לפער: ה-Web ACL נראה תקין, אבל אותות הדפדפן אינם מגיעים ולכן שכבת הזיהוי אינה פועלת במלואה.
איפה האפשרות זמינה
האינטגרציה האוטומטית זמינה ל-Web ACL שמגן על הפצת CloudFront וכולל לפחות אחת משלוש קבוצות הכללים הרלוונטיות. ניתן להגדיר אותה דרך AWS Management Console, CLI, SDK, CDK או CloudFormation.
במסוף AWS האפשרות מופעלת כברירת מחדל עבור Web ACL חדש שנוצר עם אחת מקבוצות הכללים. לעומת זאת, ביצירה תכנותית היא כבויה כברירת מחדל. Web ACL שנוצר לפני ההשקה אינו משתנה אוטומטית, ולכן יש לבדוק ולהפעיל את ההגדרה במפורש.
למה זה משפר אבטחה
שילוב מרכזי מצמצם drift בין הגדרת האבטחה לבין הקוד שמוגש בפועל. הוא גם מפחית תלות בצוותי פיתוח לצורך הוספת תגית בכל אפליקציה. עם זאת, מדובר במנגנון איסוף אותות ולא בפתרון עצמאי: קבוצת הכללים, פעולת החסימה, החרגות ו-thresholds עדיין דורשים כוונון.
בדיקות לפני הפעלה
- לבדוק שה-Web ACL משויך להפצת CloudFront הנכונה.
- לוודא שלפחות אחת מקבוצות Bot Control, ATP או ACFP פעילה.
- לבדוק Content Security Policy ולוודא שהסקריפט אינו נחסם.
- להשוות שיעור אתגר, חסימה ו-false positives לפני ואחרי ההפעלה.
- לבדוק עמודי HTML דינמיים, cache behavior ועמודים שמוגשים ממקורות שונים.
- לתעד שינוי ב-Infrastructure as Code כדי למנוע ביטול בפריסה הבאה.
AWS מציינת שאין חיוב נוסף עבור עצם האינטגרציה האוטומטית. החיובים הרגילים של AWS WAF וקבוצות הכללים עדיין חלים. ארגונים צריכים לעקוב אחר נפח הבקשות, פעולות Challenge/CAPTCHA ועלות הכללים המנוהלים.
המשמעות לצוותי תפעול ואבטחה
ההשקה אינה משנה את מנגנון הזיהוי עצמו, אבל היא סוגרת נקודת כשל תפעולית נפוצה: כלל מוגדר ללא הטמעת לקוח תקינה. עבור ארגונים שמנהלים כמה נכסי Web מאחורי CloudFront, ההגדרה יכולה להפוך את שילוב ה-SDK לסטנדרט ברמת התשתית במקום משימה חוזרת בכל repository.
מקור: AWS — Automatic SDK integration for CloudFront, 30.10.2026.
קרדיט תמונה: Jill Burrow / Pexels. רישיון Pexels מתיר שימוש באתר, בסושיאל ובשיווק, כולל עריכה.
