Кратко

  • У аккаунта Workers Free лимит 100 тысяч запросов в сутки с обнулением в полночь UTC. После превышения fail open пропускает запрос мимо Worker, а fail closed отвечает ошибкой Cloudflare 1027.
  • Если Worker проверяет доступ перед сервером приложения, при обходе остаются только самостоятельные правила сервера. Cloudflare рекомендует fail closed для критичных функций безопасности.

Лимит как часть схемы сети

Компания ставит Worker перед приложением и выбирает бесплатный тариф. На первых запросах эта схема работает как задумано. После дневных 100 тысяч Cloudflare применяет к маршруту выбранный режим отказа. При fail open запрос ведёт себя так, будто Worker никогда не был настроен. При fail closed пользователь видит страницу 1027. Один и тот же исчерпанный счётчик даёт либо пропущенный код, либо остановленный сервис.

Маршрут Workers может располагаться перед уже существующим сервером за проксируемым доменом. Код способен преобразовывать ответ или решать, кому разрешён доступ. Если он единственный проверяющий, обход переносит всю ответственность на сервер-источник. Сервер с собственной проверкой отклонит запрещённый запрос. Сервер, который полностью положился на Worker, окажется в другом положении. Чтобы сказать, что произойдёт с конкретным сайтом, нужен его действующий набор правил на источнике; общего руководства Cloudflare для этого недостаточно.

При fail closed проверка не обходится, но вместе с подозрительным запросом останавливается и обычный клиент. Cloudflare советует такой режим для Workers, выполняющих функции безопасности. Fail open сохраняет путь к приложению, ценой функций кода на границе. Вопрос не в том, какой режим звучит дружелюбнее. Вопрос в том, какое обязательство — доступность или проверку — команда готова защищать при исчерпании лимита.

Полночь UTC даёт момент сброса, но не объясняет, как пережить часы до него. В таблице Cloudflare у платного Workers нет этого дневного ограничения запросов. Покупка ёмкости устраняет конкретный порог; она не заменяет аудит доступа на сервере. Настройки маршрутов нужно сверить с метрикой использования и провести проверку пути без Worker заранее.

Источники