Adım 1: Önce DDOS Modunu Açalım 
Adım 2: Bot Dövüş Modu Adım 3: Ayarlar Adım 4: En önemlisi WAF Kuralları 4 WAF ekleyeceğiz. Her biri için yukarıdaki Create Rule butonuna tıklayıp sıfırdan eklemelisiniz. WAF 1
Bu kural arama motorları vb geçişine izin verir ve seo sorunu yaşamamanızı sağlar.
(Edit expression butonuna tıklayıp bunu yapıştırabilirsiniz.)
(cf.verified_bot_category in {"Search Engine Crawler" "Search Engine Optimization" "Monitoring & Analytics" "Advertising & Marketing" "Page Preview" "Academic Research" "Security" "Accessibility" "Webhooks" "Feed Fetcher" "AI Crawler" "Aggregator"}) or (cf.client.bot)
(Sonrasında Deploy butonuna tıklıyoruz)
WAF 2
Bu kural zararlı spam ip adreslerinin ve kaynağı bilinmeyen ip adreslerinin geçişini bloklar. Normal kullanıcıları etkilemez.
(cf.threat_score ge 1) or (ip.geoip.country eq "XX") or (ip.geoip.country eq "T1")
WAF 3
ZORUNLU DEĞILDIR. Bu kural kullanıcıların kötü deneyim yaşamamasını sağlar. Sitenize login olunduğunda eklenen cookie ismini alıp o cookie bilgisine sahip olan kullanıcılara izin veriyoruz. Bu adımı atlayabilirsiniz.
(http.cookie contains "login-test")
login-test yerine kendi sitenizin oluşturduğu cookie yi ekleyebilirsiniz. Saldırgan çözerse bu kuralı kapatabilirsiniz.
WAF 4
Bu kural yurt dışı ziyaretçilere ve ipv6 adreslerine kısa süreli WAF gösterilip içeri alınmasını sağlar. Eğer saldırı yoksa Captcha tıklaması istemez. Cloudflare kendisi karar verir. Deneyim açısından en iyisidir.
(ip.geoip.country ne "TR") or (http.x_forwarded_for contains ":")
Kurallarımız bitti. Şimdi Rate limit ekleyelim.
Rate limit
Ücretsiz planda sınırlı ama yine de işlevsel.
UYARI: css js vb dosyaları da istekten saydığından eklediğiniz path leri doğru seçmelisiniz contains kullanmamalısınız. Aşağıdaki örnekte / ve /login path kullanıldı ama sizin sitenizde farklı olabilir. Saldırının geldiği path e ekleyiniz.
Bu kurallar saldırıları durduracaktır. Türkiye'de çok fazla ip adresi olan birisi saldırırsa waf 4 ü kapatıp under atack modunu açabilirsiniz. Türkiye dahil her yere kısa süreli waf gösterir saldırgansa captcha ile uğraşır. Cookie izni olduğundan gerçek kullanıcıları etkilemez.