AWS WAF playground

Три варианта вызова одного и того же эхо-бэка (httpbin /anything). Цель — посмотреть как WAF ведёт себя в живую: что попадает на edge, какой запрос реально доходит до origin'а, какой токен/cookie прицеплен, и что приходит обратно. Окно валидности токена — 5 минут, после повторно решать challenge/captcha.

1. No WAF

Путь /anything — WAF пропускает без проверки (default ALLOW). Сравнение для контроля.

2. Challenge

Путь /anything/challenge — WAF выдаёт silent JS challenge. SDK решает невидимо, без UI.

3. CAPTCHA

Путь /anything/captcha — WAF требует CAPTCHA. SDK рендерит виджет (если токена нет).

4. Rate limit

Любой путь > 100 req/min с одного IP → WAF включает BLOCK action. На практике WAF блокирует не каждый запрос а подмножество (защита от каскадных эффектов), поэтому после Spam идёт probe раз в 1 сек на 60 сек и показывает живой ratio blocked/total.

Request

— нажми любую кнопку выше —

Response