# CDN e WAF com proteção DDoS | Edgium > CDN e WAF numa rede anycast com pontos no Brasil e no exterior: proteção DDoS, certificado SSL, domínio raiz sem CNAME, portas personalizadas e HTTP/3. O seu DNS continua onde está. Fonte: https://edgium.net/cdn --- [Edgium](https://edgium.net/) / CDN e WAF # CDN e WAF com proteção DDoS para o seu site, loja e API O seu site responde do ponto da rede mais perto de quem acessa, no Brasil ou no exterior. O ataque para na borda, a origem fica escondida, e até o domínio raiz, sem o www, entra protegido sem CNAME e sem mudar o seu DNS de lugar. [Combinar um teste da CDN](https://edgium.net/contato?interesse=cdn#formulario) Ver como o tráfego anda ![Nuvem em verde-limão cercada por órbitas, ilustração da CDN](https://edgium.net/assets/img/cdn.webp) ## Uma rede inteira com o mesmo endereço Na Edgium, todos os pontos da rede, no Brasil e no exterior, anunciam os mesmos IPs pela internet (anycast, por BGP). Quem acessa o seu site é levado pelo próprio roteamento ao ponto mais próximo. É isso que deixa a gente gerir o tráfego e proteger tudo antes de chegar ao seu servidor. ### Mais perto de quem acessa Cada visitante cai no ponto mais próximo pelo caminho de rede, não por adivinhação de DNS. Menos saltos, menos tempo até o primeiro byte. ### Ataque DDoS dividido e contido Um ataque distribuído chega espalhado entre os pontos da rede, e cada um filtra a sua parte. A sua origem não recebe o volume. [Mais sobre a proteção DDoS](https://edgium.net/protecao-ddos) ### Ponto fora, tráfego segue Se um ponto sai do ar, o BGP leva o tráfego para o seguinte, que tem o mesmo IP. Sem troca de DNS e sem esperar TTL. ## Domínio raiz protegido, sem CNAME O padrão do DNS não permite CNAME no domínio raiz (o `suaempresa.com.br`, sem o www). Por isso muitas CDNs pedem que você leve o DNS inteiro para elas, ou só protegem o www. Na Edgium, os IPs são anycast e fixos. O domínio raiz recebe registros `A` e `AAAA` comuns, apontados para a rede, no DNS que você já usa. Para quem acessa, nada muda: o mesmo endereço, o mesmo certificado, só que mais rápido e protegido. ``` ; no DNS que você já usa (exemplo) suaempresa.com.br. A IP anycast Edgium suaempresa.com.br. AAAA IPv6 anycast Edgium www.suaempresa.com.br. CNAME suaempresa.com.br. ; e-mail, SPF e o resto continuam iguais suaempresa.com.br. MX 10 mx.seuprovedor.com.br. ``` ## O que a CDN faz pela sua aplicação Configuração separada para cada aplicação. Você decide o que vai para o cache, o que é bloqueado e como a borda conversa com a sua origem. ### Portas HTTP personalizadas A aplicação roda em `8080`, `8443` ou outra porta? A CDN atende na porta que você precisa e fala com a origem na porta dela. ### Certificado SSL próprio ou emitido para você Use o certificado da empresa (EV, OV ou wildcard) ou deixe a Edgium emitir e renovar pelo Let's Encrypt. TLS com HTTP/2, HTTP/3 e HSTS ligados. ### Firewall de aplicação web (WAF) Regras contra injeção de SQL e outros ataques comuns na web, bloqueio por país, IP, host e user-agent, e desafio para robôs e tráfego suspeito antes de chegar ao servidor. ### Cache de estático e dinâmico Imagens, scripts e páginas saem da borda, comprimidos em Brotli ou Gzip, com o tempo de cache e de expiração que você escolher. O que muda a cada pedido vai direto à origem pela rede da Edgium, por um caminho já aberto. ### WebSocket por padrão Chat, painéis ao vivo e notificações funcionam pela CDN sem configuração extra. ### IP real e logs no seu servidor A aplicação recebe o IP, a porta e o país reais do visitante em cabeçalhos (`X-Real-IP` e `X-Client-IP`). Os logs de acesso podem ir por syslog para um servidor seu, para atender à LGPD. ### Origem escondida O IP do seu servidor não aparece no DNS. A origem pode aceitar só a Edgium e fechar o resto da internet. ### IPv4 e IPv6 A rede anuncia endereços IPv4 e IPv6. Mesmo que a sua origem só tenha IPv4, quem acessa por IPv6 é atendido. ## Cada aplicação com as suas configurações, no painel No painel da Edgium, cada domínio e subdomínio tem as suas abas: certificado SSL, segurança, cache, WAF, origens (upstreams) e analytics. Você ajusta quando quiser, e a nossa equipe acompanha junto. ![Painel da Edgium na tela da CDN de um subdomínio, com as abas Inicial, SSL, Segurança, Cache, WAF, Geral, Upstreams e Analytics, e o menu com DNS, CDN, DNS Firewall e Load Balancer](https://edgium.net/assets/img/painel-cdn.jpg) Tela real do painel da Edgium, dados fictícios. ### Desempenho - HTTP/2 e HTTP/3 - IPv4 e IPv6 - Controle de cache e de expiração - Compressão Brotli e Gzip - Várias origens por aplicação - WebSocket ### Monitoração - IP real do visitante (X-Real-IP e X-Client-IP) - Cabeçalhos de geolocalização - Métricas de tempo de resposta - Envio de logs por syslog e rsyslog - Analytics por aplicação ### Segurança - WAF e proteção DDoS - Certificado SSL próprio ou Let's Encrypt - Proteção contra hotlink - Regras de bloqueio personalizadas - Origem escondida ## O que muda para a empresa e para quem acessa ### Para a empresa - **Conta de nuvem menor:** o que sai do cache não passa pela sua origem nem pela transferência paga da nuvem. - **Servidor menor:** com a borda segurando o pico e o ataque, a origem não precisa ser dimensionada para o pior dia. - **Entrada sem migração:** o DNS não muda de lugar, e voltar atrás é desfazer um registro. - **Atendimento no Brasil:** quem configura e acompanha é a nossa equipe, em português, junto com você. ### Para quem acessa - **Página que abre rápido,** porque a resposta vem do ponto mais perto, inclusive pelo celular. Velocidade também conta para o Google. - **Site no ar durante um ataque,** porque o tráfego ruim fica na borda e o bom continua passando. - **Nada de endereço estranho:** o mesmo domínio, o mesmo cadeado, sem redirecionamento. - **Conexão moderna,** com HTTP/3 e IPv6 para quem tem, e o resto continua funcionando. ## Como a aplicação entra na CDN ### Você conta o que vai para a borda O domínio, onde está a origem, a porta, e o que pode ficar em cache. ### A gente configura e testa A aplicação é cadastrada na rede e testada antes de receber tráfego de verdade, com o seu certificado ou um emitido para você. Se preferir, comece por um subdomínio de teste. ### Você aponta os registros No DNS que já usa, troca o `A` e o `AAAA` (ou o `CNAME` do subdomínio) para a Edgium. Para voltar, basta desfazer. ## Exemplos de uso Situações comuns e como a Edgium resolve cada uma. ### Loja virtual e e-commerce Black Friday sem página lenta: cache na borda, WAF contra robôs e proteção DDoS no pico. [Ver o exemplo completo](https://edgium.net/casos-de-uso#loja-virtual) ### Portais de notícia, blogs e mídia Notícia viral sem site fora do ar: o cache segura o pico e o hotlink para de custar banda. [Ver o exemplo completo](https://edgium.net/casos-de-uso#portal) ### Agências e desenvolvedores web Dezenas de sites num painel só, com certificado renovado sozinho e domínio sem www protegido. [Ver o exemplo completo](https://edgium.net/casos-de-uso#agencias) ## Perguntas sobre a CDN ### Dá para testar a CDN antes de contratar? Sim. Converse com a gente: a Edgium prepara um teste com um subdomínio ou com a sua aplicação, e você mede com o seu próprio tráfego antes de apontar o domínio principal. ### Preciso trazer o meu DNS para a Edgium? Não. O DNS continua onde está. Você troca só os registros do site para apontar para a Edgium: A e AAAA no domínio raiz, e A, AAAA ou CNAME nos subdomínios. ### Dá para proteger o domínio raiz, sem o www? Sim. Como os IPs da Edgium são anycast e fixos, o domínio raiz recebe registros A e AAAA comuns, sem CNAME e sem truque no DNS. ### A minha aplicação usa uma porta diferente de 80 e 443. Funciona? Funciona. A CDN aceita portas HTTP e HTTPS personalizadas, tanto na entrada quanto na conexão com a sua origem. ### Posso usar o meu próprio certificado? Pode. Você envia o certificado da empresa, inclusive EV ou wildcard, ou a Edgium emite e renova um para o seu domínio. ### O que acontece se um ponto da rede cair? O roteamento da internet (BGP) leva o tráfego para o ponto seguinte, que anuncia o mesmo IP. Não há troca de DNS nem espera de TTL. ### A minha aplicação continua vendo o IP do visitante? Sim. A Edgium manda cabeçalhos com o IP, a porta e o país reais do visitante, e os logs podem ir para um servidor seu. ### A CDN protege contra ataque DDoS? Sim. Como a rede é anycast, um ataque distribuído chega dividido entre os pontos no Brasil e no exterior, e cada um filtra a sua parte. O WAF ainda barra pedidos suspeitos antes de chegarem à aplicação. ### Dá para impedir que outros sites usem as minhas imagens? Sim. A proteção contra hotlink faz a CDN recusar arquivos pedidos por páginas de outros domínios, e a sua banda deixa de pagar pelo conteúdo exibido nelas. ## Converse com a Edgium e teste a CDN Conte o domínio e onde está a origem. A gente prepara um teste com um subdomínio ou com a sua aplicação, você mede com o seu tráfego, e depois vem a proposta. [Combinar um teste da CDN](https://edgium.net/contato?interesse=cdn#formulario) [Chamar no WhatsApp](https://wa.me/5547999659121?text=Ol%C3%A1%21%20Vim%20pelo%20site%20edgium.net%20e%20quero%20conversar%20sobre%20um%20teste%20da%20CDN%20e%20do%20WAF.)