Chrome ने सालों तक बिना ताले वाली साइटों से डराया। अब हर साइट पर ताला है - और दस बड़ी साइटों में से सात पर वह मिडलबॉक्स तक जाता है
ताला और HTTPS एक वजह से बने: ताकि आप और साइट के बीच कोई आपकी भेजी चीज़ न पढ़ सके। आपका ISP, कैफ़े Wi-Fi, तार पर कोई राज्य - सब सिर्फ सिफरटेक्स्ट देखते हैं। ब्राउज़रों ने सालों सिखाया: ताला नहीं - पासवर्ड मत डालो।
Cloudflare एक प्रॉक्सी है जो आप और साइट के बीच बैठता है; Amazon CloudFront, Azure Front Door, Akamai और Fastly भी वैसा ही करते हैं। «हमलों को रोकने» के लिए मिडलबॉक्स को ट्रैफ़िक खुले में देखना पड़ता है। इसलिए आपका कनेक्शन उसके सर्वर पर खत्म होता है: वहाँ अनुरोध डिक्रिप्ट होता है, उसके नियमों से जाँचा जाता है, और तभी अलग कनेक्शन पर साइट को भेजा जाता है। Cloudflare के अपने डॉक्स इसे TLS termination कहते हैं - «वह बिंदु जहाँ HTTPS ट्रैफ़िक ��िक्रिप्ट होता है ताकि Cloudflare उसे inspect कर सके»। Amazon, Azure और Akamai के डॉक्स में उसी बिंदु का वही नाम है।
तकनीकी रूप से यह क्लासिक man in the middle है। हमले से एक ही फर्क: साइट मालिक ने खुद साइट को मिडलबॉक्स के पीछे रखकर इसके लिए साइन अप किया। प्लान या सेटिंग्स इसे हटाती नहीं: जब तक साइट मिडलबॉक्स के पीछे है, एन्क्रिप्शन मिडलबॉक्स पर खत्म होता है - फ्री प्लान पर भी, Enterprise पर भी। आपसे किसी ने नहीं पूछा, और ताला बताएगा भी नहीं।
व्यवहार में इसका मतलब - डॉक्स और तारीखों से
कोई फैसला नहीं। सिर्फ Cloudflare के अपने दस्तावेज़, उसकी अपनी घटना रिपोर्ट और सार्वजनिक लेख - तारीखों के साथ, ताकि हर पंक्ति जाँची जा सके।
दस में से सात सबसे बड़ी साइटें - मिडलबॉक्स के पीछे
HTTP Archive 2025 के अनुसार, दुनिया की हज़ार सबसे ज़्यादा देखी साइटों में से 71% HTML दस्तावेज़ भी मिडलबॉक्स से देती हैं; टॉप 10,000 में - 70%, टॉप 100,000 में - 62%। वे मिडलबॉक्स कौन: Cloudflare - ऐसी साइटों का 58%, फिर Amazon CloudFront (7%), Fastly (5%), Akamai (2%) और क्लाउड लोड बैलेंसर। दुनिया की सभी साइटें गिनें तो हर तीसरी मिडलबॉक्स के पीछे है; अकेले Cloudflare - सभी साइटों का 26% और reverse-proxy बाज़ार का 85%।
WAF हर अनुरोध का body पढ़ता है - डॉक्स के अनुसार
Cloudflare नियम «हर आने वाले अनुरोध के body का निरीक्षण» करते हैं, और उनके rules भाषा में फ़ील्ड http.request.body.raw है «बिना बदला HTTP request body»। लॉगिन फ़ॉर्म एक request body है। उसमें लॉगिन और पासवर्ड plaintext हैं।
Cloudbleed, 2017: मिडलबॉक्स की मेमोरी दूसरे जवाबों में लीक हुई
22 सितंबर 2016 से 18 फरवरी 2017 तक Cloudflare के पार्सर में बग ने एक साइट की मेमोरी के टुकड़े दूसरी के जवाब में मिला दिए: हेडर, पासवर्ड वाले POST के हिस्से, cookie, API कुंजी और टोकन। Cloudflare ने 1.2 मिलियन हिट गिने; लीक सर्च कैश में पहुँचे - 80,000 से ज़्यादा पेज साफ़ किए। प्रेस में Uber, OkCupid, Fitbit नाम आए।
नवंबर 2023: हमलावर चोरी की कुंजियों से Cloudflare में घुसे
14 से 24 नवंबर 2023 तक हमलावर - Cloudflare उन्हें «nation-state» कहता है - Okta ब्रीच से चुराए क्रेडेंशियल लेकर Cloudflare के सिस्टम में काम किए: Confluence wiki, Jira, Bitbucket, 76 रिपॉज़िटरी डाउनलोड। उसके बाद Cloudflare ने 5,000 से ज़्यादा क्रेडेंशियल घुमाए और 4,893 सिस्टम जाँचे।
सबके लिए एक स्विच
2 जुलाई 2019 - 27 मिनट, WAF में एक regex, ट्रैफ़िक 82% गिरा। 21 जून 2022 - 75 मिनट, 19 डेटा सेंटर। 18 नवंबर 2025 - लगभग छह घंटे, «2019 के बाद सबसे बुरा आउटेज»: X, ChatGPT, Spotify, Shopify, Coinbase गिरे। 5 दिसंबर 2025 - और 25 मिनट। 20 फरवरी 2026 - छह घंटे, BGP त्रुटि। इनमें से कोई आउटेज हमला नहीं था।
Cloudflare तय करता है कि आप इंसान हैं या नहीं
साइट मालिक एक बॉक्स टिक करता है - और पहुँच वह नहीं, Cloudflare का फ़िल्टर तय करता है। उनक�� डॉक्स «challenge loop, जब चुनौती बार-बार आती है» मानते हैं, VPN और प्रॉक्सी की वजह से भी। 2016 से Cloudflare Tor को अलग «देश» मानता है और कहता है वहाँ से 94% अनुरोध दुर्भावनापूर्ण हैं; Tor Project ने «CAPTCHA का अंतहीन लूप» और कम से कम 80% Tor पतों के ब्लॉक की बात कही।
जब राज्य मिडलबॉक्स से लड़ता है: रूस का मामला
अक्टूबर 2024 में Cloudflare ने फ्री प्लान पर ECH एन्क्रिप्शन डिफ़ॉल्ट चालू किया। 6 नवंबर 2024 को ECH वाले Cloudflare के पीछे की साइटें रूसी ISP पर खुलना बंद हो गईं; 7 नवंबर को CMU SSOP (Roskomnadzor इकाई, रूस का संचार नियामक) ने ECH को «प्रतिबंधों को दरकिनार करने का साधन» कहा और मालिकों को इसे बंद करने «या बेहतर, घरेलू CDN इस्तेमाल» की सलाह दी। 9 जून 2025 से रूस के चार सबसे बड़े ऑपरेटरों ने Cloudflare ट्रैफ़िक को किसी भी फ़ाइल के पहले 16 KB तक काट दिया। रूस से ट्रैफ़िक लगभग 30% गिरा; रूसी वेब की 40% से ज़्यादा साइटें - लगभग 300,000 - Cloudflare के पीछे हैं। 2 जून 2026 को FSB ने कहा कि विदेशी खुफिया एजेंसियाँ रूसी अधिकारियों के फोन से डेटा इकट्ठा कर रही थीं Cloudflare और Fastly की «तकनीकी क्षमताओं» से, और आपराधिक संहिता धारा 272 व 273 के तहत मामले खोले - उसने कोई तकनीकी सबूत नहीं दिखाया, कंपनियों ने जवाब नहीं दिया। वही Cloudflare 2022 से UK रक्षा मंत्रालय की साइटें सरकारी अनुबंध पर ढँकता है - Army, Royal Navy, RAF और 330,000 उपयोगकर्ताओं का Defence Gateway: 2022-2025 के लिए £425k और 2025-2026 के लिए £105k।
हर जगह वही स्कीम: Amazon, Akamai, Azure, Fastly
कोई भी प्रॉक्सी या क्लाउड लोड बैलेंसर जो TLS खुद पर खत्म करता है, वैसा ही काम करता है: Amazon CloudFront और ALB, Azure Front Door और Application Gateway, Akamai, Fastly, Imperva, Alibaba Cloud CDN, Tencent EdgeOne। हर एक का अपना WAF है जो request body पढ़ता है, अपना कैश और अपने आउटेज। Cloudflare सिर्फ सबसे बड़ा है और दस्तावेज़ों में सबसे खुला। ओरिजिन सर्वर पर सर्टिफिकेट वाला साधारण होस्टिंग अलग है: वहाँ ट्रैफ़िक सिर्फ साइट पढ़ती है।
आपके पैसे के लिए इसका मतलब
मिडलबॉक्स के पीछे एक्सचेंज
मिडलबॉक्स के पीछे वेब वॉलेट
ऑफ़लाइन साइन वाला वॉलेट
किसी भी साइट को एक मिनट में जाँचें
हमें या उन्हें मानने की ज़रूरत नहीं। मिडलबॉक्स हर जवाब में निशान छोड़ता है, और कोई भी देख सकता है।
हमने पाँच सबसे लोकप्रिय वॉलेट लिए और देखा उनके साइट और आपके बीच कौन बैठता है
हमने अनुमान नहीं लगाया और दूसरों की समीक्षाएँ नहीं पढ़ीं: साइटों पर साधारण अनुरोध किए, response headers और सर्टिफिकेट देखे। नतीजा नीचे, जैसा है।
यहाँ तक पढ़ने के बाद लोग क्या पूछते हैं
सरल शब्दों में Cloudflare क्या है?
एक मिडलबॉक्स कंपनी: साइट सारा ट्रैफ़िक उनके सर्वर से भेजती है, और वे उसे «सुरक्षित» करते हैं। «सुरक्षित» करने के लिए वे आपके कनेक्शन को अपनी तरफ़ डिक्रिप्ट करते हैं। दुनिया की एक चौथाई साइटें ऐसे ही चलती हैं।
क्या Cloudflare मेरे पासवर्ड देखता है?
हाँ। कनेक्शन उसके सर्वर पर खत्म होता है, और डॉक्स के अनुसार फ़िल्टर नियम हर अनुरोध का body पढ़ते हैं - यूज़रनेम और पासवर्ड वाला लॉगिन फ़ॉर्म ठीक वही request body है। वह उसे रखता है या कितने समय - उसकी नीतियाँ तय करती हैं, जिन्हें आप जाँच नहीं सकते।
साइट मुझसे इंसान होने की पुष्टि क्यों मांगती है?
वह साइट नहीं, Cloudflare है। मालिक ने जाँच चालू की, और मिडलबॉक्स फ़िल्टर तय करता है: VPN, Tor, «संदिग्ध» क्षेत्र, पुराना ब्राउज़र - और आप challenge loop में फँसते हैं। Cloudflare खुद अपने दस्तावेज़ों में ऐसे लूप मानता है।
मेरे देश में Cloudflare के पीछे की साइट नहीं खुलती। क्या करूँ?
जब कोई देश मिडलबॉक्स से लड़ता है, उपयोगकर्ताओं के पास VPN बचता है - या बिना मिडलबॉक्स की साइट। साइट मालिकों के पास एक असली हल: खुद और उपयोगकर्ताओं के बीच से Cloudflare हटाएँ। तथ्य 07 का रूस मामला दिखाता है कितनी तेज़ी से «साइट डाउन है» बन जाता है «मिडलबॉक्स ISP से बिगड़ गया»।
क्या यह सिर्फ Cloudflare के बारे में है?
नहीं। कोई भी मिडलबॉक्स जो TLS खुद पर खत्म करता है, ऐसे ही काम करता है: Amazon CloudFront और AWS लोड बैलेंसर, Azure Front Door, Akamai, Fastly, Imperva, Alibaba Cloud CDN, Tencent EdgeOne। दुनिया की हज़ार सबसे बड़ी साइटों में 71% मिडलबॉक्स के पीछे हैं: Cloudflare - उनमें 58%, Amazon - 7%, Fastly - 5%, Akamai - 2%। साधारण होस्टिंग अलग है: वहाँ ट्रैफ़िक और सर्टिफिकेट साइट के ही हैं।
मैं साइट का मालिक हूँ। क्या करूँ?
तय करें क्या ज़्यादा मायने रखता है: «हमलों से सुरक्षा» या यह कि उपयोगकर्ताओं के पासवर्ड किसी और के कोड से न गुज़रें। प्लान और सेटिंग्स इसे नहीं बदलतीं - किसी भी प्लान पर सिफर मिडलबॉक्स पर खत्म होता है। एक समझौता है - प्रॉक्सी जो TLS डिक्रिप्ट न करे और स्ट्रीम सिर्फ सर्वर नाम से आगे भेजे। हमारा फ्रंट सर्वर ऐसे ही काम करता है: अतिरिक्त ट्रैफ़िक से बचाव रहता है, plaintext मिडलबॉक्स नहीं।