Cloudflare-Konfiguration für Hubbee

Cloudflare sitzt vor deiner WordPress-Site und challenged routinemäßig automatisierte Requests. Hubbee macht regelmäßige kleine Requests an /wp-json/bz/v1/* — genau das Pattern, das Cloudflares Defaults als suspect bewerten. Fix: eine Skip-Regel die unseren Pfad explizit durchlässt.

Wie du das Problem erkennst

Diagnose im Connect-Step zeigt typischerweise:

• cloudflare_challenge — Body enthält “Just a moment…” oder “Checking your browser”
• HTTP 403 auf /wp-json/ mit Cloudflare-Ray-ID-Header (cf-ray)
• HTTP 503 mit cf-mitigated: challenge Header

Skip-Regel (empfohlen)

Cloudflare-Dashboard → deine Site → Security → WAF → Custom rules:

1. Klick + Create rule
2. Name: Hubbee REST allow
3. Field: URI Path · Operator: contains · Value: /wp-json/bz/v1
4. Action: Skip (dann Produkte auswählen: WAF Managed Rules, Bot Fight Mode, Rate Limiting Rules, Super Bot Fight Mode)
5. Deploy

Regel greift in < 30 Sekunden. Connection in Hubbee neu versuchen.

Bot Fight Mode

Wenn du auf Free-Plan bist und keinen Zugriff auf Custom Skip Targets hast, Bot Fight Mode auf /wp-json/* deaktivieren:

1. Security → Bots → Configure Super Bot Fight Mode (oder Bot Fight Mode auf Free)
2. Entweder Off für ganze Site, oder
3. Auf Pro+: Custom rules nutzen (siehe oben)

Page Rules (Legacy)

Falls deine Zone noch Page Rules nutzt (deprecated zugunsten von Cache Rules + WAF Custom Rules), adde:

• URL: *example.com/wp-json/bz/v1/*
• Setting: Security Level → Essentially Off
• Setting: Browser Integrity Check → Off

Wenn möglich auf Custom rules wechseln — Page Rules sind zur Abschaltung vorgesehen.

Rate Limiting

Cloudflares Rate Limiting kann legitime Hubbee-Traffic blocken bei niedrigem Threshold auf /wp-json/*:

1. Security → WAF → Rate limiting rules
2. Prüfe Rules die /wp-json/* matchen
3. Entweder /wp-json/bz/v1/* aus der Rule ausschließen, oder Threshold auf 60 Requests/Minute heben (Hubbees Max-Push-Burst ist ~30 req/min bei Bulk-Ops)

Page Cache

Cloudflares Auto-Cache sollte nicht /wp-json/* cachen — die liefern personalisierten, authentifizierten Content. Default ist korrekt. Wenn du Caching customized hast:

1. Caching → Cache Rules
2. Stell sicher dass keine Rule Cache-TTL für /wp-json/* setzt
3. Falls Rule existiert: Exclude-Clause adden: URI Path contains /wp-json/

API Shield

Bei Cloudflare API Shield:

• /wp-json/bz/v1/* zu erlaubten Schema-Paths adden
• Oder API Shield für den Host deaktivieren bis OpenAPI-Schema verfügbar

Fix verifizieren

Nach Speichern einer Cloudflare-Regel:

1. 30 Sekunden Propagation abwarten
2. In Private-Tab: https://your-site.com/wp-json/bz/v1/ping → expect HTTP 401 (Endpoint existiert, lehnt nur unsignierte Requests ab). 403 bedeutet Cloudflare blockt noch.
3. Hubbee-Dashboard → Sites → deine Site → Diagnose starten → expect problem: null.

Wenn Cloudflare nach Skip-Rule weiter blockt, check Security → Events für blockierte Requests gegen den Hubbee-Pfad — Cloudflare nennt den genauen Ruleset.