🔧 Step by Step Setting Cloudflare Security (Free Plan)

1. SSL/TLS

• Menu: SSL/TLS → Overview

• Pilih: Full (Strict) (asal server sudah pakai cert valid, misalnya Let’s Encrypt).
  👉 Supaya koneksi aman end-to-end (bukan hanya user → Cloudflare).

---

2. Security Level

• Menu: Security → Settings → Security Level

• Pilih: High
  👉 User yang dianggap mencurigakan akan kena JS Challenge. Ini sangat membantu mencegah bot scanning random.

---

3. Super Bot Fight Mode

• Menu: Security → Settings → Bot Trafic → Bot Fight Mode

• Aktifkan:

  • Caranya: klik menu Security > pilih submenu Bots lalu aktifkan Bot Fight Mode
    👉 Bot scanning seperti curl/sqlmap otomatis di-drop.

---

4. Firewall/Security Rules (5 prioritas tadi)

• Menu: Security → Security Rules

• Buat 5 rule hasil revisi yang saya tulis sebelumnya (Block .env, Challenge /login, Block non-ID, dll).
  👉 Ini lapisan khusus Laravel 5.7 biar tidak gampang dieksploit
  

---

5. Caching

• Menu: Caching → Configuration

• Aktifkan:

  • Always Online → On (jaga kalau server down, Cloudflare tampilkan cache).

  • Auto Minify → On (JS, CSS, HTML)

  • Brotli Compression → On
    👉 Selain lebih cepat, juga mengurangi hit langsung ke server.

---

6. Hide Origin IP

• Pastikan semua subdomain yang dipakai publik (misalnya poltekesos.ac.id, www.poltekesos.ac.id) statusnya Proxied (awan oranye).

• Kalau ada subdomain DNS Only (awan abu-abu), attacker bisa tahu IP asli server.

• Kalau bisa, di server aktifkan firewall yang hanya allow koneksi dari Cloudflare IPs.

---

7. Rate Limiting (Workaround via Rule)

• Karena Free Plan tidak ada Rate Limit resmi, pakai Rule /login → Challenge.
  👉 Minimal mencegah brute force login Laravel.

---

8. Optional: Page Rules

• Menu: Rules → Page Rules (Free Plan dapat 3 rules).

• Bisa dipakai untuk:

  • Cache Everything untuk halaman statis.

  • Disable Performance untuk area login (/login*).
    👉 Supaya login tidak cached dan tetap normal.

---

📌 Urutan Eksekusi Ideal:

1. SSL/TLS Full Strict (dasar keamanan)

2. Security Level High (screening awal)

3. Super Bot Fight Mode (blokir bot otomatis)

4. Security Rules (5 rules revisi) (proteksi Laravel spesifik)

5. Caching & Page Rules (optimasi + proteksi tambahan)

6. Hide Origin IP (jangan bocor IP server asli)

---

Kalau sudah jalan semua ini → walaupun Laravel 5.7 rawan, layer di depan (Cloudflare) sudah sangat memperkecil permukaan serangan.