BK-256 - Onboarding Cloudflare Free como borda/WAF do RNT

Objetivo

Não esquecer de avaliar a entrada do rionoteatro.com.br atrás do Cloudflare no plano free como camada de borda/WAF antes do servidor.

Motivação

• reduzir ruído de scanners e payloads automáticos antes de chegarem ao Nginx/PHP
• ganhar rate limit, bot fight e WAF básico na borda
• complementar o hardening do app e do Nginx

Escopo da avaliação futura

1. mapear DNS atual e impacto da troca de nameservers
2. validar se o modo proxy do Cloudflare não quebra:

• checkout
• webhooks
• painel admin
• uploads
• scrapers/bots legítimos

1. definir regras mínimas:

• challenge/rate limit
• país/IP se necessário
• proteção para rotas sensíveis

1. validar compatibilidade com certificados e cache

Observação

Essa frente é complementar:

• não substitui correção do app
• não substitui rate limit/CSRF no backend
• mas pode reduzir bastante o ruído e o volume de ataque na borda