Настройка Cloudflare Turnstile в Authentik

#

Cloudflare Turnstile - это современная альтернатива CAPTCHA, которая позволяет защищать формы аутентификации от ботов и атак перебора, не заставляя пользователей разгадывать картинки или вводить символы.

Зачем использовать Cloudflare Turnstile в Authentik

#

По умолчанию Authentik уже обладает неплохой защитой от:

• brute-force атак;
• username enumeration;
• автоматических попыток входа.

Однако при публикации IdP в интернет этого часто бывает недостаточно.

Cloudflare Turnstile позволяет:

• отсекать ботов ещё до выполнения flow;
• снизить нагрузку на Authentik;
• улучшить пользовательский опыт по сравнению с классическими CAPTCHA;
• повысить общий уровень безопасности без усложнения логики flows.

То есть кроме тех способов аутентификации и авторизации, которые мы с вами уже настроили в предыдущих статьях, добавляется еще один способ проверки.

Визуально это выглядит как-то так

Требования

#

Перед началом убедитесь, что:

• у вас есть аккаунт в Cloudflare;
• домен, на котором доступен Authentik, добавлен в Cloudflare.

К сожалению, это обязательные требования для использования этой технологии.

Создание Turnstile в Cloudflare

#

1. Перейдите в панель Cloudflare.
2. Откройте раздел Security > Turnstile (Cloudflare периодически переносит пункты меню между разделами - на момент написания статьи это было “Protect & Connect”, сейчас переехало в “Security”. Если снова не найдёте - ищите просто “Turnstile” через поиск в дашборде).
3. Нажмите Add Widget (в части версий интерфейса кнопка уже называется Add site).
4. Укажите:
   • Widget name - произвольное имя (например authentik-login);
   • Add Hostname > Domains - домен, на котором работает Authentik;
   • Widget mode - Managed (рекомендуется для дома).
   • Pre-Clearance Mode - Yes
   • Level of pre-clearance - interactive

После создания вы получите:

• Site Key
• Secret Key

Можете их скопировать, но Cloudflare заботливо указывает, что вы всегда сможете повторно получить к ним доступ.

Создание Captcha Stage в Authentik

#

Настройка этапа в Authentik

#

Теперь переходим к настройке в Authentik.

1. Откройте админ-панель Authentik.
2. Перейдите в Flows and Stages → Stages.
3. Нажмите Create.
4. Выберите Captcha Stage.

5. Задайте имя этапу.
6. В типе проверки выберите Cloudflare Turnstile.
7. В разделе Public key и Private Key укажите значения, которые мы получили у Cloudflare.
8. Галку Interactive можно оставить включенной, если Turnstile у вас сконфигурирован как Invisible или Managed.

   

В разделе Advanced Settings ничего не трогаем. В актуальной на дату написания статьи версии Authentik корректные значения уже автоматом прописаны. Раньше нужно было их вставлять руками. Более подробно можно ознакомиться на сайте с официальной документацией

9. Finish

Интеграция этапа Turnstile в основной поток аутентификации и авторизации

#

1. Откройте админ-панель Authentik.
2. Перейдите в Flows and Stages → Flows → default-authentication-flow.
3. Выберите Stage Bindings → Bind Existing Stage
4. Выбираем вновь созданный этап.
5. Выбираем порядок обработки этапа Turnstile - после этапа аутентификации, но до этапа ввода пароля.
6. Выберите evaluate when flow is planned.
7. Create

Теперь мы интегрировали этап “капчи” при аутентификации в Authentik.