Eine Cloudflare-Bot-Management-Alternative mit veröffentlichtem Preis
Cloudflares Bot-Produkt ist stark, und sein Preis ist ein Gespräch. Was Sie aufgeben, wenn Sie nicht die ganze Website hinter einen Proxy stellen, und was Sie dafür zurückbekommen.
Was Sie tatsächlich vergleichen
Diese beiden Produkte haben nicht dieselbe Form, und so zu tun als ob hilft niemandem.
Cloudflare Bot Management ist Teil eines Reverse Proxy. Ihr DNS zeigt auf Cloudflare, Ihr gesamter Verkehr läuft hindurch, und die Bot-Bewertung ist eines von vielen Dingen, die dabei geschehen — neben Caching, WAF, DDoS-Absorption und TLS-Terminierung. Die Erkennung ist wirklich hervorragend, gespeist aus einem Anteil am weltweiten Web-Verkehr, den kein unabhängiger Anbieter erreicht.
Karma ist ein Bewertungsdienst. Das Snippet und Ihr Gateway senden Signale, ein Verdict kommt zurück, und Ihre eigene Infrastruktur handelt danach. Am Weg Ihres Verkehrs ändert sich nichts. Kein Proxy, kein DNS-Umzug, kein CDN.
Die ehrliche Frage lautet also nicht „wer erkennt besser“. Sie lautet, ob Bot-Erkennung eine Eigenschaft Ihres Netzwerkrands sein soll — oder ein Dienst, den Ihr bestehender Rand befragt.
Wo Cloudflare vorn liegt, klar gesagt
Vier Dinge, und keines davon ist klein.
- Der Umfang der Beobachtung. Cloudflare sieht einen großen Teil des Webs. Ein Botnetz, das irgendeinen davon berührt hat, ist dort bekannt, bevor es bei Ihnen ankommt. Wir sehen, was unsere Kunden sehen, und das ist ein viel kleineres Fenster.
- Es ist mehr als Bot-Erkennung. Wenn Sie ohnehin ein CDN, eine WAF und DDoS-Absorption brauchen, ist der Kauf als ein Produkt bei einem Anbieter günstiger und einfacher, als drei zusammenzusetzen.
- Die Durchsetzung ist schon da. Die Entscheidung wird an demselben Hop angewandt, der sie getroffen hat — ohne jede Integrationsarbeit in Ihrem Stack.
- Reife. Mehr Installationen, mehr bereits aufgetretene Randfälle, mehr Dokumentation von Leuten, die vor Ihnen darüber gestolpert sind.
Einschränkung 1: Die Website darf nicht hinter einen Proxy
Bot Management setzt voraus, dass Ihr Verkehr durch Cloudflare fließt. Für viele Teams ist das in Ordnung. Für manche nicht, und die Gründe sind eher struktureller Natur als Geschmackssache.
Regulierter Datenstandort. Wenn eine Aufsichtsbehörde oder ein Kundenvertrag verlangt, dass Verkehr in einer benannten Jurisdiktion terminiert, ist die Diskussion über eine globale Anycast-Route eine, die Sie möglicherweise nicht gewinnen.
TLS-Terminierung. Cloudflare terminiert TLS, um den Request zu inspizieren. Manche Organisationen können den privaten Schlüssel nicht herausgeben oder keinen Vermittler im kryptografischen Pfad akzeptieren, und daran ändert keine vertragliche Zusicherung etwas.
Sie haben bereits einen Rand. Wenn Sie eigene Load Balancer, eine eigene WAF und eigenes TLS betreiben, ist ein zweiter Proxy davor keine kleine Änderung, sondern ein Umbau mit eigenen Fehlermodi.
Karma stellt sich neben das, was Sie haben. Signale gehen raus, ein Verdict kommt zurück, der Anfrageweg bleibt unberührt.
Einschränkung 2: Sie müssen den Preis vor dem Telefonat kennen
Bot Management ist eine Enterprise-Funktion. Der Preis hängt von Ihrem Verkehr, Ihrem Vertrag und Ihrem Verhandeln ab, und Sie erfahren ihn, indem Sie mit dem Vertrieb sprechen.
Das ist eine legitime Art, an große Organisationen zu verkaufen, und für alle anderen ein echtes Hindernis. Ein Team, das wissen will, ob die Antwort 50 $ im Monat oder 5.000 $ kostet, muss dafür einen Termin buchen — und wenn es Bescheid weiß, sind zwei Wochen vergangen.
Karmas Preise stehen auf der Preisseite, alle, auch die oberste Stufe. Die Einheit ist ein Verdict — eine abgeschlossene Sitzung, über die tatsächlich entschieden wurde — und die kostenlose Stufe sind 25.000 davon im Monat, dauerhaft, ohne Karte.
Ob das Produkt in Ihr Budget passt, wissen Sie in etwa neunzig Sekunden — so lange hat diese Seite gedauert.
Einschränkung 3: Sie müssen eine Sperre erklären können
Cloudflare gibt einen Bot-Score von 1 bis 99 zurück und, auf Enterprise, einige Angaben dazu, welche Erkennungs-Engine ihn erzeugt hat. Das ist erklärbarer als bei den meisten — und im Kern doch eine Zahl, die in einem fremden System berechnet wurde.
Wenn eine Kundin anruft und sagt, sie komme nicht durch die Kasse, brauchen Sie keinen Score. Sie müssen sehen, welche Signale das Verdict erzeugt haben, um beurteilen zu können, ob die Sperre richtig war — und falls nicht, die Regel zu reparieren, die sie verursacht hat.
Karma zeigt die Signale hinter jedem Verdict im Panel. Das ist eine kleinere Behauptung als „bessere Erkennung“ und in einer Support-Warteschlange eine nützlichere.
Gegenüberstellung
Wo beide stehen:
| Cloudflare Bot Management | Karma | |
|---|---|---|
| Bereitstellung | Proxy — DNS zeigt auf Cloudflare | Snippet + Ihr Gateway; Verkehrsweg unverändert |
| TLS | Von Cloudflare terminiert | Bleibt bei Ihnen |
| Erkennungskorpus | Großer Anteil am weltweiten Web-Verkehr | Was Karmas Kunden sehen |
| Durchsetzung | An Cloudflares Rand | An Ihrem eigenen Gateway |
| Entscheidung erklärt | Score, auf Enterprise plus Engine-Detail | Signale je Verdict sichtbar |
| Bietet außerdem | CDN, WAF, DDoS-Absorption | Nur Bot-Verdicts |
| Preis | Enterprise; Vertrieb kontaktieren | Veröffentlicht, kostenlos bis 25.000 Verdicts/Monat |
| Vertrag | Meist jährlich | Monatlich oder jährlich, jederzeit kündbar |
Beide zusammen betreiben
Das ist kein Entweder-oder, und für viele Teams ist der sinnvolle Endzustand beides.
Behalten Sie Cloudflare für das, worin es unerreicht ist: volumetrische Angriffe abfangen, Caching, das Offensichtliche stoppen. Setzen Sie Karma dort ein, wo Sie ein Verdict brauchen, mit dem Ihre eigene Anwendung arbeiten kann — die Kasse, das Login, die API für Ihre Partner — und wo Sie sehen müssen, warum ein bestimmter Besucher gestoppt wurde.
Das Snippet funktioniert hinter einem Proxy problemlos. Sorgen Sie dafür, dass Ihr Gateway die ursprüngliche Client-Adresse weitergibt, damit Verdicts dem Besucher und nicht Cloudflares Rand zugerechnet werden, und setzen Sie Cloudflares eigene Prüf-Requests auf die Allow-Liste, bevor Sie irgendetwas durchsetzen.