添加域名
使用CNAME接入方式接入Web应用防火墙（Web Application Firewall，简称WAF）前，先要将需要防护的域名接入WAF。本文介绍如何将要防护的域名添加到WAF。
前提条件
已购买WAF实例，且当前实例支持接入的域名数量未超过限制。
说明支持接入的域名数量由WAF的实例规格和扩展域名包数量决定。更多信息，请参见域名扩展包。
如果您的网站部署在中国内地服务器上，您需要确保该网站的域名已完成ICP（Internet Content Provider）备案，且接入WAF防护期间备案信息是有效的。
说明中国内地WAF实例会定期检查所防护域名备案信息的有效性。如果域名备案信息已过期，WAF会按照相关法律法规要求，对域名执行未备案治理，治理方式包括但不限于停止转发站点请求、清除备案失效的域名配置等。更多信息，请参见未备案不得提供非经营性互联网信息服务。
如果该网站部署在阿里云上，您需要在阿里云进行ICP备案。具体操作，请参见如何进行ICP备案。
您可以在网站底部查看域名是否已完成ICP备案。下图以阿里巴巴官网为例，展示网站添加ICP备案号后的效果。
如果该网站没有部署在阿里云上，您可以联系阿里云或其他云厂商进行ICP备案。
添加域名
登录Web应用防火墙控制台，在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。
在左侧导航栏，选择。
在域名列表页签，单击网站接入。
说明进入添加域名页面后，接入模式默认为Cname接入。
填写网站信息，单击下一步。
配置项
说明
域名
填写要防护的域名，包括精确域名（例如www.aliyundoc.com）或通配符域名（例如*.aliyundoc.com）。仅支持填写一个域名。
如果您是首次添加该域名，需要验证是否拥有该域名的归属权。通过后，才能添加域名。具体操作，请参见验证域名归属权。
说明通配符域名能够匹配所有同级别的子域名，不能匹配不同级别的子域名。例如，
*.aliyundoc.com能够匹配www.aliyundoc.com、example.aliyundoc.com等；*.aliyundoc.com不能匹配www.example.aliyundoc.com。二级通配符域名能够匹配对应的二级主域名，例如，
*.aliyundoc.com能够匹配aliyundoc.com。三级通配符域名不能匹配对应的三级主域名，例如，
*.example.aliyundoc.com不能匹配example.aliyundoc.com。如果防护对象中同时存在精确域名和能够匹配该精确域名的通配符域名，精确域名的防护规则和转发配置优先生效。
防护资源
选择要使用的防护资源类型。可选项：
公共集群：默认选择。
独享集群：使用独享版WAF实例时，支持该选项。独享集群支持定制化业务需求。更多信息，请参见独享集群最佳实践。
混合云集群：使用混合云接入时，选择该选型。更多信息，请参见网站接入（混合云WAF）。
协议类型
选择网站使用的协议类型。可选项：
HTTP
HTTPS
重要如果网站支持HTTPS加密认证，请选择HTTPS协议并在添加域名后上传域名的证书和私钥文件。更多信息，请参见上传HTTPS证书。
选中HTTPS后，还支持启用以下功能：
HTTP2（必须先选中HTTPS，才支持该选项）
如果您的网站支持HTTP 2.0协议，则您需要开启该设置。HTTP 2.0协议的端口与HTTPS协议端口保持一致，开启该设置后，您只需设置HTTPS端口即可。更多信息，请参见HTTP 2.0业务接入WAF防护是否会对源站有影响？。
说明只有企业版、旗舰版、独享版的WAF实例支持开启HTTP2。
服务器地址
设置网站的源站服务器地址，支持IP地址格式和域名（如CNAME）格式。完成接入后，WAF将过滤后的访问请求转发到此处设置的服务器地址。设置说明：
IP地址格式：填写源站的公网IP地址。需要为公网可达的IP地址。
支持填写多个IP地址，每填写一个IP地址，按回车进行确认。最多支持添加20个源站IP。
说明如果设置了多个IP地址，WAF将在这些地址间自动进行健康检查和负载均衡。
非中国内地WAF实例仅支持配置IPv4地址。中国内地WAF实例支持如下配置方式：
同时配置IPv4和IPv6地址
如果开启IPv4/IPv6回源协议跟随，则来自IPv6地址的请求将被转发到IPv6源站，来自IPv4地址的请求将被转发到IPv4源站。如果不开启IPv4/IPv6回源协议跟随，则不做区分，执行混合回源（即IPv4和IPv6请求都有可能回源到IPv4或IPv6源站）。
重要使用IPv6回源时，您必须确保网站接入列表中域名的IPv6状态为已开启。更多信息，请参见开启IPv6防护。
只配置IPv4地址
IPv4和IPv6请求都将通过IPv4回源，即WAF将请求转发到您设置的IPv4源站地址。
只配置IPv6地址
IPv4和IPv6请求都将通过IPv6回源，即WAF将请求转发到您设置的IPv6源站地址。
域名（如CNAME）格式：填写服务器回源域名，例如对象存储OSS的CNAME等。
使用域名格式时，支持IPv4回源，即WAF会将客户端请求转发到回源域名解析出来的IPv4地址。
重要服务器回源域名不应和要防护的网站域名相同。
如果您的源站服务器地址为OSS域名，则完成网站接入后，您必须前往OSS控制台中为该OSS域名绑定自定义域名。具体操作，请参见绑定自定义域名。
服务器端口
添加网站使用的转发服务端口。
WAF通过此处添加的端口为网站提供流量的接入与转发服务，网站域名的业务流量只通过已添加的服务端口进行转发。对于未添加的端口，WAF不会转发任何该端口的访问请求流量到源站服务器，因此这些端口的启用不会对源站服务器造成任何安全威胁。
重要网站信息中设置的协议类型和服务器端口必须是源站服务器提供Web业务的协议和端口，不支持端口转换。例如，源站服务器提供Web服务的是80端口和HTTP协议，域名配置也必须是一致的，设置其他端口则无法正常转发。
默认端口：
HTTP：80端口，选中HTTP协议后默认设置。
HTTPS或HTTP2：443端口，选中HTTPS协议后默认设置。
自定义端口：在HTTP端口输入框、HTTPS端口输入框输入端口并按回车进行添加。单击查看可选范围可以查询所有支持使用的端口。
负载均衡算法
设置了多个源站服务器地址时，选择多源站服务器间的负载均衡算法。可选项：
IP hash（默认）：将某个IP的请求定向到同一个源站服务器。
说明使用IP hash时，如果源站服务器的IP地址不够分散，可能会出现负载不均的情况。
轮询：将所有请求轮流分配给源站服务器。
Least time：通过智能DNS解析能力和升级后的Least-time回源算法，保证业务流量从接入防护节点到转发回源站服务器整个链路的时延最短。
说明Least time仅在开通智能负载均衡后支持使用。更多信息，请参见智能负载均衡。
设置生效后，WAF将根据设置的负载均衡算法向多个源站地址分发回源请求，实现负载均衡。
WAF前是否有七层代理（高防/CDN等）
选择网站业务在接入WAF前是否开启了其他七层代理服务（例如DDoS高防、CDN等）。可选项：
否：表示WAF收到的业务请求来自发起请求的客户端。WAF直接获取与WAF建立连接的IP（来自
REMOTE_ADDR字段）作为客户端IP。是：表示WAF收到的业务请求来自其他七层代理服务转发，而非直接来自发起请求的客户端。为了保证WAF可以获取真实的客户端IP进行安全分析，您需要进一步设置客户端IP判定方式。
WAF默认读取请求Header字段
X-Forwarded-For（XFF）中的第一个IP地址作为客户端IP。如果您的网站业务已通过其他代理服务的设置，规定将客户端源IP放置在某个自定义的Header字段（例如X-Client-IP、X-Real-IP），则您需要选择取指定Header字段中的第一个IP作为客户端源IP，避免XFF伪造，并在指定Header字段框中输入对应的Header字段。
说明推荐您在业务中使用自定义Header存放客户端IP，并在WAF中配置对应Header字段。该方式可以避免攻击者伪造XFF字段，躲避WAF的检测规则，提高业务的安全性。
支持输入多个Header字段。每输入完一个Header字段，需要按半角逗号（,）确认。设置了多个Header时，WAF将按顺序尝试读取客户端IP。如果第一个Header不存在，则读取第二个，以此类推。如果所有指定Header都不存在，则读取XFF中第一个IP地址作为客户端IP。
启用流量标记
设置是否启用WAF流量标记功能。
流量标记表示WAF在转发客户端请求到源站服务器时，在请求头中添加或修改由您指定的自定义字段，用于标记该请求经过WAF转发，记录该请求的客户端真实源IP或真实源端口。
选中启用流量标记后，您需要设置标记字段。
重要请不要填写标准的HTTP头部字段（例如User-Agent等），否则会导致标准头部字段内容被自定义的字段值覆盖。
如果攻击者在域名接入WAF前，已获取源站IP信息，并通过购买其他WAF实例，将请求回源到目标源站时，您可以启用流量标记并设置标记字段。当源站接收到请求后，建议对该字段进行校验。如果存在指定标记字段，则允许访问。
标记字段分为以下类型：
单击新增标记，可以增加标记字段。最多支持设置5个标记字段。
回源超时配置
设置WAF回源到源站的超时时间。
设置新建连接超时时间：WAF与源站建立连接的超时时间，默认值为5s，可配置范围为1s~3600s。
设置读连接超时时间：等待源站响应的超时时间，默认值为120s，可配置范围为1s~3600s。
设置写连接超时时间：WAF向源站发送请求的超时时间，默认值为120s，可配置范围为1s~3600s。
说明仅云WAF的高级版、企业版、旗舰版或独享版实例支持该功能。混合云WAF版本的实例不支持该功能。
资源组
从资源组列表中选择该域名所属资源组。
说明您可以使用资源管理服务创建资源组，根据业务部门、项目等维度对云资源进行分组管理。更多信息，请参见创建资源组。
如果步骤4填写的域名所对应的泛解析域名已被其他用户配置，需要按照提示对话框提供的记录类型、域名、记录值信息，配置TXT解析记录。
例如，如果您使用了阿里云的云解析DNS，可登录云解析DNS控制台，并根据提示对话框提供的信息，配置TXT解析记录。具体操作，请参见添加解析记录。
修改DNS解析。
根据页面提示修改域名的DNS解析，将网站域名解析到WAF进行防护，完成后单击下一步。更多信息，请参见修改域名DNS。
添加完成。
根据页面提示设置放行WAF回源IP段，完成后单击完成，返回网站列表，返回网站接入页面。更多信息，请参见放行WAF回源IP段。
上传HTTPS证书
如果您在步骤4添加协议类型时，选择HTTPS，您必须在WAF控制台上传与该网站域名关联的HTTPS证书，且证书必须正确、有效，才能保证WAF正常防护网站的HTTPS协议访问请求。
上传的HTTPS证书支持以下方式：
手动上传证书：您需要提前准备好网站的证书文件和私钥文件。
需要准备的证书相关内容如下（上传时请确保证书有完整的证书链）：
*.crt（公钥文件）或*.pem（证书文件）
*.key（私钥文件）
选择已有证书：您可以直接从数字证书管理服务的已有证书中选择与域名关联的证书。更多信息，请参见数字证书管理服务。
申请新证书。
登录Web应用防火墙控制台，在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。
在左侧导航栏，选择。
在域名列表中定位到要操作的域名，单击源站信息列下的
图标。说明只有在添加域名时选择了HTTPS协议类型，源站信息列下才会出现
图标。在上传证书（或更新证书）对话框，选择一种上传方式上传HTTPS证书。
说明如果您已经上传过证书，则显示更新证书对话框。更新证书对话框中的配置内容和上传证书对话框一致。
手动上传：填写证书名称，并将与域名关联的证书文件和私钥文件的文本内容分别复制粘贴到证书文件和私钥文件。
关于证书文件的说明如下：
如果证书是PEM、CER、CRT格式，您可以使用文本编辑器直接打开证书文件并复制其中的文本内容。
如果证书是除PEM、CER、CRT外的其他格式，例如PFX、P7B等，您需要将证书文件转换成PEM格式后，才可以使用文本编辑器打开并复制其中的文本内容。关于证书格式的转换方法，请参见HTTPS证书转换成PEM格式。
请确保上传完整的证书链。如果域名关联了多个证书文件，您需要先将证书文件中的文本内容拼接合并，再粘贴到证书文件。
选择已有证书：从证书列表选择要上传的证书。
证书列表罗列了SSL证书服务中已签发的证书，您可以从列表中选择与当前域名关联的证书。单击云盾-证书服务，可以跳转到SSL证书管理控制台管理证书。
申请新证书：单击立即申请，跳转到数字证书管理服务的购买证书页面为域名快速申请证书。
按照页面提示为域名配置证书后，已配置证书将默认上传到WAF。
说明快速申请证书仅支持申请收费型DV证书。如果您需要申请其他类型的证书，请前往SSL证书购买页面进行操作。更多信息，请参见购买SSL证书。
单击确定。
后续配置
完成域名接入流程后，网站访问流量将经过WAF保护，您还需要完善以下配置，才能更好地防护网站安全。
配置类型 | 说明 | 相关文档 |
网站防护配置 | WAF包含多种防护检测模块，帮助网站应对不同类型的安全威胁，其中规则防护引擎和CC安全防护模块默认开启，分别用于防御常见的Web应用攻击（例如SQL注入、XSS跨站、WebShell上传等）和CC攻击，其他防护模块需要您手动开启并配置具体防护规则。 | |
告警配置 | 通过配置告警规则，您可以使WAF在网站请求流量中检测到攻击事件、异常流量时，向您发送告警通知，帮助您及时掌握业务的安全状态。 | |
日志服务配置 | 通过启用日志服务，您可以使WAF采集并存储网站业务的日志数据，供您进行业务查询与分析。WAF日志服务默认存储180天内的网站全量日志，帮助您满足等保合规要求。 |
相关操作
查看和管理已接入的域名
成功添加域名后，您可以在网站接入页面的域名列表中查看已接入的域名并根据需要执行以下操作：
上传HTTPS证书：如果网站支持HTTPS协议，请务必确保在WAF上传正确的证书和私钥，保证正常防护HTTPS业务流量。您可以在源站信息列下单击
上传域名的HTTPS证书和私钥。 更多信息，请参见上传HTTPS证书。
开启IPv6防护：如果网站有IPv6协议业务流量需要防护，您可以在快捷操作列下为域名开启IPV6开关。
更多信息，请参见开启IPv6防护。
开启日志服务：在快捷操作列下为域名开启日志服务后，WAF日志服务将采集网站的全量日志，支持用作查询分析、仪表盘展示、设置告警等功能。更多信息，请参见快速使用WAF日志服务
说明日志服务是WAF提供的增值服务，必须开通后才能使用。更多信息，请参见步骤一：开通WAF日志服务。
设置防护资源：在快捷操作列下单击防护资源后的
，为域名设置防护资源。 支持的防护资源类型包括：
查看攻击监控报表：单击攻击监控列下的查看报表，跳转到安全报表页面，查看域名的防护报表。更多信息，请参见WAF安全报表。
设置防护策略：单击操作列下的防护配置，跳转到网站防护页面，设置Web安全、Bot管理、访问控制/限流防护模块的防护策略。更多信息，请参见网站防护配置概述。
编辑域名：单击操作列下的编辑，修改网站信息，例如协议类型、服务器地址、服务器端口等。不支持修改域名。
删除域名：单击操作列下的删除，删除域名。
警告在删除域名前，请将域名DNS解析回服务器源站IP。否则，在删除域名后，域名的流量将无法正常转发。
域名接入WAF后，需保证域名备案信息的有效性。为符合相关法律法规要求，WAF会对已接入的域名进行定期轮询检查。若ICP备案到期后未及时续期，导致已接入WAF的域名处于未备案状态，WAF会自动停止域名转发。此时，您需要进行如下操作：
完成域名的ICP备案。
访问网站接入页面，在域名列表页签，单击已完成ICP备案的域名操作列的再次接入防护。
管理域名ICP备案
域名接入WAF后，需保证域名备案信息的有效性。WAF会对已接入的域名进行定期轮询检查，若ICP备案到期后未及时续期，导致已接入WAF的域名处于未备案状态，WAF会自动停止域名转发。此时，您需要进行如下操作：
完成域名的ICP备案。
访问网站接入页面，在域名列表页签，单击已完成ICP备案的域名操作列的再次接入防护。
查看域名DNS状态
为了能快速识别DNS解析异常的风险域名，WAF提供域名DNS状态检测功能。您可以在接入列表查看域名的DNS状态，并根据控制台提示的异常原因，修改DNS解析设置。
DNS状态 | 说明 | 相关操作 |
DNS解析正常 | 表示域名DNS正常解析到WAF。 | 无。 |
DNS解析异常，使用A记录接入 | DNS解析使用A记录接入，可能会导致业务中断。 | 需要删除A记录，重新添加CNAME记录，并将域名的DNS解析指向WAF提供的CNAME地址。具体操作，请参见修改域名DNS解析设置。 |
DNS解析异常，使用错误的WAF IP | DNS解析使用A记录接入，且指向的WAF IP错误，可能会导致业务中断。 | 需要删除A记录，重新添加CNAME记录，并将域名的DNS解析指向WAF提供的CNAME地址。具体操作，请参见修改域名DNS解析设置。 |
DNS解析异常，使用错误的CNAME地址 | DNS解析使用CNAME记录接入，但指向的CNAME地址错误，可能会导致业务中断。 | 需要将CNAME记录中的记录值修改为WAF提供的CNAME地址。具体操作，请参见修改域名DNS解析设置。 |
DNS解析未知，域名启用了代理 | WAF前启用七层代理，但七层代理配置的域名回源地址可能不为WAF CNAME地址。 | 检查代理配置的域名回源地址是否为WAF CNAME地址。 |
DNS校验超时 | 无。 | 单击 |
无DNS解析记录，请接入WAF | 没有DNS解析记录，需要添加CNAME记录将DNS解析指向WAF。 | 添加CNAME记录将DNS解析指向WAF。具体操作，请参见修改域名DNS解析设置。 |
DNS未解析到WAF，请接入WAF | DNS未解析到WAF，需要修改CNAME记录将DNS解析指向WAF。 | 修改CNAME记录将DNS解析指向WAF。具体操作，请参见修改域名DNS解析设置。 |
图标，重新进行DNS状态检测。常见问题
请参见常见问题中的网站接入配置问题。
