接入ESA的站点被攻击是否会有通知？
有短信、邮件、站内信通知。默认通知下发到您注册阿里云时填写的联系方式，变更或添加联系人方式参考添加安全报警联系人。
停用站点后ESA如何处理原站点的请求？
该站点所有DNS解析将拒绝服务，ESA边缘节点将禁止请求访问该站点。
防护请求数异常升高，如何定位来源？
账户概览页面自动统计账号下所有站点的被ESA执行防护操作的请求数。若防护请求数异常升高，可参考以下步骤定位来源：
在访问数据看板选择对应的时间周期，如昨天。单击防护请求数后，即可展示昨日的防护请求数 Top5 站点。
在防护请求数 Top5 站点列表，单击数据异常的站点的站点概况。
在左侧导航栏，选择安全防护 > 事件分析。选择自定义时间范围，如
2025年1月28日00:00:00 ~ 2025年1月29日00:00:00，即可展示防护动作统计数据。页面下滑至采样日志区域，可查看详细的防护信息。
为什么无法配置源站防护？
为了防护效果，源站防护功能需要在缓存架构大于等于两层时才能开启。当您的多级缓存策略设置为边缘缓存层时，无法使用源站防护功能。将鼠标悬浮于配置按钮，单击hover提示中的前往修改按钮前往多级缓存配置页。
在多级缓存配置页单击配置，选择合适的多级缓存架构后，即可正常开启源站防护。
如何在ECS中添加防护IP列表？
阿里云ECS的安全组功能是一种虚拟防火墙，能够控制ECS实例的出入站流量。在安全组中将ESA提供的IP列表添加至入方向规则即可快速完成源站防护配置。
直接访问ECS控制台-前缀列表，也可以在ECS管理控制台将光标移至导航栏的网络与安全标题，单击右侧hover。
在控制台切换地域为您源站对应的实例所在地域，如
华东1（杭州）。单击创建前缀列表按钮，先创建IPv4的列表集合：
前缀列表名称：填写IP列表名，如
list-esa-ipv4。地址族：选择IPv4。
最大条目容量：填入200条。
前缀列表条目：单击添加条目，在CIDR地址块列处粘贴在开启源站防护中获取的IPv4列表后，单击确定即可。
单击创建前缀列表按钮，继续创建IPv6的列表集合：
前缀列表名称：填写IP列表名，如
list-esa-ipv6。地址族：选择IPv6。
最大条目容量：填入200条。
前缀列表条目：单击添加条目，在CIDR地址块列处粘贴在开启源站防护中获取的IPv6列表后，单击确定即可。
前往ECS控制台-安全组页面，单击创建安全组，在规则配置区域单击增加规则按钮，参考下述说明完成填写：
流量方向、授权策略、优先级、协议均保持默认值即可。
访问来源下拉选择前缀列表，然后勾选已创建好的IPv4和IPv6前缀列表。
端口目的(本实例)选择符合业务的端口，如
HTTP(80)、HTTPS(443)。
完成前缀列表配置后，填写安全组名称如
sg-esa-ip，网络选择和源站服务器相同的VPC网络，然后在规则配置中删除默认添加的其他所有入方向的规则，仅保留上一步添加的前缀规则后单击确认创建。访问ECS控制台-实例。
在实例列表单击需要配置源站防护的实例ID，选择安全组页签，单击更换安全组。
在更换安全组页面，仅勾选上述创建的新安全组后，单击确定即可。
配置源站防护后，函数和Pages的fetch调用失败？
问题现象：当example.com站点未开启源站防护（套餐不支持或站点未接入ESA），并在其对应的源站IP白名单中仅配置了ESA源站防护IP列表时，若使用ESA的函数和Pages的fetch()调用example.com可能会出现调用失败现象。
解决方案：
若
example.com站点接入了ESA，可打开源站防护功能。若
example.com站点未接入ESA，建议将站点接入ESA，或修改源站IP白名单。
源站防护的 IP 段数量太多，超过我的源站可配置的 IP 段数量怎么办？
如果是企业版客户，可联系销售开启"回源收敛"功能，进一步减少回源的 IP 段数量。但请注意，开启回源收敛后，减少回源 IP 段的数量意味着回源的节点数量也会减少，这可能会对访问质量产生负面影响，请谨慎开启。
账号安全功能会影响正常用户登录吗？
在正确配置的情况下，对正常用户的影响极小。ESA使用 AI 模型识别异常行为，正常用户通常不会触发防护规则。建议：
初期使用观察模式
根据实际情况逐步收紧策略
为可信来源配置白名单
如何判断账号安全配置是否生效？
可以通过以下方式验证：
在安全事件页面查看是否有事件记录；
使用测试账号故意触发多次登录失败，观察是否被识别；
查看风险分数是否正常计算。
为什么API安全没有被发现我的API？
请按以下步骤排查：
确认流量：确保您的站点流量已通过ESA。
确认有效请求：确认该API在过去30天内有非5xx状态码的HTTP请求。
等待数据学习：对于新接入的站点或流量较低的API，API发现需要约24小时或更长时间进行学习，请耐心等待。
我能否手动添加一个未被发现的API？
可以。可参考手动添加API进行添加。
什么是JWT？
JWT（JSON Web Token），是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准RFC7519。JWT一般可以用作独立的身份验证令牌，可以包含用户标识、用户角色和权限等信息，以便于从资源服务器获取资源，也可以增加一些额外的其他业务逻辑所必需的声明信息，特别适用于分布式站点的登录场景。
JWT由Header、Payload、Signature三部分构成，并分别对每部分进行Base64编码，输出形如Header.Payload.Signature的字符串：
Header：JWT的头部，用于承载声明类型（JWT）以及声明加密的算法。
Payload：JWT的数据部，用于存放有效信息，也可以新增用户系统需要使用的自定义字段。
Signature：JWT的签名部，用于头部和数据部内容的校验。
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ如何生成JWT？
可使用https://mkjwk.org 生成用于token生成与验证的私钥与公钥：
使用浏览器访问https://mkjwk.org 。
选择EC页签，填写相关参数后，单击Generate生成后，选择Public Key并单击Copy to Clipboard复制公钥即可。
Curve：选择加密类型为
P-256。Key Use：选择公钥用途为签名
Signature。Algorithm：选择算法标识为
ES256: ECDSA using P-256 and SHA-256。KeyID：输入自定义的密钥标识符，如
esa。