これまでの管理ルール、カスタムルール、レート制限はリクエストを見て、怪しい入力をオリジンへ届く前に落とす。判定を広げると正常な通信まで止まり、狭めると成功した攻撃を取りこぼす。新しい判定は、入力と、その結果としてオリジンが返した応答を結び付ける。応答ルールが合致すると、Cloudflareはその応答をWAFのブロックページか、自分で指定した応答へ差し替える。オリジン側で既に実行された処理は、この差し替えでは取り消せない。
管理ルールセットは全顧客で既定のまま有効になり、署名が合致すると応答をブロックする。パスを限るなど、適用範囲は狭められる。カスタムの応答ルールは全プランで3件まで作れ、操作はLogとBlockだ。応答のボディを条件に使う書き方は、まだできない。有料プランはcf.waf.signature.responseで始まるフィールドをカスタムルールへ使えるが、アカウントへの展開は進行中で、見えない場合はアカウント担当への確認が案内されている。
最初の管理検知は、公開されたphp2shell向けだ。これはPHP自体を更新する代わりにはならない。WAFの背後にあるアプリは、従来どおり修正版へ上げる。応答を見てから止めたい経路、たとえば認証を経ていない管理画面が200で返る場合の確認に、カスタムルールを使える。