**Apresentando uma nova experiência de console para AWS WAF**
Agora você pode usar a experiência atualizada para acessar a AWS WAF funcionalidade em qualquer lugar do console. Para obter mais detalhes, consulte [Trabalhando com o console](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html).
As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
# CAPTCHAe Challenge em AWS WAF
Esta seção explica como CAPTCHA e Challenge trabalha com AWS WAF.
Você pode configurar suas AWS WAF regras para executar uma Challenge ação CAPTCHA OR contra solicitações da web que correspondam aos critérios de inspeção da sua regra. Você também pode programar seus aplicativos JavaScript cliente para executar quebra-cabeças de CAPTCHA e desafios de navegador localmente.
Os códigos CAPTCHA e os desafios silenciosos só podem ser executados quando os navegadores estão acessando endpoints HTTPS. Os clientes do navegador devem estar sendo executados em contextos seguros para adquirir tokens.
+ **CAPTCHA**: exige que o usuário final resolva um código CAPTCHA para provar que um ser humano está enviando a solicitação. Os quebra-cabeças CAPTCHA devem ser bastante fáceis e rápidos para os humanos concluírem com sucesso e difíceis para os computadores concluírem com sucesso ou aleatoriamente com qualquer taxa significativa de sucesso.
Nas regras de pacote de proteção (ACL da Web), o CAPTCHA normalmente é usado quando uma ação Block interrompe muitas solicitações legítimas, mas deixar todo o tráfego passar resultaria em níveis inaceitavelmente altos de solicitações indesejadas, como as geradas por bots. Para obter informações sobre o comportamento de ações de regras, consulte [Como as ações de regra CAPTCHA e Challenge do AWS WAF funcionam](waf-captcha-and-challenge-how-it-works.md).
Você também pode programar uma implementação de quebra-cabeça CAPTCHA na integração do aplicativo cliente. APIs Ao fazer isso, você pode personalizar o comportamento e o posicionamento do código no aplicativo do seu cliente. Para saber mais, consulte [Integrações de aplicativos clientes em AWS WAF](waf-application-integration.md).
+ **Challenge**: executa um desafio silencioso que exige que a sessão do cliente verifique se é um navegador e não um bot. A verificação é executada em segundo plano sem envolver o usuário final. Essa é uma boa opção para verificar clientes que você suspeita serem inválidos sem afetar negativamente a experiência do usuário final com um quebra-cabeça CAPTCHA. Para obter informações sobre o comportamento de ações de regras, consulte [Como as ações de regra CAPTCHA e Challenge do AWS WAF funcionam](waf-captcha-and-challenge-how-it-works.md).
A ação da Challenge regra é semelhante ao desafio executado pela integração inteligente de ameaças do cliente APIs, descrito em[Integrações de aplicativos clientes em AWS WAF](waf-application-integration.md).
**nota**
São cobradas taxas adicionais quando você usa a ação de regra CAPTCHA ou Challenge em uma de suas regras ou como uma substituição de ação de regra em um grupo de regras. Para obter mais informações, consulte [AWS WAF Preço](https://aws.amazon.com/waf/pricing/).
Para obter descrições de todas as opções de ações de regras, consulte [Usando ações de regras em AWS WAF](waf-rule-action.md).
**Topics**
+ [AWS WAF Quebra-cabeças CAPTCHA](waf-captcha-puzzle.md)
+ [Como as ações de regra CAPTCHA e Challenge do AWS WAF funcionam](waf-captcha-and-challenge-how-it-works.md)
+ [Práticas recomendadas para usar as ações CAPTCHA e Challenge](waf-captcha-and-challenge-best-practices.md)
# AWS WAF Quebra-cabeças CAPTCHA
Esta seção explica os recursos e a funcionalidade do quebra-cabeça AWS WAF CAPTCHA.
AWS WAF fornece a funcionalidade CAPTCHA padrão que desafia os usuários a confirmar que são seres humanos. CAPTCHA significa teste de Turing público completamente automatizado para diferenciar computadores de humanos. Os quebra-cabeças CAPTCHA são projetados para verificar se um humano está enviando solicitações e para evitar atividades como captura de dados na web, preenchimento de credenciais e spam. Os códigos CAPTCHA não podem eliminar todas as solicitações indesejadas. Muitos códigos foram resolvidos usando machine learning e inteligência artificial. Em um esforço para contornar o CAPTCHA, algumas organizações complementam as técnicas automatizadas com a intervenção humana. Apesar disso, o CAPTCHA continua sendo uma ferramenta útil para evitar tráfego de bots menos sofisticado e aumentar os recursos necessários para operações em grande escala.
AWS WAF gera aleatoriamente seus quebra-cabeças de CAPTCHA e os percorre para garantir que os usuários enfrentem desafios únicos. AWS WAF adiciona regularmente novos tipos e estilos de quebra-cabeças para permanecer eficaz contra as técnicas de automação. Além dos quebra-cabeças, o script AWS WAF CAPTCHA reúne dados sobre o cliente para garantir que a tarefa seja concluída por um humano e para evitar ataques repetidos.
Cada quebra-cabeça CAPTCHA inclui um conjunto padrão de controles para o usuário final solicitar um novo quebra-cabeça, alternar entre quebra-cabeças de áudio e visuais, acessar instruções adicionais e enviar uma solução de quebra-cabeça. Todos os quebra-cabeças incluem suporte para leitores de tela, controles de teclado e cores contrastantes.
Os quebra-cabeças AWS WAF CAPTCHA atendem aos requisitos das Diretrizes de Acessibilidade de Conteúdo da Web (WCAG). Para obter informações, consulte [Visão geral das Diretrizes de Acessibilidade de Conteúdo da Web (WCAG)](https://www.w3.org/WAI/standards-guidelines/wcag/) no site do World Wide Web Consortium (W3C).
**Topics**
+ [Compatibilidade com o idioma do código CAPTCHA](waf-captcha-puzzle-language-support.md)
+ [Exemplos de códigos CAPTCHA](waf-captcha-puzzle-examples.md)
# Compatibilidade com o idioma do código CAPTCHA
Esta seção lista quais idiomas são suportados nos quebra-cabeças AWS WAF CAPTCHA.
O código CAPTCHA começa com instruções escritas no idioma do navegador do cliente ou, se o idioma do navegador não for compatível, em inglês. O código fornece opções de idioma alternativo por meio de um menu suspenso.
O usuário pode alternar para as instruções de áudio selecionando o ícone do fone de ouvido na parte inferior da página. A versão em áudio do código fornece instruções faladas sobre o texto que o usuário deve digitar em uma caixa de texto, sobrepostas com ruído de fundo.
A tabela a seguir lista os idiomas que você pode selecionar para as instruções escritas em um código CAPTCHA e o suporte de áudio para cada seleção.
**AWS WAF Idiomas suportados pelo quebra-cabeça CAPTCHA**
| Compatibilidade com instruções escritas | Código de localidade | Compatibilidade com instruções de áudio |
| --- | --- | --- |
| Árabe | ar-SA | Árabe |
| Chinês simplificado | zh-CN | Áudio em inglês |
| Holandesa | nl-NL | Holandesa |
| Inglês | en-US | Inglês |
| Francesa | fr-FR | Francês |
| Alemão | de-DE | Alemã |
| Italiana | it-IT | Italiana |
| Japonesa | ja-JP | Áudio em inglês |
| Português do Brasil | pt-BR | Português do Brasil |
| Espanhola | es-ES | Espanhola |
| Turca | tr-TR | Turca |
# Exemplos de códigos CAPTCHA
Um código CAPTCHA visual típico requer interação para mostrar que o usuário pode compreender e interagir com uma ou mais imagens.
A captura de tela a seguir mostra um exemplo de código de grade de imagens. Esse código exige que você selecione todas as imagens na grade que incluem um tipo específico de objeto.
![\[Uma tela contém o título “Vamos confirmar que você é humano” e o texto “Escolha todas as cadeiras”. Abaixo do texto, há uma grade de imagens de 3x3, algumas das quais contêm cadeiras e outras que contêm objetos que não são cadeiras, como camas e janelas. Na parte inferior da tela, há opções para carregar um quebra-cabeça diferente, ativar e desativar a caixa de informações, alternar para um quebra-cabeça de áudio e alterar o idioma. Também na parte inferior está o botão “Confirmar”.\]](http://docs.aws.amazon.com/pt_br/waf/latest/developerguide/images/CAPTCHAPuzzleGrid.png)
Um código de áudio fornece ruído de fundo sobreposto a instruções faladas sobre o texto que o usuário deve digitar em uma caixa de texto.
A captura de tela a seguir mostra a tela da escolha do quebra-cabeça de áudio.
![\[Uma tela contém o título “Resolva o quebra-cabeça” e o texto “Clique em reproduzir para ouvir as instruções”. Abaixo do texto, há uma imagem que mostra um botão Play. Abaixo da imagem está o texto “Alternar áudio do teclado: alt + espaço”. Abaixo está o título “Insira sua resposta” com uma caixa de entrada de texto abaixo. Uma caixa de informações aberta tem o texto “Resolva ouvindo a gravação e digitando sua resposta na caixa de texto”. Na parte inferior da tela, há opções para carregar um quebra-cabeça diferente, alternar a caixa de informações para dentro e para fora da vista e alternar para um quebra-cabeça visual. Também na parte inferior está o botão “Enviar”.\]](http://docs.aws.amazon.com/pt_br/waf/latest/developerguide/images/CAPTCHAPuzzleAudio.png)
# Como as ações de regra CAPTCHA e Challenge do AWS WAF funcionam
Esta seção explica como o CAPTCHA e o Challenge funcionam.
AWS WAF CAPTCHAe Challenge são ações de regras padrão, portanto, são relativamente fáceis de implementar. Para usar qualquer um deles, você cria os critérios de inspeção para sua regra que identificam as solicitações que você deseja inspecionar e, em seguida, especifica uma das duas ações da regra. Para obter informações gerais sobre as opções de ação de regra, consulte [Usando ações de regras em AWS WAF](waf-rule-action.md).
Além de implementar desafios silenciosos e quebra-cabeças de CAPTCHA do lado do servidor, você pode integrar desafios silenciosos em seus aplicativos clientes JavaScript iOS e Android e renderizar quebra-cabeças de CAPTCHA em seus clientes. JavaScript Essas integrações permitem que você forneça aos usuários finais um melhor desempenho e experiências de quebra-cabeça CAPTCHA, além de reduzir os custos associados ao uso das ações de regras e dos grupos de regras de mitigação de ameaças inteligentes. Para saber mais sobre essas opções, consulte [Integrações de aplicativos clientes em AWS WAF](waf-application-integration.md). Para obter informações sobre a definição de preço, consulte [Definição de preço do AWS WAF](https://aws.amazon.com/waf/pricing/).
**Topics**
+ [Comportamento de ações CAPTCHA e Challenge](waf-captcha-and-challenge-actions.md)
+ [Ações CAPTCHA e Challenge nos logs e métricas](waf-captcha-and-challenge-logs-metrics.md)
# Comportamento de ações CAPTCHA e Challenge
Esta seção explica o que as ações CAPTCHA e Challenge fazem.
Quando uma solicitação da web corresponde aos critérios de inspeção de uma regra CAPTCHA ou Challenge ação, AWS WAF determina como lidar com a solicitação de acordo com o estado do token e a configuração do tempo de imunidade. AWS WAF também considera se a solicitação pode lidar com o quebra-cabeça CAPTCHA ou com os intersticiais do script de desafio. Os scripts foram projetados para serem tratados como conteúdo HTML e só podem ser tratados adequadamente por um cliente que espera conteúdo HTML.
**nota**
São cobradas taxas adicionais quando você usa a ação de regra CAPTCHA ou Challenge em uma de suas regras ou como uma substituição de ação de regra em um grupo de regras. Para obter mais informações, consulte [AWS WAF Preço](https://aws.amazon.com/waf/pricing/).
**Como a ação lida com a solicitação da web**
AWS WAF aplica a Challenge ação CAPTCHA ou a uma solicitação da web da seguinte forma:
+ **Token válido** — AWS WAF trata isso de forma semelhante a uma Count ação. AWS WAF aplica todas as etiquetas e personalizações de solicitação que você configurou para a ação da regra e, em seguida, continua avaliando a solicitação usando as regras restantes no pacote de proteção (Web ACL).
+ **Token ausente, inválido ou expirado** — AWS WAF interrompe a avaliação do pacote de proteção (Web ACL) da solicitação e impede que ela vá para o destino pretendido.
AWS WAF gera uma resposta que é enviada de volta ao cliente, de acordo com o tipo de ação da regra:
+ **Challenge**: AWS WAF inclui o seguinte na resposta:
+ O cabeçalho `x-amzn-waf-action` com um valor de `challenge`.
**nota**
Para aplicações Javascript em execução no navegador do cliente, esse cabeçalho está disponível somente no domínio da aplicação. O cabeçalho não está disponível para recuperação entre domínios. Para obter detalhes, consulte a seção a seguir.
+ Código de status do HTTP `202 Request Accepted`.
+ Se a solicitação contiver um `Accept` cabeçalho com um valor de`text/html`, a resposta incluirá um intersticial de JavaScript página com um script de desafio.
+ **CAPTCHA**— AWS WAF inclui o seguinte na resposta:
+ O cabeçalho `x-amzn-waf-action` com um valor de `captcha`.
**nota**
Para aplicações Javascript em execução no navegador do cliente, esse cabeçalho está disponível somente no domínio da aplicação. O cabeçalho não está disponível para recuperação entre domínios. Para obter detalhes, consulte a seção a seguir.
+ Código de status do HTTP `405 Method Not Allowed`.
+ Se a solicitação contiver um `Accept` cabeçalho com um valor de`text/html`, a resposta incluirá um intersticial de JavaScript página com um script CAPTCHA.
Para configurar a hora de expiração do token no nível do pacote de proteção (ACL da Web) ou da regra, consulte [Definindo a expiração do carimbo de data/hora e os tempos de imunidade do token em AWS WAF](waf-tokens-immunity-times.md).
**Os cabeçalhos não estão disponíveis para JavaScript aplicativos executados no navegador do cliente**
Quando AWS WAF responde a uma solicitação do cliente com um CAPTCHA ou uma resposta de desafio, ela não inclui cabeçalhos de compartilhamento de recursos de origem cruzada (CORS). Os cabeçalhos CORS são um conjunto de cabeçalhos de controle de acesso que informam ao navegador da Web do cliente quais domínios, métodos HTTP e cabeçalhos HTTP podem ser usados pelos aplicativos. JavaScript Sem os cabeçalhos CORS, os JavaScript aplicativos executados em um navegador cliente não têm acesso aos cabeçalhos HTTP e, portanto, não conseguem ler o `x-amzn-waf-action` cabeçalho fornecido nas respostas e. CAPTCHA Challenge
**O que o desafio e as intersticiais CAPTCHA fazem**
Quando uma intersticial de desafio é executada, depois que o cliente responde com sucesso, se ele ainda não tiver um token, a intersticial inicializa um para ele. Em seguida, ela atualiza o token com o timestamp de resolução do desafio.
Quando uma intersticial CAPTCHA é executada, se o cliente ainda não tiver um token, a intersticial CAPTCHA invoca primeiro o script de desafio para desafiar o navegador e inicializar o token. Em seguida, a intersticial executa seu quebra-cabeça CAPTCHA. Quando o usuário final conclui o quebra-cabeça com sucesso, a intersticial atualiza o token com o timestamp de resolução do CAPTCHA.
Em ambos os casos, depois que o cliente responde com sucesso e o script atualiza o token, o script reenvia a solicitação web original usando o token atualizado.
Você pode configurar como AWS WAF manipula os tokens. Para mais informações, consulte [Uso de tokens na mitigação AWS WAF inteligente de ameaças](waf-tokens.md).
# Ações CAPTCHA e Challenge nos logs e métricas
Esta seção explica como AWS WAF lida com o registro CAPTCHA e as métricas Challenge das ações e.
As ações CAPTCHA e Challenge podem ser de não encerramento, como Count, ou de encerramento, como Block. O resultado depende se a solicitação tem um token válido com um timestamp não expirado para o tipo de ação.
+ **Token válido** — Quando a ação encontra um token válido e não bloqueia a solicitação, AWS WAF captura métricas e registros da seguinte forma:
+ Incrementa as métricas de `CaptchaRequests` e `RequestsWithValidCaptchaToken` ou `ChallengeRequests` e `RequestsWithValidChallengeToken`.
+ Registra a correspondência como uma entrada `nonTerminatingMatchingRules` com ação de CAPTCHA ou Challenge. A lista a seguir mostra a seção de um log desse tipo de correspondência com a ação CAPTCHA.
```
"nonTerminatingMatchingRules": [
{
"ruleId": "captcha-rule",
"action": "CAPTCHA",
"ruleMatchDetails": [],
"captchaResponse": {
"responseCode": 0,
"solveTimestamp": 1632420429
}
}
]
```
+ **Token ausente, inválido ou expirado** — Quando a ação bloqueia a solicitação devido a um token ausente ou inválido, AWS WAF captura métricas e registros da seguinte forma:
+ Incrementa a métrica para `CaptchaRequests` ou `ChallengeRequests`.
+ Registra a correspondência como uma entrada `CaptchaResponse` com código de status HTTP `405` ou como uma entrada `ChallengeResponse` com código de status HTTP `202`. O log indica se a solicitação não tinha o token ou tinha um timestamp expirado. O registro também indica se AWS WAF enviou uma página intersticial CAPTCHA para o cliente ou um desafio silencioso para o navegador do cliente. A lista a seguir mostra as seções de um log desse tipo de correspondência com a ação CAPTCHA.
```
"terminatingRuleId": "captcha-rule",
"terminatingRuleType": "REGULAR",
"action": "CAPTCHA",
"terminatingRuleMatchDetails": [],
...
"responseCodeSent": 405,
...
"captchaResponse": {
"responseCode": 405,
"solveTimestamp": 0,
"failureReason": "TOKEN_MISSING"
}
```
Para obter informações sobre os AWS WAF registros, consulte[Registrando o tráfego do pacote de AWS WAF proteção (Web ACL)](logging.md).
Para obter informações sobre AWS WAF métricas, consulte[AWS WAF métricas e dimensões](waf-metrics.md).
Para obter informações gerais sobre as opções de ação de regra, consulte [Usando ações de regras em AWS WAF](waf-rule-action.md).
**Solicitações sem token parecem aparecer duas vezes em registros e métricas**
Com base no registro de logs [Comportamento de ações CAPTCHA e Challenge](waf-captcha-and-challenge-actions.md) e nas métricas descritas nesta seção, uma solicitação sem token geralmente será representada duas vezes nos registros e nas métricas. Isso ocorre porque a única solicitação pretendida é, na verdade, enviada duas vezes pelo cliente.
+ A primeira solicitação, sem token, recebe o registro de logs e o tratamento de métricas descritos acima para tokens ausentes, inválidos ou expirados. A ação CAPTCHA ou Challenge encerra essa primeira solicitação e, em seguida, responde ao cliente com um desafio silencioso ou um código CAPTCHA.
+ O cliente avalia o desafio ou o código e, se o navegador do cliente ou o usuário final responder com sucesso, envia a solicitação pela segunda vez com o token recém-adquirido. Essa segunda solicitação recebe o registro de logs e o tratamento de métricas descritos acima para uma solicitação com um token válido.
# Práticas recomendadas para usar as ações CAPTCHA e Challenge
Siga as orientações nesta seção para planejar e implementar o AWS WAF CAPTCHA ou o desafio.
**Planeje sua implementação de CAPTCHA e desafio**
Determine onde colocar os quebra-cabeças CAPTCHA ou os desafios silenciosos com base no uso do seu site, na sensibilidade dos dados que você deseja proteger e no tipo de solicitação. Selecione as solicitações nas quais você aplicará o CAPTCHA para apresentar os quebra-cabeças conforme necessário, mas evite apresentá-los onde eles não seriam úteis e poderiam prejudicar a experiência do usuário. Use a Challenge ação para executar desafios silenciosos que tenham menos impacto no usuário final, mas ainda ajudem a verificar se a solicitação vem de um navegador JavaScript habilitado.
Os códigos CAPTCHA e os desafios silenciosos só podem ser executados quando os navegadores estão acessando endpoints HTTPS. Os clientes do navegador devem estar sendo executados em contextos seguros para adquirir tokens.
**Decida onde executar quebra-cabeças CAPTCHA e desafios silenciosos em seus clientes**
Identifique solicitações que você não quer que sejam afetadas pelo CAPTCHA, por exemplo, solicitações de CSS ou imagens. Use CAPTCHA somente quando necessário. Por exemplo, se você planeja fazer uma verificação de CAPTCHA no login e o usuário sempre é levado diretamente do login para outra tela, a exigência de uma verificação de CAPTCHA na segunda tela provavelmente não seria necessária e poderia prejudicar sua experiência de usuário final.
Configure seu Challenge e CAPTCHA use para que AWS WAF só envie quebra-cabeças CAPTCHA e desafios silenciosos em resposta às solicitações. `GET` `text/html` Você não pode resolver o quebra-cabeça nem o desafio em resposta a solicitações `POST`, solicitações `OPTIONS` de comprovação do compartilhamento de recursos de origem cruzada (CORS) ou qualquer outro tipo de solicitação não `GET`. O comportamento do navegador para outros tipos de solicitação pode variar e talvez não consiga lidar com as intersticiais adequadamente.
É possível que um cliente aceite HTML, mas ainda não consiga lidar com a intersticial do CAPTCHA ou desafio. Por exemplo, um widget em uma página da web com um iFrame pequeno pode aceitar HTML, mas não conseguir exibir um CAPTCHA ou processá-lo. Evite colocar as ações de regra para esses tipos de solicitações, da mesma forma que para solicitações que não aceitam HTML.
**Use CAPTCHA ou Challenge para verificar a aquisição prévia do token**
Você pode usar as ações da regra somente para verificar a existência de um token válido, em locais onde usuários legítimos sempre devem ter um. Nessas situações, não importa se a solicitação pode lidar com as intersticiais.
Por exemplo, se você implementar a API CAPTCHA do aplicativo JavaScript cliente e executar o quebra-cabeça CAPTCHA no cliente imediatamente antes de enviar a primeira solicitação ao seu endpoint protegido, sua primeira solicitação sempre deverá incluir um token válido tanto para o desafio quanto para o CAPTCHA. Para obter informações sobre a integração JavaScript do aplicativo cliente, consulte[AWS WAF JavaScript integrações](waf-javascript-api.md).
Para essa situação, no pacote de proteção (ACL da Web), você pode adicionar uma regra que verifica a correspondência com a essa primeira chamada e configurá-la com a ação da regra Challenge ou CAPTCHA. Quando a regra coincide com um usuário final e um navegador legítimos, a ação encontrará um token válido e, portanto, não bloqueará a solicitação nem enviará um desafio ou um quebra-cabeça CAPTCHA em resposta. Para saber mais sobre como as ações de regra funcionam, consulte [Comportamento de ações CAPTCHA e Challenge](waf-captcha-and-challenge-actions.md).
**Proteja seus dados confidenciais não HTML com CAPTCHA e Challenge**
Você pode usar CAPTCHA e Challenge proteções para dados confidenciais não HTML, por exemploAPIs, com a abordagem a seguir.
1. Identifique as solicitações que recebem respostas em HTML e que são executadas próximas às solicitações de seus dados confidenciais que não sejam HTML.
1. Escreva regras CAPTCHA ou Challenge que correspondam às solicitações de HTML e às solicitações de seus dados confidenciais.
1. Ajuste as configurações de tempo de imunidade de CAPTCHA e Challenge para que, nas interações normais do usuário, os tokens que os clientes obtêm das solicitações de HTML estejam disponíveis e não expirem em suas solicitações de dados confidenciais. Para obter informações sobre ajustes, consulte [Definindo a expiração do carimbo de data/hora e os tempos de imunidade do token em AWS WAF](waf-tokens-immunity-times.md).
Quando uma solicitação de seus dados confidenciais corresponder a uma regra CAPTCHA ou Challenge, ela não será bloqueada se o cliente ainda tiver um token válido do quebra-cabeça ou desafio anterior. Se o token não estiver disponível ou o timestamp expirar, a solicitação para acessar seus dados confidenciais falhará. Para saber mais sobre como as ações de regra funcionam, consulte [Comportamento de ações CAPTCHA e Challenge](waf-captcha-and-challenge-actions.md).
**Use CAPTCHA e Challenge para ajustar suas regras existentes**
Revise suas regras existentes para ver se você deseja alterá-las ou adicioná-las. Veja a seguir alguns cenários comuns a serem considerados.
+ Se você tem uma regra baseada em intervalos que bloqueia o tráfego, mas mantém o limite de intervalo relativamente alto para evitar o bloqueio de usuários legítimos, considere adicionar uma segunda regra baseada em intervalos após a regra de bloqueio. Dê à segunda regra um limite inferior ao da regra de bloqueio e defina a ação da regra como CAPTCHA ou Challenge. A regra de bloqueio ainda bloqueará solicitações que estão chegando com um intervalo muito alto, e a nova regra bloqueará a maior parte do tráfego automatizado a um intervalo ainda menor. Para obter mais informações sobre regras baseadas em intervalos, consulte [Usando declarações de regras baseadas em taxas em AWS WAF](waf-rule-statement-type-rate-based.md).
+ Se você tiver um grupo de regras gerenciadas que bloqueia solicitações, poderá mudar o comportamento de algumas ou de todas as regras de Block para CAPTCHA ou Challenge. Para fazer isso, na configuração do grupo de regras gerenciadas, substitua a configuração da ação da regra. Para obter mais informações sobre modificar ações de regra, consulte [Substituições de ações de regras de grupos de regras](web-acl-rule-group-override-options.md#web-acl-rule-group-override-options-rules).
**Teste seu CAPTCHA e desafie as implementações antes de implantá-las**
Quanto a todas as novas funcionalidades, siga as orientações em [Testando e ajustando suas AWS WAF proteções](web-acl-testing.md).
Durante o teste, revise os requisitos de expiração do timestamp do token e defina as configurações de tempo de imunidade em nível de regra e web ACL para obter um bom equilíbrio entre controlar o acesso ao seu site e fornecer uma boa experiência aos seus clientes. Para mais informações, consulte [Definindo a expiração do carimbo de data/hora e os tempos de imunidade do token em AWS WAF](waf-tokens-immunity-times.md).