Rigtige besøgende møder captcha eller challenge

Kort svar: Når rigtige besøgende møder „Bekræft, at du er et menneske“, kommer det typisk fra én af disse kilder i Cloudflare: Under Attack-tilstand, en custom-regel eller rate limiting-regel med Challenge-handling, Bot Fight Mode, en IP-/landeregel eller Browser Integrity Check. Find kilden i sikkerhedshændelserne (Events), gør reglen smallere i stedet for at challenge alle – og challenge aldrig checkout, betalings-callbacks eller API-stier.

Fagligt gennemgået: 2. oktober 2026

En challenge er et fint værktøj mod bots – og en dårlig velkomst til kunder. Hver gang et menneske skal klikke sig forbi en verificering, mister du nogle af dem, og på mobilnet med delte IP-adresser rammes helt almindelige besøgende oftere, end man tror. Målet er derfor ikke nul challenges, men challenges de rigtige steder.

Cloudflare har løbende omlagt sit sikkerhedsdashboard. Menupunkterne herunder følger det nye dashboard (Security → Analytics, Security rules og Settings); i det ældre layout hedder de tilsvarende sider Events, WAF og Bots.

Før du ændrer noget: Notér, hvad reglen gør i dag, før du retter den, så du kan rulle tilbage. Slå ikke beskyttelsen fra generelt for at „se om det hjælper“ – gør én regel smallere ad gangen, og følg effekten i Events. Er sitet under et aktivt angreb, så lad Under Attack-tilstanden stå, indtil angrebet er overstået.

Kilderne til challenges

Kilde	Hvor den findes	Typisk fejlmønster
Under Attack-tilstand (Security Level)	Security → Settings	Glemt nødbremse – alle besøgende får challenge
Custom-regel med Challenge	Security → Security rules	For bred betingelse – fx hele landet eller hele sitet
Rate limiting-regel med Challenge	Security → Security rules	For lav grænse rammer kunder, der klikker hurtigt eller deler IP
Bot Fight Mode	Security → Settings (bottrafik)	Rammer også legitime tjenester, apps og callbacks
IP-, ASN- eller landeregel	Security rules eller IP Access rules	Challenge på lande eller netværk, hvor kunder faktisk findes
Browser Integrity Check	Security → Settings	Besøgende med usædvanlige browsere eller privatlivsværktøjer

Bemærk: Den gamle Security Level-skala (Low, Medium, High) byggede på en trusselsscore, som Cloudflare ikke længere bruger. I det nye dashboard styrer Security Level reelt kun, om Under Attack-tilstand er slået til. Ser du challenges for „alle“, er det derfor oftest Under Attack eller en bred regel – ikke et for højt sikkerhedsniveau.

1. Find kilden i Events

Gå til Security → Analytics → Events, og filtrér på handlingerne „Managed Challenge“, „Non-interactive Challenge“ og „Interactive Challenge“. Hver hændelse viser den regel eller tjeneste, der udløste den, samt IP, land, sti og user agent. Har en kunde sendt et skærmbillede med et Ray ID, kan du søge direkte på det.

Kig også på challenge solve rate (CSR) for den enkelte regel under Security rules: andelen af udstedte challenges, der blev løst. Løser næsten alle challengen, rammer den overvejende mennesker – og så er reglen for bred. Løser næsten ingen den, stopper den reelt bots, og reglen gør sit arbejde:

2. Gør reglerne smallere i stedet for at challenge alle

• Under Attack-tilstand: en nødbremse til aktive DDoS-angreb på applikationsniveau. Den giver alle besøgende en challenge og kan forstyrre API-trafik. Slå den fra igen, når angrebet er ovre – en glemt nødbremse er den klassiske forklaring på „alle får pludselig captcha“.
• Custom-regler: Udskift „challenge hele landet/sitet“ med målrettede betingelser: kun følsomme stier (/wp-login.php, /xmlrpc.php), kun mistænkelige mønstre, og brug „Managed Challenge“ frem for interaktiv challenge – den løses oftest uden klik.
• Rate limiting: Sæt grænsen ud fra faktisk trafik, ikke gæt. En butik med filtre og søgning laver mange forespørgsler pr. besøgende, og mange kunder kan dele samme IP på mobilnet eller arbejdspladsnet.
• Bot Fight Mode: kan ikke finjusteres – kun tændes og slukkes – og kan ifølge Cloudflare ikke omgås med skip-regler. Blokerer den betalings-callbacks eller overvågning, så læs Bot Fight Mode-guiden, før du lader den stå tændt på en webshop.
• Landeregler: challenge frem for block på lande med reelle kunder – og ingen af delene på Danmark. Husk, at kunder på rejse og bag VPN dukker op fra andre lande.

Et eksempel på en målrettet custom-regel, der kun challenger login-forsøg udefra og lader verificerede bots være:

(http.request.uri.path eq "/wp-login.php" and ip.src.country ne "DK" and not cf.client.bot)
Handling: Managed Challenge

3. Undtag stier, der aldrig må challenges

En challenge forudsætter en browser med et menneske bag. Programmatisk trafik kan ikke løse den – den fejler bare stille. Læg derfor skip-regler (undtagelser) for:

• betalingsgatewayens callback-stier (/wc-api/ og gatewayens egne endpoints);
• wp-cron.php, hvis den kaldes udefra;
• REST-stier (/wp-json/), som apps, fragtplatforme og integrationer bruger;
• webhooks fra regnskabs- og lagersystemer;
• jeres uptime-overvågnings tjek-URL.

Gør undtagelserne så smalle som muligt – fx sti og gatewayens kendte IP-adresser, hvis de er offentliggjort. Skip-regler virker på custom-regler, rate limiting og managed rules, men ikke på Bot Fight Mode. Rammer challenges wp-admin for jer selv, så undtag jeres faste IP-adresser – fremgangsmåden står i wp-admin-guiden.

4. Når kunden sidder fast i en challenge-løkke

Løser kunden challengen og får en ny med det samme, er problemet sjældent reglen alene. Når en challenge løses, sætter Cloudflare cookien cf_clearance, som som standard gælder i 30 minutter (indstillingen Challenge Passage). Kan cookien ikke sættes eller bruges, starter løkken. Typiske årsager:

• browseren blokerer cookies eller JavaScript for domænet;
• en privatlivsudvidelse eller adblocker blokerer Cloudflares challenge-script;
• kunden skifter IP undervejs (VPN, iCloud Private Relay eller skift mellem wifi og mobilnet);
• computerens ur går meget forkert;
• en rate limiting-regel med challenge – Challenge Passage gælder ikke for rate limiting.

Bed kunden prøve et privat vindue uden udvidelser eller en anden browser. Virker det dér, ligger årsagen i kundens browser. Rammer det mange forskellige kunder, er det reglen, der skal ændres.

5. Tjek verificerede bots og SEO

Googlebot, Bingbot og andre kendte crawlere står på Cloudflares liste over verificerede bots. Cloudflares automatiske botfunktioner lader dem typisk være, men dine egne custom-regler gælder også for dem, medmindre du udelukker verificerede bots i betingelsen (som i eksemplet ovenfor). Filtrér Events på verificerede bots, hvis Search Console melder om crawlfejl efter en regelændring.

6. Verificér balancen

Balancen er rigtig, når:

• klager over captcha stopper;
• solve rate på de tilbageværende challenges er lav (de rammer bots);
• betalinger og callbacks går igennem uden fejl i gatewayens log;
• uptime-overvågningen ikke melder falske nedbrud;
• Events stadig viser, at scanninger og botmønstre bliver stoppet.

Gennemgå Events igen efter en uge: Challenge-opsætning er en justeringsopgave, ikke en engangsopgave.

Læs også

• Hub: Cloudflare til WordPress
• Cloudflare Error 1020: find WAF-reglen
• Bot Fight Mode blokerer callbacks
• Cloudflare-indstillinger: sikker basisopsætning
• Beskyt mod DDoS-angreb med Cloudflare
• WordPress hosting hos Hostious – LiteSpeed, NVMe og dansk support 24/7

Ofte stillede spørgsmål om challenges

Hvad er forskellen på Managed og Interactive Challenge?

Managed Challenge vurderer besøget og løses oftest automatisk uden klik; interaktiv challenge kræver altid en handling. Cloudflare anbefaler Managed Challenge som standard – den generer mennesker mindst.

Hvorfor får kunder på mobilnet oftere captcha?

Mobilnet samler mange brugere bag delte IP-adresser. Har én af dem opført sig botagtigt, eller rammer de tilsammen en rate limiting-grænse, kan de næste blive ramt. Endnu en grund til Managed Challenge frem for blokering.

Kan challenges påvirke SEO?

Ja, hvis dine egne regler rammer søgemaskinernes crawlere. Googlebot er en verificeret bot, men custom-regler gælder også for verificerede bots, medmindre du udelukker dem i betingelsen. Tjek Events for verificeret bottrafik, hvis indekseringen driller.

Hvor længe gælder en løst challenge?

Som standard 30 minutter, styret af indstillingen Challenge Passage. Cloudflare anbefaler mellem 15 og 45 minutter. Indstillingen gælder ikke for rate limiting-regler.