# Honeypotting de enumeração de nomes de usuário: um snippet do Cloudflare para varreduras /u/\*.json

**URL:** <https://meta.discourse.org/t/honeypotting-username-enumeration-a-cloudflare-snippet-for-u-json-scans/417374>\
**Category:** Community Building\
**Tags:** cloudflare\
**Created:** [Novembro 13, 2026, 5:02pm UTC](https://meta.discourse.org/t/honeypotting-username-enumeration-a-cloudflare-snippet-for-u-json-scans/417374 "2026-11-13T17:02:51Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![hhf.technology](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/hhf.technology/32/465129_2.png) [@hhf.technology](https://meta.discourse.org/u/hhf.technology)\
**Post date:** [Novembro 13, 2026, 5:02pm UTC](https://meta.discourse.org/t/honeypotting-username-enumeration-a-cloudflare-snippet-for-u-json-scans/417374/1 "2026-11-13T17:02:51Z")

</div>

Meu fórum Discourse recebe isso feito loucos: um scanner varre uma lista de palavras contra `/u/<nome>.json`, coleta os erros 404 e descobre quais nomes de usuário existem. Cada sondagem consome um worker Unicorn e entrega uma resposta de graça ao scanner.

Montei um pequeno Snippet do Cloudflare que responde a essas sondagens na borda com um perfil falso, mas plausível — status `200`, um id estável derivado do nome de usuário, data de inscrição, nível de confiança, contagem de posts e até um e-mail falso contendo uma string canary. Visitantes reais passam direto, sem alteração: um cookie de sessão, um referer do mesmo site, `Accept: text/html` ou uma chave de API significam “deixe isso em paz”. A origem nunca vê a sondagem, então a mudança resulta em menos carga, não mais.

Os hits são registrados no New Relic com IP, ASN e nome da rede, país, cidade, colo da borda, versão de HTTP/TLS, user agent e o nome de usuário sondado. Há um painel de onze widgets que você pode importar, além de NRQL para “quem continua voltando”.

Um slot de snippet. Sem KV, sem Worker, sem mudanças na origem, sem bloqueios.  
Você ainda tem 4 restantes e pode utilizá-los com outros sites da sua conta.

_Repositório:_ [GitHub - hhftechnology/cloudflare-honeypot: Cloudflare Snippet honeypot for user-enumeration scans (/u/\*.json): fake 200 profile, New Relic logging, zero origin load · GitHub](https://github.com/hhftechnology/cloudflare-honeypot)

_A documentação cobre a regra do Cloudflare (nota: o operador `matches` exige plano Business — use `wildcard`), a importação no New Relic (dois placeholders devem ser substituídos ou falha) e as ressalvas do Discourse — incluindo o caso em que a configuração integrada `hide user profiles from public` é simplesmente a melhor solução. Mas para mim isso não foi possível._

Espero que isso ajude alguém. A carga do nosso servidor diminuiu em menos de uma hora após a implantação.

 ![dashboard](https://global.discourse-cdn.com/meta/original/4X/e/7/d/e7dc99312d42f54e25c192da96b15cee663deadb.jpeg)

 ![image](https://global.discourse-cdn.com/meta/original/4X/2/9/f/29ffa8d8de797e8c4bfab6b53438e3279484dfeb.png)