আপনারা সবাইকে কীভাবে বোকা বানানো হলো

Cloudflare: যে কোম্পানির গল্প যা জানে আপনার সব লগইন ও গোপন কথা - আপনার যত্নের ছদ্মবেশে

বিশ বছর ধরে শেখানো হয়েছে: তালা থাকলে সংযোগ নিরাপদ, পাসওয়ার্ড দিন। একটা কথা বলা হয়নি: বিশ্বের দশটি বৃহত্তম সাইটের মধ্যে সাতটিতে তালা সাইটে যায় না, অন্য কারও সার্ভারে যায় — বেশিরভাগ সময় সেই সার্ভার Cloudflare। সেখানে আপনার লগইন, পাসওয়ার্ড, cookie ও বার্তা ডিক্রিপ্ট, পড়া, ফিল্টার দিয়ে চালানো ও আবার এনক্রিপ্ট হয়। এটা হ্যাক নয়, আউটেজও নয় — এটা তাদের ব্যবসা, «সাইট সুরক্ষা»। Amazon, Akamai ও Azure-ও একই করে — প্রায় পুরো ইন্টারনেট এতে চাপা পড়ে আছে। আপনাকে কেউ জিজ্ঞেস করেনি।

আটটি তথ্য পরীক্ষা your exchange in a minute

৭ এর ১০বিশ্বের বৃহত্তম সাইট — মিডলবক্সের পেছনে, বেশিরভাগ Cloudflare

৫ এর ৫জনপ্রিয় ওয়ালেট যা আমরা পরীক্ষা করেছি — একই

0বার কেউ জিজ্ঞেস করেছে আপনি রাজি কিনা

exchange.example/login

সংযোগ সুরক্ষিত

আপনার ডেটা (যেমন পাসওয়ার্ড বা কার্ড নম্বর) এই সাইটে পাঠানোর সময় অন্য কেউ পড়তে পারে না।

৭ এর ১০ সাইটে
মিথ্যা

আসলে কী ঘটে

তালা Cloudflare সার্ভারে যায়। সেখানে পাসওয়ার্ড ডিক্রিপ্ট হয়ে তাদের কোড দিয়ে পড়া হয়। সাইট তা দ্বিতীয় পায়।

সাইন ইন

লগইন

you@mail.example

পাসওয়ার্ড

••••••••••••Cloudflare এটা পড়ে

সাইন ইন

server: cloudflare · cf-ray: 8d3a1f2c9e4b7a10-FRA
সার্টিফিকেট Cloudflare-এর নামে, সাইটের নয়

তালা কী প্রতিশ্রুতি দেয়

Chrome বছরের পর বছর তালাহীন সাইট নিয়ে ভয় দেখিয়েছে। এখন সব সাইটে তালা আছে — আর দশটি বড় সাইটের মধ্যে সাতটিতে তা মিডলবক্সে যায়

তালা ও HTTPS এক কারণে তৈরি: যাতে আপনি ও সাইটের মাঝে কেউ আপনার পাঠানো জিনিস পড়তে না পারে। আপনার ISP, ক্যাফের Wi-Fi, লাইনের রাষ্ট্র — সবাই শুধু সাইফারটেক্সট দেখে। ব্রাউজার বছরের পর বছর শিখিয়েছে: তালা নেই — পাসওয়ার্ড দেবেন না।

Cloudflare একটি প্রক্সি যা আপনি ও সাইটের মাঝে বসে; Amazon CloudFront, Azure Front Door, Akamai ও Fastly একইভাবে কাজ করে। «আক্রমণ প্রশমিত» করতে মিডলবক্সকে ট্রাফিক খোলা দেখতে হয়। তাই আপনার সংযোগ তার সার্ভারে শেষ হয়: সেখানে রিকোয়েস্ট ডিক্রিপ্ট, নিয়ম অনুসারে পরীক্ষা, তারপর আলাদা সংযোগে সাইটে যায়। Cloudflare-এর নিজের ডকে একে বলে TLS termination — «যে বিন্দুতে HTTPS ট্রাফিক ডিক্রিপ্ট হয় যাতে Cloudflare পরীক্ষা করতে পারে»। Amazon, Azure ও Akamai তাদের ডকে একই বিন্দুর একই নাম ব্যবহার করে।

প্রযুক্তিগতভাবে এটা ক্লাসিক man in the middle. আক্রমণের একমাত্র পার্থক্য: সাইট মালিক মিডলবক্সের পেছনে সাইট রেখে এতে সাইন আপ করেছেন। প্ল্যান বা সেটিংস এটা তোলে না: সাইট মিডলবক্সের পেছনে থাকলে এনক্রিপশন মিডলবক্সে শেষ — ফ্রি প্ল্যান ও Enterprise দুটোতেই। আপনাকে কেউ জিজ্ঞেস করেনি, তালাও বলবে না।

তালা দেখে আপনি কী ভাবেন

আপনিbrowser

সাইট পর্যন্ত এক সাইফার

সাইট

আসলে কী ঘটে on a site behind a middlebox

আপনিbrowser

সাইফার

মিডলবক্সপ্লেইনটেক্সট

সাইফার

সাইট

Cloudflare Flexible, Full ও Full (strict) মোড, Azure Front Door «end-to-end TLS» ও CloudFront «origin protocol» শুধু দ্বিতীয় হপ বর্ণনা করে। প্রথম হপ সবসময় মিডলবক্সে শেষ।

দুটি সার্টিফিকেট: যা আপনি দেখেন তা মিডলবক্সের নামে। অরিজিনেরটা আপনি কখনও দেখেন না।

আটটি তথ্য

বাস্তবে এর মানে কী — ডক ও তারিখ থেকে

কোনো রায় নয়। শুধু Cloudflare-এর নিজের ডকুমেন্টেশন, ইনসিডেন্ট রিপোর্ট ও পাবলিক লেখা — তারিখসহ, যাতে প্রতিটি লাইন যাচাই করা যায়।

তথ্য 01

দশটির মধ্যে সাতটি বৃহত্তম সাইট — মিডলবক্সের পেছনে

HTTP Archive 2025 অনুসারে, বিশ্বের হাজার সবচেয়ে বেশি দেখা সাইটের ৭১% HTML ডকুমেন্টও মিডলবক্স দিয়ে দেয়; টপ ১০,০০০-এ ৭০%, টপ ১০০,০০০-এ ৬২%। সেই মিডলবক্স কারা: Cloudflare — এমন সাইটের ৫৮%, তারপর Amazon CloudFront (৭%), Fastly (৫%), Akamai (২%) ও ক্লাউড লোড ব্যালান্সার। বিশ্বের সব সাইট গুনলে প্রতি তিনটিতে একটা মিডলবক্সের পেছনে; একা Cloudflare — সব সাইটের ২৬% ও রিভার্স-প্রক্সি বাজারের ৮৫%।

সূত্র: HTTP Archive, Web Almanac 2025, CDN chapter; W3Techs reverse-proxy report, update 24.09.2026

আপনার জন্য এর মানে কী

সাইট যত বড়, পাসওয়ার্ড তত বেশি সম্ভাবনায় সাইট নয় — তার মিডলবক্স পড়ে। তালা দুটোতেই একই দেখায়।

তথ্য 02

WAF প্রতিটি রিকোয়েস্টের বডি পড়ে — ডক অনুসারে

Cloudflare নিয়ম «প্রতিটি আগত রিকোয়েস্টের বডি পরীক্ষা করে», আর তাদের রুলস ভাষায় http.request.body.raw ক্ষেত্র হলো «অপরিবর্তিত HTTP রিকোয়েস্ট বডি»। লগইন ফর্মই রিকোয়েস্ট বডি। তাতে লগইন ও পাসওয়ার্ড প্লেইনটেক্সট।

সূত্র: developers.cloudflare.com: WAF managed rules; ruleset-engine, field http.request.body.raw

আপনার জন্য এর মানে কী

এটা দুর্বলতা নয়, ফিচার। এর পেছনের প্রতিটি সাইটে প্রতিটি লগইনে আপনার পাসওয়ার্ড Cloudflare-এর কোড দিয়ে যায়। তারপর কী করে — তা বিশ্বাসের প্রশ্ন, কৌশলের নয়।

তথ্য 03

Cloudbleed, 2017: মিডলবক্সের মেমোরি অন্য রেসপন্সে লিক

২০১৬ সালের ২২ সেপ্টেম্বর থেকে ২০১৭ সালের ১৮ ফেব্রুয়ারি পর্যন্ত Cloudflare পার্সারের বাগে এক সাইটের মেমোরি টুকরো অন্য সাইটের রেসপন্সে মিশেছে: হেডার, পাসওয়ার্ডসহ POST টুকরো, cookie, API কী ও টোকেন। Cloudflare গুনেছে ১২ লাখ হিট; লিক সার্চ ক্যাশে গেছে — ৮০,০০০-এর বেশি পাতা পরিষ্কার। প্রেসে Uber, OkCupid, Fitbit-এর নাম।

সূত্র: Cloudflare, incident report 23.02.2017 and impact assessment 01.03.2017; Google Project Zero, issue 1139

আপনার জন্য এর মানে কী

মিডলবক্সে এক বাগ — একস��্গে লক্ষাধিক সাইটে লিক। সেই সাইটগুলোর কেউ কিছু ভুল করেনি।

তথ্য 04

নভেম্বর ২০২৩: চুরি করা কী দিয়ে আক্রমণকারীরা Cloudflare-এ ঢুকেছে

২০২৩ সালের ১৪ থেকে ২৪ নভেম্বর আক্রমণকারীরা — Cloudflare যাদের বলে «nation-state» — Okta লঙ্ঘনে চুরি করা ক্রেডেনশিয়াল নিয়ে Cloudflare সিস্টেমের ভিতরে কাজ করেছে: Confluence উইকি, Jira, Bitbucket, ৭৬টি রেপো ডাউনলোড। এরপর Cloudflare ৫,০০০-এর বেশি ক্রেডেনশিয়াল ঘুরিয়েছে ও ৪,৮৯৩ সিস্টেম পরীক্ষা করেছে।

সূত্র: Cloudflare, «Thanksgiving 2023 security incident», 01.02.2024

আপনার জন্য এর মানে কী

যে মিডলবক্স দিয়ে ইন্টারনেটের এক চতুর্থাংশ যায় সেটা বিশ্বের সবচেয়ে মোটা টার্গেট। কেউ ইতিমধ্যে ঢুকেছে।

তথ্য 05

সবার জন্য এক সুইচ

২ জুলাই ২০১৯ — ২৭ মিনিট, WAF-এ এক regex, ট্রাফিক ৮২% কমে। ২১ জুন ২০২২ — ৭৫ মিনিট, ১৯ ডেটা সেন্টার। ১৮ নভেম্বর ২০২৫ — প্রায় ছয় ঘণ্টা, «২০১৯-এর পর সবচেয়ে খারাপ আউটেজ»: X, ChatGPT, Spotify, Shopify, Coinbase ডাউন। ৫ ডিসেম্বর ২০২৫ — আরও ২৫ মিনিট। ২০ ফেব্রুয়ারি ২০২৬ — ছয় ঘণ্টা, BGP ত্রুটি। কোনো আউটেজই আক্রমণ ছিল না।

সূত্র: Cloudflare outage postmortems 02.07.2019, 21.06.2022, 18.11.2025, 05.12.2025, 20.02.2026

আপনার জন্য এর মানে কী

মিডলবক্স ভাঙলে অর্ধেক ইন্টারনেট একসঙ্গে ভাঙে, এক্সচেঞ্জসহ। ঠিক যখন বিক্রি করতে হয়।

তথ্য 06

Cloudflare ঠিক করে আপনি মানুষ কিনা

��াইট মালিক একটা টিক দেন — আর অ্যাক্সেস তারা নয়, Cloudflare-এর ফিল্টার ঠিক করে। তাদের ডক «challenge loop» স্বীকার করে, যখন চ্যালেঞ্জ বারবার আসে, VPN ও প্রক্সির কারণেও। ২০১৬ থেকে Cloudflare Tor-কে আলাদা «দেশ» ধরে ও দাবি করে সেখান থেকে ৯৪% রিকোয়েস্ট ক্ষতিকর; Tor Project বলেছে «CAPTCHA-র অন্তহীন লুপ» ও অন্তত ৮০% Tor ঠিকানা ব্লক।

সূত্র: Cloudflare, «The Trouble with Tor», 30.03.2016; developers.cloudflare.com, troubleshooting challenge loops; Tor Project, 01.04.2016

আপনার জন্য এর মানে কী

VPN, Tor বা «ভুল» অঞ্চল — আর আপনি «মানুষ নন»। সাইট আপনাকে ব্লক করেনি। যে মিডলবক্সের কথা জানতেন না সেটা আপনাকে বাইরে রেখেছে।

তথ্য ০৭

যখন রাষ্ট্র মিডলবক্সের সাথে লড়ে: রাশিয়ার ঘটনা

অক্টোবর ২০২৪-এ Cloudflare ফ্রি প্ল্যানে ডিফল্টে ECH এনক্রিপশন চালু করে। ৬ নভেম্বর ২০২৪-এ ECHসহ Cloudflare-এর পেছনের সাইট রাশিয়ান ISP-তে খোলা বন্ধ; ৭ নভেম্বর CMU SSOP (Roskomnadzor ইউনিট) ECH-কে «নিষেধাজ্ঞা এড়ানোর উপায়» বলে মালিকদের বন্ধ করতে বলে «অথবা, ভালো, দেশীয় CDN ব্যবহার করুন»। ৯ জুন ২০২৫ থেকে চার বৃহত্তম রাশিয়ান অপারেটর Cloudflare ট্রাফিক প্রতি ফাইলের প্রথম ১৬ KB-তে কেটেছে। রাশিয়া থেকে ট্রাফিক প্রায় ৩০% কমে; রাশিয়ান ওয়েব সাইটের ৪০%-এর বেশি — প্রায় ৩ লাখ — Cloudflare-এর পেছনে। ২ জুন ২০২৬-এ FSB ঘোষণা করে বিদেশি গোয়েন্দা রাশিয়ান কর্মকর্তাদের ফোন থেকে Cloudflare ও Fastly-এর «প্রযুক্তিগত সক্ষমতা ব্যবহার করে» ডেটা সংগ্রহ করেছে, ও ২৭২ ও ২৭৩ ধারায় মামলা খুলেছে — প্রযুক্তিগত প্রমাণ দেখায়নি, কোম্পানিগুলো উত্তর দেয়নি। একই Cloudflare ২০২২ থেকে ব্রিটিশ প্রতিরক্ষা মন্ত্রণালয়ের সাইট সরকারি চুক্তিতে ঢেকেছে — Army, Royal Navy, RAF ও ৩৩০,০০০ ব্যবহারকারীর Defence Gateway: ২০২২-২০২৫-এ £৪২৫ক ও ২০২৫-২০২৬-এ £১০৫ক।

সূত্র: Interfax and RBC, 07.11.2024; Habr, 06.11.2024; Cloudflare, 26.06.2025; Kommersant, 19.06.2025; RIA Novosti, Mediazona and The Record, 02.06.2026; UK Contracts Finder notices of 25.01.2024 and 11.11.2025

আপনার জন্য এর মানে কী

«সাইট খুলছে না» প্রায়ই সাইট নয়। যে মিডলবক্সের কথা জানতেন না সেটা আপনার ISP-এর সাথে বিবাদ করেছে।

তথ্য 08

সব জায়গায় একই স্কিম: Amazon, Akamai, Azure, Fastly

যেকোনো প্রক্সি বা ক্লাউড লোড ব্যালান্সার যা নিজের উপর TLS শেষ করে একইভাবে কাজ করে: Amazon CloudFront ও ALB, Azure Front Door ও Application Gateway, Akamai, Fastly, Imperva, Alibaba Cloud CDN, Tencent EdgeOne। প্রত্যেকের নিজস্ব WAF যা রিকোয়েস্ট বডি পড়ে, নিজস্ব ক্যাশ ও নিজস্ব আউটেজ। Cloudflare শুধু সবচেয়ে বড় ও ডকুমেন্টেশনে সবচেয়ে খোলা। অরিজিন সার্ভারে সার্টিফিকেটসহ সাধারণ হোস্টিং আলাদা: সেখানে শুধু সাইট ট্রাফিক পড়ে।

সূত্র: AWS docs (CloudFront, Application Load Balancer), Azure Front Door, Akamai - TLS termination sections; W3Techs, September 2026

আপনার জন্য এর মানে কী

টাকাসংক্রান্ত যেকোনো সাইটের প্রশ্ন একটা: আমার সাইফার কোথায় শেষ — আপনার কাছে নাকি মিডলবক্সে? নিচে — এক মিনিটে কীভাবে দেখবেন।

আপনার টাকা

আপনার জন্য এর মানে কীr money

মিডলবক্সের পেছনে এক্সচেঞ্জ

লগইন, password, 2FA code, withdrawal address, trade history - all of that is request bodies the middlebox reads in প্লেইনটেক্সট. Plus a middlebox outage - and the exchange is down exactly when you need to sell: on 18 November 2025 Coinbase was among the sites that went down.

মিডলবক্সের পেছনে ওয়েব ওয়ালেট

ওয়ালেট code reaches your browser through the middlebox: whatever its server returned is what runs. That is the same «one line in the build» we wrote about in hardware-wallet flaws - only the point where it can appear is now also someone else's. Addresses you paste into forms it sees too.

অফলাইন স্বাক্ষরের ওয়ালেট

কী নেটওয়ার্কহীন ডিভাইসে থাকে, লেনদেন সেখানেই সাইন হয় ও অনলাইনে শুধু স্বাক্ষর হিসেবে যায়। মিডলবক্সের আটকানোর কিছু নেই, থাকলেও: পাসওয়ার্ড নেই, কী নেই, টাকা কোথায় যাবে ঠিক করে এমন কোড নেই।

আমরা কীভাবে করি

আমাদের যেকোনো সার্ভার �� আপনার মাঝে কোনো মিডলবক্স নেই। bn.mitilena.com, api.mitilena.com সরাসরি উত্তর দেয়: the certificate is ours, there is no cf-ray header in the responses. Our front server does not decrypt TLS - it looks only at the server name in the handshake and passes the stream as-is. What our server does see is broken down step by step on the page «ওয়ালেট কীভাবে ক্রিপ্টো পাঠায়». পরীক্ষিত 24.09.2026; you can repeat it in a minute - how is below.

পরীক্ষা

পরীক্ষা any site in a minute

আপনি do not have to believe us or them. The middlebox leaves traces in every response, and anyone can see them.

টার্মিনালেcurl -sI https://site/ করে রেসপন্স হেডার দেখুন। server: cloudflare ও cf-ray — Cloudflare; via: 1.1 … cloudfront.net ও x-amz-cf-id — Amazon; x-azure-ref — Azure Front Door; x-served-by: cache-… — Fastly; x-akamai-… — Akamai। যেকোনো মানে: TLS মিডলবক্সে শেষ, কারণ ডিক্রিপশনের পরেই হেডার যোগ করা যায়।

ব্রাউজারেDevTools → Network → প্রথম রিকোয়েস্ট → Response Headers — একই হেডার। অথবা তালা → সার্টিফিকেট: Cloudflare-এ ইস্যুয়ার Google Trust Services WE1, ৯০ দিন, «organization» ক্ষেত্র নেই; Amazon-এ Amazon RSA 2048 — মানে সার্টিফিকেট AWS দিয়ে অর্ডার, সাইট নিজে নয়; নিজস্ব ডোমেইনহীন সাইটে *.cloudfront.net। মিডলবক্সের নামে সার্টিফিকেটই স্বীকারোক্তি: সাইফার সেখানে শেষ।

সার্ভার ঠিকানা দিয়েping site বা dig +short site — ঠিকানা প্রকাশিত Cloudflare রেঞ্জ (104.16.0.0/13, 172.64.0.0/13 ও অন্যান্য), CloudFront, Azure Front Door বা Akamai হলে সব ট্রাফিক তাদের সার্ভার দিয়ে যায়। হোস্টিংয়ের নিজস্ব ঠিকানা — মিডলবক্স নেই।

terminal

$ curl -sI https://site.example | grep -iE "server|cf-"
server: cloudflare
cf-ray: 8d3a1f2c9e4b7a10-FRA
# TLS Cloudflare-এ শেষ: cf-ray হেডার
# ইতিমধ্যে ডিক্রিপ্টেড রেসপন্সে যোগ

terminal

$ curl -sI https://bn.mitilena.com | grep -iE "server|cf-"
server: nginx
# no cf-ray: আপনি ও সার্ভারের মাঝে কেউ নেই

প্রথম আউটপুট — Cloudflare-এর পেছনের সাইট কেমন; Amazon, Akamai ও Azure-এর নিজস্ব হেডার (বাঁয়ে তালিকা)। দ্বিতীয় — আমাদের, ২৪.০৯.২০২৬-এ ধরা।

এই নিবন্ধ লেখার সময়

পাঁচটি সবচেয়ে জনপ্রিয় ওয়ালেট নিয়ে দেখেছি তাদের সাইট ও আপনার মাঝে কে বসে

আমরা অনুমান করিনি, অন্যের রিভিউ পড়িনি: সাইটে সাধারণ রিকোয়েস্ট করেছি, হেডার ও সার্টিফিকেট দেখেছি। ফল নিচে, যেমন আছে।

পরীক্ষা 24.09.2026 · sites of five popular walletsHEADERS AND CERTIFICATES

ওয়ালেটপ্রক্সিডিক্রিপশনকার তালা

MetaMaskmetamask.io