Browser Isolation

Browser Isolation nedir?

“Cloudflare Browser Isolation … executes active webpage content — executable code such as JavaScript and plugins — in a secure isolated browser. Because active content executes remotely instead of on the user’s device, Browser Isolation protects users from zero-day attacks … and malware.”

“Remote browsing is invisible to the user who continues to use their browser normally without changing their preferred browser and habits. Every open tab and window is automatically isolated. When the user closes the isolated browser, their session is automatically deleted.”

Fikir basit: zararlı kod kullanıcının cihazında hiç çalışmasın. Zor olan kısım, bunu kullanıcıya hissettirmeden yapmak — ve bu ürünü ayıran şey tam olarak oradaki teknik tercih.

Network Vector Rendering — ne video, ne DOM temizleme

“Our Network Vector Rendering (NVR) technology sends drawing instructions to the user’s browser instead of streaming video of the page. This allows us to deliver a secure remote computing experience without the bandwidth limitations of video streams.”

Mekanizma, Cloudflare’in kendi anlatımıyla: uzak taraftaki Chromium’un Skia grafik kütüphanesine gönderdiği çizim komutları yakalanıyor, sıkıştırılıp şifrelenip tele veriliyor, ve cihaza bir kez itilen WebAssembly kütüphanesi bunları yeniden oynatıyor.

“The Skia API commands captured by NVR are pre-rasterization which means they are highly compact.”

Sektördeki iki alternatif — ve Cloudflare’in onlara itirazı

DOM reconstruction eleştirisi özellikle keskin:

“The underlying technologies – HTML, CSS, web fonts, etc. – are the attack vectors hackers leverage to breach endpoints. Attempting to remove malicious content or code is like washing mosquitos: you can attempt to clean them, but they remain inherent carriers of dangerous and malicious material.”

“Inevitably, attempting to remove malicious active code… results in broken pages that don’t render properly or don’t render at all… The result is an infinite tail of issues requiring significant resources in an endless game of whack-a-mole.”

Ve sonuç cümlesi: “Customers are left to choose between a secure solution with a bad user experience and high operating costs, or a faster, much less secure solution that breaks websites.”

Canvas Remoting

2026’da gelen uzantı, ve varsayılan olarak açık:

“Canvas Remoting extends NVR to Canvas-based applications by: 1. Capturing draw commands made to the HTML5 Canvas element. 2. Converting and sending those commands to the client as NVR instructions…” “Canvas Remoting is on by default for all Browser Isolation customers. No configuration is required.”

Yayımlanan iyileşmeler: Microsoft Word “10x bandwidth reduction”, Excel “smooth scrolling and data entry”, PowerPoint “fluid animations”, Google Sheets “consistent 30fps rendering”, Google Maps “smooth panning and zooming”.

Nasıl çalışır?

Altı on-ramp

“Browser Isolation is enabled through Secure Web Gateway HTTP policies. By default, no traffic is isolated until you have added an Isolate policy to your HTTP policies.”

“In-line mode means traffic is inspected as it flows through Gateway — users browse to websites using normal URLs, not a special Cloudflare prefix. … Prefixed URL mode requires users to visit a Cloudflare-hosted URL that wraps the target website.”

Clientless’ın amacı: “Use Clientless Web Isolation when you need to provide isolated browsing to unmanaged devices (for example, contractor laptops or personal phones) where you cannot install software.”

Altı veri kontrolü

Hepsi Gateway HTTP kuralında Isolate aksiyonunun altında, Configure policy settings başlığı altında:

Kopyalama ve yapıştırmayı birlikte “yalnızca izole tarayıcı içinde” yaparsan izole siteler arasında kopyala-yapıştır çalışıyor ama veri dışarı çıkmıyor.

Üç ayrı katman — karıştırılmamalı

1. RBI kontrolü — dosya uzak tarayıcıdan yerel makineye geçebilir mi?
2. Gateway mime/dosya tipi engeli — dosya uzak tarayıcıya inebilir mi?
3. File sandboxing — inen dosya karantinaya alınıp davranış olarak taranıyor mu?

Üçüncüsü ayrı bir Gateway özelliği: “Gateway quarantines the file in the sandbox. If the file has not been downloaded before, Gateway monitors the file’s behavior… If the sandbox detects malicious activity, Gateway blocks the download.” 100 MB üstü dosyalar sandbox’a alınamıyor.

Ağ gereksinimleri — arızanın bir numaralı sebebi

“Browser Isolation uses WebRTC… for low-latency communication between the local browser and the remote browser. WebRTC uses UDP rather than TCP, which means this traffic does not flow through standard HTTP/HTTPS proxy settings. The connecting device must have direct UDP connectivity to the IP ranges listed below.”

“Each remote browser instance is randomly assigned a port, and the port that a user is allocated to will change often and without notice.”

İki oturum sınırı

“This alert appears if your device attempts to establish more than two concurrent remote browser instances. A browser isolation session is shared across all tabs and windows within the same browser… You can use two different browsers concurrently, but opening a third will trigger this alert.”

Ne zaman kullanılır, ne zaman kullanılmaz

Uygun olduğu işler

• Riskli kategorileri engellemek yerine izole ederek açtırmak — haber, sınıflandırılmamış içerik, kişisel e-posta
• Yüklenici ve dış ekiplere yönetilmeyen cihazlardan iç uygulamalara erişim vermek (clientless)
• Hassas bir iç uygulamadan veri kopyalanmasını, indirilmesini veya yazdırılmasını engellemek
• Oltalama sayfalarında klavye girişini kapatarak kimlik bilgisi girilmesini önlemek
• Sıfırıncı gün açıklarını cihazdan uzak tutmak — aktif içerik orada hiç çalışmıyor

Uygun olmadığı işler

• Sesli veya görüntülü görüşme. “Webcam and microphone support is unavailable.”
• WebGL, WebGPU veya 3B grafik gerektiren uygulamalar.
• HTTP siteler. “Browser Isolation requires HTTPS.”
• Sanal makineler. “not supported in virtualized environments (VMs).”
• UDP’yi kapatan ağlar. WebRTC proxy’den geçmiyor; doğrudan UDP bağlantısı şart.
• YubiKey veya WebAuthn ile clientless erişim. Önek URL’i alan adını değiştirdiği için kırılıyor.
• 443 dışı portlardaki özel uygulamalar. “will result in a Gateway block page.”
• Türkiye’ye sabitleme. Regional Services için yalnızca ABD FedRAMP bölgesi.

Somut örnekler

1. Güvenlik tehditlerini izole etmek

any(http.request.uri.security_category[*] in {68 178 80 83 176 175 117 131 134 151 153})
→ Isolate

2. Yüksek riskli ve sınıflandırılmamış içerik

any(http.request.uri.content_category[*] in {32 169 177 128})   → Isolate

Cloudflare’in yayımladığı diğer örnekler: haber ve medya ({122}), sınıflandırılmamış içerik, ve ChatGPT (any(app.ids[*] in {1199})).

3. Veri sızdırmayı engelleyen izolasyon

İç bir uygulamayı izole et ve altı kontrolü kıs:

http.request.uri.host == "ic-panel.sirket.com"   → Isolate
  Kopyalama:  Yalnızca izole tarayıcı içinde
  Yapıştırma: Yalnızca izole tarayıcı içinde
  İndirme:    Uzak tarayıcıda görüntüle
  Yükleme:    Yasakla
  Yazdırma:   Yasakla

4. Clientless ile iç servise erişim

https://<takım>.cloudflareaccess.com/browser/http://192.168.2.1:7148

5. SSO çerezleri

“Existing cookies and sessions from non-isolated browsing are not sent to the remote browser. Websites that implement single sign-on using third-party cookies will also need to be isolated. For example, if example.com authenticates using Google Workspace, you will also need to isolate the top level Google Workspace URLs.”

SAML tarafında ise sorun 13 Mayıs 2025’te çözüldü: HTTP-POST binding’leri artık destekleniyor ve “You no longer need to isolate both the Identity Provider (IdP) and Service Provider (SP).”

Demo 1: İzolasyonu kur, kontrolleri kanıtla, ağ arızasını üret

Ön koşullar: Ubuntu masaüstü, Cloudflare One Client kurulu ve Traffic and DNS modunda, Browser Isolation eklentisi olan bir hesap.

Adım 1 — Kök sertifikayı doğrula

İzolasyon TLS denetimi gerektiriyor:

ls -l /var/lib/cloudflare-warp/installed_cert.pem
openssl x509 -in /var/lib/cloudflare-warp/installed_cert.pem -noout -subject -dates
warp-cli status

Terminal — openssl çıktısında Gateway CA subject satırı ve warp-cli status'ta Connected

Adım 2 — İzolasyon kuralını yaz

Panel: Zero Trust → Traffic policies → Firewall policies → HTTP → Add a policy

Configure policy settings altında: Kopyalama Yasakla, İndirme Yasakla, Yazdırma Yasakla.

Panel — kural formu ve Configure policy settings bölümü açık; kopyalama, indirme ve yazdırma seçenekleri görünür durumda

Adım 3 — İzolasyonun çalıştığını kanıtla

sleep 60
curl -sI https://example.com | grep -iE '^HTTP|cf-ray'

Sonra tarayıcıdan https://example.com aç. Sayfa normal görünüyor ama sağ tıkladığında izolasyon menüsü çıkıyor.

Tarayıcı — sayfa normal render edilmiş, sağ tık menüsünde 'Show isolation toolbar', 'Accessibility' ve 'Disable Canvas Remoting' gibi seçenekler görünüyor

Adım 4 — Kopyalama kısıtını sına

İzole sayfada bir metin seç, Ctrl+C yap, sonra yerel bir metin editörüne yapıştırmayı dene.

Tarayıcı — kopyalama denemesinde çıkan engelleme bildirimi; yanında yerel editöre yapıştırmanın boş kalması

Adım 5 — İndirme kısıtını sına

İzole sayfadan bir dosya indirmeyi dene. Dosya uzak tarayıcıya iniyor ama yerel makineye geçmiyor.

İki bölmeli görüntü — solda tarayıcıda uzak indirme çubuğu, sağda yerel ~/Downloads klasörünün boş olduğunu gösteren ls çıktısı

Adım 6 — Kullanıcı eylemlerinin nerede göründüğünü gör

Panel: Zero Trust → Insights → Logs → HTTP. İzole isteği bul.

Sonra kopyalama ve indirme denemelerini ara — panelde yoklar. Bu olaylar yalnızca biso_user_actions Logpush veri kümesinde.

Panel — HTTP log satırında Isolate aksiyonu; kopyalama ve indirme olaylarının listede olmadığı görünsün

Adım 7 — Gerçek arıza: WebRTC’yi kes

sudo iptables -A OUTPUT -p udp -d 162.159.201.0/24 --dport 10000:59999 -j DROP
sudo iptables -A OUTPUT -p udp -d 172.64.73.0/24   --dport 10000:59999 -j DROP
sudo iptables -L OUTPUT -n --line-numbers | head

Tarayıcıyı kapatıp aç, izole sayfayı tekrar dene. Yüklenmiyor.

İki bölmeli görüntü — solda iptables kuralları, sağda tarayıcıda boş veya hata veren izolasyon ekranı

Adım 8 — Düzelt ve iki oturum sınırını gör

sudo iptables -F OUTPUT

Sonra üç ayrı tarayıcıdan (Chrome, Firefox, Chromium) aynı izole siteyi açmayı dene.

Tarayıcı — 'Maximum Sessions Reached' uyarısı; mümkünse diğer iki tarayıcının açık olduğu da kadraja girsin

Demo 2: Clientless izolasyon ve WebAuthn’un kırılması

Bu demo iki şeyi gösteriyor: yönetilmeyen bir cihazdan iç servise erişim, ve önek URL’in donanım anahtarlarını neden bozduğu.

Adım 1 — İç servisi tünele bağla

cd ~ && python3 -m http.server 7148 --directory /var/www/ic-panel &
cloudflared tunnel route ip add 192.168.2.0/24 ic-tunel

Adım 2 — Clientless izolasyonu aç

Panel: Zero Trust → Browser isolation → Browser isolation settings → Allow users to open a remote browser without the device client açık.

Panel — Browser isolation settings ekranı, istemcisiz uzak tarayıcı seçeneği açık durumda

Adım 3 — Yönetilmeyen bir cihazdan eriş

Cloudflare One Client kurulu olmayan bir makinede tarayıcıdan:

https://<takım>.cloudflareaccess.com/browser/http://192.168.2.1:7148

Tarayıcı — adres çubuğunda cloudflareaccess.com/browser/ önekli URL, sayfada iç servisin içeriği; cihazda WARP kurulu olmadığı da gösterilebilir

Adım 4 — Açık kapıyı gör

Aynı adresi başka bir iç IP ile dene:

https://<takım>.cloudflareaccess.com/browser/http://192.168.2.50

Uzak tarayıcıya erişimi olan herkes tünele bağlı tüm uygulamalara ulaşabiliyor.

Tarayıcı — farklı bir iç IP'ye önekli URL ile erişim; yetkilendirme sorulmadan içeriğin geldiği görünsün

Adım 5 — Kapıyı kapat

http.request.uri.host in {"192.168.2.50" "192.168.2.51"}   → Block

İki bölmeli görüntü — solda panelde Block kuralı, sağda aynı önekli URL'in artık blok sayfası döndürmesi

Adım 6 — WebAuthn’u kır

WebAuthn veya YubiKey ile giriş yapan bir siteyi önce in-line izolasyonla, sonra clientless önek URL ile aç.

# In-line (Isolate kuralıyla) — donanım anahtari calisir
https://webauthn.io

# Clientless önek — donanım anahtari CALISMAZ
https://<takım>.cloudflareaccess.com/browser/https://webauthn.io

İki tarayıcı penceresi yan yana — solda normal alan adında WebAuthn istemi açılıyor, sağda önekli URL'de hata veriyor veya hiç açılmıyor

Adım 7 — Ekran okuyucu ve Türkçe klavyeyi sına

İzole sayfada CTRL + ALT + Z ile ekran okuyucuyu aç. Sonra Türkçe karakterler yaz: ığüşöçİĞÜŞÖÇ.

Tarayıcı — izole bir sayfadaki metin alanında ığüşöçİĞÜŞÖÇ karakterlerinin doğru göründüğü

Ölçüm tablosu

Fiyatlandırma

“Remote browser isolation is available as an add-on to Zero Trust Pay-as-you-go and Enterprise plans.”

Koltuk başına eklenti fiyatı yayımlanmıyor. Hiçbir resmî sayfada rakam yok; /plans/zero-trust/ adresi 404 dönüyor ve canlı fiyat sayfası ile ürün sayfasında fiyat geçmiyor.

Lisanslama ve hukuki çerçeve

Tescilli bir hizmettir ve Cloudflare Hizmet Şartlarına tabidir.

Trafik şifresi çözülüyor — bu bir güvenlik ürününün doğası ve Cloudflare açıkça yazıyor:

“Cloudflare Browser Isolation is a security product. In order to serve transparent isolated browsing and block web based threats our network decrypts Internet traffic using the Cloudflare root CA. Traffic logs are retained as per the Zero Trust documentation.”

Oturum kapanınca siliniyor: “When the user closes the isolated browser, their session is automatically deleted.” İndirilen dosyalar da bellekte tutuluyor ve oturum sonunda yok ediliyor.

İyi haber, loglar tarafında: Browser Isolation User Actions Logpush veri kümesi Customer Metadata Boundary ile hem US hem EU bölgesinde çalışıyor — CASB Findings ve DLP Forensic Copies veri kümelerinin aksine.

Türkçe desteği. İzole tarayıcı “supports keyboard inputs in all languages” ve diyakritik örneği olarak ç veriliyor. Yerleşik bir ekran okuyucu da var (CTRL + ALT + Z). Türkçe adıyla geçmiyor ama teknik engel belgelenmemiş.

Sık yapılan hatalar

WebRTC UDP aralığını açmamak

Kurumsal ağlarda en sık görülen arıza. WebRTC proxy’den geçmiyor; 10000–59999 UDP aralığına doğrudan bağlantı şart. Brave kullanıcılarında ayrıca Disable Non-Proxied UDP ayarı sorun çıkarıyor.

İndirme yasağının dosyayı hiç indirmediğini sanmak

Dosya uzak tarayıcıya iniyor. Oraya inmesini de engellemek istiyorsan Download Mime Type kuralı gerekiyor.

SSO çerezlerinin taşındığını varsaymak

“Existing cookies and sessions from non-isolated browsing are not sent to the remote browser.” Üçüncü taraf çerezle SSO yapan siteleri de izole etmen gerekiyor.

Clientless izolasyonu açıp tüneli kapatmamak

Uzak tarayıcıya erişimi olan herkes tünelindeki tüm uygulamalara ulaşabiliyor.

Destination IP tabanlı kuralların izole trafikte çalışacağını sanmak

Üç seçici izolasyonu baypas ediyor ve loglarda bile görünmüyor.

Kullanıcı eylemlerini panelde aramak

Kopyalama, yapıştırma, indirme ve yazdırma olayları yalnızca Logpush’ta.

Clientless modda donanım anahtarı beklemek

Önek URL alan adını değiştiriyor; WebAuthn ve YubiKey kırılıyor. In-line modda çalışıyor.

443 dışı portta özel uygulama izole etmeye çalışmak

“Trying to access self-hosted applications on non-443 ports will result in a Gateway block page.” Onun yerine private network uygulaması yapılandır.

Sanal makinede test etmek

“Browser Isolation is not supported in virtualized environments (VMs).” WebGL render hatası da çoğunlukla buradan geliyor.

İkiden fazla tarayıcı açmak

Cihaz başına iki eşzamanlı oturum. Üçüncüsü “Maximum Sessions Reached” veriyor.