Защита от ботов

Модуль Защита от ботов проверяет каждый запрос до того, как сайт начнёт собирать страницу. Поэтому даже во время атаки хостинг почти не нагружается. Раздел — Защита от ботов в меню админки.

Первые три дня — наблюдение

После установки модуль три дня только наблюдает: никого не блокирует, но записывает в журнал, кого бы заблокировал. На вкладке Обзор видно «Были бы заблокированы» и «Получили бы проверку». Через три дня защита включается сама, а в Telegram и на почту приходит итог наблюдения.

Включить защиту раньше можно кнопкой Включить защиту сейчас на вкладке Обзор.

Что делает модуль

• Лимиты. Если с одного адреса пришло слишком много страниц, отправок форм или попыток входа, адрес попадает в бан: на 10 минут, потом на час, потом на сутки. Профили «Мягкий», «Обычный» и «Строгий» задают лимиты сразу, «Свой» — вручную.
• Скрипты. Запросы от программ (python-requests, curl, Scrapy, HeadlessChrome и подобных) и запросы без имени браузера блокируются.
• Поисковики. Яндекс, Google, Bing, Mail.ru и другие поисковики проверяются по DNS и проходят без лимитов и проверки. Бот, который только называет себя Яндексом или Google, блокируется как подделка.
• Превью ссылок. Telegram, ВКонтакте, WhatsApp и другие мессенджеры, которые показывают превью ссылки, проходят без проверки.

Проверка «вы человек»

Это страница в цветах сайта: браузер за 1–2 секунды решает небольшую задачу, и сайт открывается сам. Капчи, картинок и галочек нет. Прошедшего проверку модуль помнит 7 дней (срок меняется в настройках).

Кому показывать проверку:

• Никому;
• Подозрительным — тем, кто подряд обходит карточки товаров, ходит по сайту машинным, слишком ровным темпом, заходит с серверов хостингов или из выбранных стран;
• Всем новым посетителям.

Режим «Под атакой»

В режиме «Под атакой» проверку проходят все новые посетители, кроме поисковиков и администраторов. Режим включается кнопкой на вкладке Обзор или сам, когда запросов в минуту становится больше порога из настроек. О начале и конце атаки приходит сообщение.

Как выбрать порог: посмотрите Пик, запросов в минуту на вкладке Обзор в обычный день и поставьте в несколько раз больше.

Защита от парсинга

• Ловушка. На страницы сайта добавляется невидимая ссылка. Человек её не видит, поисковикам она закрыта в robots.txt, а парсер, который собирает все ссылки, переходит по ней и получает бан на сутки.
• Обход каталога. Кто открывает слишком много карточек товаров за 10 минут, получает проверку, а при двойном превышении — бан.
• Хостинги и облака. Запросы с серверов (AWS, Google Cloud, Hetzner, Selectel, Timeweb и другие) можно пускать, проверять или блокировать. Люди обычно заходят с домашнего или мобильного интернета.
• Страны. Выбранные страны — или все, кроме выбранных — можно проверять или блокировать.

Для стран и хостингов модуль сам раз в месяц скачивает базы адресов (IP Geolocation by DB-IP).

Формы и коды

• Сообщение со ссылками (по умолчанию от трёх) или со стоп-словом из настроек не отправится.
• Для входа и отправки кодов по СМС и почте отдельный строгий лимит: боты не тратят ваши деньги на СМС.

Журнал и правила

На вкладке Журнал видно, кого и почему заблокировали или проверили. В меню строки есть действия:

• Разрешить адрес;
• Заблокировать адрес;
• Заблокировать сеть — все адреса рядом, /24;
• Снять бан.

Если посетитель пишет, что сайт его не пускает, попросите код со страницы блокировки и найдите его в поиске журнала.

На вкладке Правила — ваши разрешения и блокировки:

• по адресу или сети;
• по имени браузера;
• по странице;
• по номеру сети провайдера (AS).

Правило может действовать заданное число дней.

Что модуль не трогает

Модуль никогда не проверяет:

• админку и вошедших администраторов;
• оплаты, обмен с 1С, вебхуки маркетплейсов, CRM и Telegram;
• карту сайта, фиды и robots.txt.

Свои интеграции добавьте в Настройки → Исключения или правилом «Разрешить» для страницы.

Если сайт за CDN

За Cloudflare модуль сам понимает настоящий адрес посетителя. Другой CDN или прокси тоже распознаётся: в журнале и на вкладке Обзор появится предупреждение «Прокси или CDN». Тогда добавьте адрес CDN на вкладке Правила как Мой прокси / CDN или укажите trusted_proxies в config.php.

Если защита мешает

Добавьте в config.php строку:

'antibot' => ['disabled' => true],

Защита выключится сразу. Её можно выключить и в настройках модуля.

Пробная версия

В пробной версии защита только наблюдает. Работают журнал, обзор, правила и настройки. Блокировки, проверка «вы человек» и режим «Под атакой» доступны в полной версии.