Аналог Cloudflare в России для защиты от ботов: что BotBan заменяет, а что нет

Нам регулярно пишут с одним и тем же вопросом, только формулировки разные: «вы аналог Cloudflare?», «можно ли уйти с Cloudflare на вас?», «что делать, если Cloudflare у клиентов из России тормозит». Короткий ответ: нет, мы не аналог. Длинный ответ полезнее, потому что Cloudflare — это не одна услуга, а пять, и заменять их нужно по отдельности.

Почему вообще встал вопрос

Cloudflare устроен как прокси: вы переводите DNS домена на его серверы, и весь трафик сначала проходит через них, а потом доходит до вашего хостинга. В этом его сила и его же проблема для российского сайта.

Осенью 2024 года часть сайтов за Cloudflare стала открываться у российских пользователей с ошибкой или через раз. Причина была в технологии шифрования TLS ECH, которую Cloudflare включил по умолчанию, а на территории России её ограничили. Cloudflare тогда посоветовал отключить ECH в настройках, и большинству это помогло. Но осадок остался: доступность вашего сайта оказалась зависима от решения, которое принимают не вы и не ваш хостинг.

Вторая причина прозаичнее. Трафик до вашего сервера идёт через чужие дата-центры за рубежом. Для магазина с формой заказа это вопрос, на который юристу придётся отвечать.

Пять продуктов под одним именем

CDN. Картинки, стили и скрипты раздаются с ближайшего к посетителю узла. BotBan этого не делает вовсе: мы не прокси, через нас трафик не проходит. Если вам нужен именно CDN, его дают российские провайдеры и некоторые хостинги, и это отдельный выбор, не связанный с ботами.

Защита от сетевого DDoS. Когда канал сервера забивают пакетами так, что до сайта ничего не доходит. Это тоже решается только там, где трафик входит в сеть: у провайдера, у хостинга, в CDN. На сервере с этим сделать ничего нельзя, и мы об этом прямо пишем. Если хостинг обещает «защиту от DDoS», уточните, какую: сетевую (L3–L4) или фильтрацию HTTP-запросов. Это разные вещи.

Фильтрация ботов. Вот здесь мы и работаем. Cloudflare смотрит на запрос в своём облаке, BotBan — на вашем сервере, до того, как сайт начал собирать страницу. Модуль видит то же самое: адрес, заголовки, частоту, поведение браузера. Решение принимается за миллисекунды и записывается в журнал с объяснением, по каким признакам.

На практике объём, который приходится фильтровать, у наших клиентов такой: интернет-магазин напольных покрытий получал до 1,4 млн запросов в сутки из зарубежного роя, за 24 дня защита остановила 2,85 млн из них. Сайт стоматологической клиники до подключения хостинг дважды отключал за нагрузку; за восемь дней через защиту прошло 1,31 млн запросов, 733 тысячи получили страницу проверки, 193 тысячи были заблокированы. Это HTTP-флуд, и он останавливается на сервере.

Капча и проверка браузера. У Cloudflare это Turnstile и знакомая всем страница «Checking your browser». У нас страница проверки тоже есть, но показывается она редко и только тем, кто набрал балл: обычный человек видит её примерно в одном случае из тысячи переходов, а подтверждённые роботы Яндекса и Google не видят никогда. Проверка без заданий: браузер считает небольшую задачу сам, человек ничего не вводит.

Правила файрвола, редиректы, кэш страниц. Этим Cloudflare богат, и этого у нас нет в том же виде. Правила блокировки по странам и адресам есть, но это не язык выражений, а настройки защиты. Кэш страниц — дело хостинга и движка сайта.

Чем отличается сама установка

Cloudflare требует перевести DNS. С этого момента сайт физически зависит от его работы: если прокси недоступен, сайт недоступен тоже.

BotBan ставится как файл на сервер или как скрипт на страницу. DNS не трогается, трафик идёт как шёл. Если наш сервис недоступен, модуль пропускает всех: сайт работает без защиты, но работает. Мы считаем это главным свойством и построили на нём всё остальное: любая ошибка означает «пропустить», а не «заблокировать».

Цена этого подхода тоже есть. Запрос бота всё-таки доходит до вашего сервера, и сервер тратит на него ресурсы — правда, очень небольшие. На одном из сайтов мы измеряли: пропущенный запрос стоил в среднем 0,26 секунды процессорного времени, заблокированный — 0,012. Разница в двадцать раз, но не в бесконечность, как у прокси, который отсекает запрос до сервера.

Как переехать, если решили

Переезжать стоит не с Cloudflare «вообще», а с конкретных его функций.

1. Посмотрите, что из пяти продуктов вы реально используете. У многих сайтов включён только прокси ради «защиты», а CDN не настроен и кэш выключен.
2. Если нужен CDN, выберите российский и настройте его отдельно. Если не нужен, просто верните DNS на хостинг.
3. Поставьте модуль BotBan и первую неделю ничего не блокируйте: режим наблюдения покажет, сколько ботов приходит на самом деле и откуда. У спокойного магазина это было 2,4 % запросов, у магазина под роем — больше половины.
4. Спросите хостинг про сетевую защиту. Если её нет, а сайт заметный, это аргумент сменить тариф или хостинг, а не оставлять прокси.

Коротко

Cloudflare заменяется по частям. Фильтрацию ботов, проверку браузера и защиту от HTTP-флуда BotBan закрывает на сервере, без переноса DNS и без зависимости от чужой доступности. CDN и сетевой DDoS не закрывает и не обещает: это задачи хостинга и провайдера. Если вам продают «полный аналог Cloudflare» на одном сервере, стоит спросить, как именно он отбивает атаку на канал, не имея своей сети.