Настройки защиты: пороги, действия, списки

Страница «Защита» открывается одноимённой кнопкой на странице подключения после подтверждения домена и по клику на карточку подтверждённого сайта в разделе «Сайты». Кнопка «Интеграция» в её шапке ведёт обратно к коду подключения и ключам. Сверху — режим защиты (наблюдение или блокировка) и переключатель «Автоматически / Вручную»: пока выбрано «Автоматически», работают рекомендуемые значения, а карточки ниже скрыты. Изменения в карточках не применяются, пока вы не нажмёте «Сохранить» в панели внизу; «Отменить» возвращает всё как было.

У заголовка каждого блока — знак вопроса. По клику справа открывается подсказка: что делает каждый параметр, какие значения мы рекомендуем и чем опасны крайности. Опасные значения кабинет дополнительно попросит подтвердить при сохранении.

Когда вмешиваться

Два ползунка — порог проверки и порог блокировки. Балл визита складывается из признаков; самый тяжёлый весит 45. Безопасный минимум для блокировки — 50: при нём нужны хотя бы два независимых довода. Значение ниже кабинет считает опасным и попросит подтвердить.

Блокировать посетителей без JavaScript и cookie. Переключатель в этом же блоке, по умолчанию выключен. Когда он включён, каждый новый посетитель при первом переходе на сайт секунду видит страницу проверки: браузер решает короткую задачу и получает пропуск на сутки (адресам из сетей хостингов — на 30 минут). Кто не исполняет JavaScript или не принимает cookie, на сайт не попадёт — так отсекаются программы без браузера, которым не хватило улик до обычной проверки. Подтверждённые поисковые роботы, белые списки, отправка форм и фоновые запросы настройка не затрагивает: вебхуки оплаты и обмен с 1С работают как раньше. Сервисам без браузера, которым нужны сами страницы, — выгрузкам для маркетплейсов, внешнему мониторингу — заранее добавьте адрес или путь в «Кого не трогать никогда». В режиме наблюдения настройка не действует. Пропуск не отменяет защиту: сканеры и адреса из чёрного списка блокируются и после проверки.

При наплыве запросов

Две страховки на случай, когда сайт заваливают запросами. Обе выключены, пока вы их не включите, и обеим нужен модуль 1.4.10 или новее — он обновляется сам.

Ограничить число запросов с одного адреса. Движок оценивает посетителя, а не считает его запросы. Программа, которая по всем признакам выглядит браузером, получает пропуск — и дальше может запрашивать страницы сотнями в минуту. Лимит это останавливает: адрес, превысивший его, до конца минуты получает короткий ответ 429 вместо страницы, сайт при этом не запускается. Считаются все запросы к сайту, включая те, на которые модуль ответил из своего кэша.

Лимит задаётся в запросах в минуту, от 120 до 6000; по умолчанию 600 — это десять запросов в секунду. Не ограничиваются:

• общие адреса операторов связи и CDN;
• адреса, с которых за час пришло пять и больше разных браузеров, — офис, прокси, сайт за балансировщиком;
• посетители с признаками человека;
• поисковые роботы и ваш белый список;
• отправка форм, корзина, операции в панели управления сайтом — лимит касается только запросов на чтение.

Свой адрес и адреса своих сервисов (обмен с 1С, выгрузки) добавьте в «Кого не трогать никогда». Лимит ниже 300 кабинет считает рискованным: страница с десятками картинок, которые отдаёт PHP, — это десятки запросов. В журнале такой визит помечен «Превышен лимит запросов с адреса».

Аварийная проверка, когда BotBan недоступен. Если наш сервис не отвечает, модуль пропускает всех — сайт от нас не зависит. У правила есть слабое место: поток запросов, который перегружает сервис, сам выключает защиту. С этой настройкой модуль во время сбоя считает запросы. Если их втрое больше обычного пикового часа вашего сайта (и не меньше 600 в минуту), новым посетителям при переходе на страницу показывается проверка браузера. Её решение модуль проверяет сам, без сети. Запросов как обычно — все проходят, как и раньше.

Проверка не касается тех, кого сайт пропускал в последний час-два, форм, фоновых запросов, вебхуков и заданий по расписанию. Касается поисковых роботов, которых в это время не было на сайте: подтвердить их без сервиса модуль не может, они получат ответ «временно недоступно» и вернутся позже. Порог считается из сводки нагрузки, которую присылает модуль: если её сбор выключен, настройка не работает. Когда связь вернётся, в кабинете появится оповещение, сколько раз проверка была показана.

От атаки, которая забивает канал сервера, не защищает ни то, ни другое: её гасит провайдер.

Что делать с ботом

Действие при блокировке: страница блокировки (403 и объяснение), проверка браузера, замедление ответа, редирект на указанный адрес, пустая страница или «ничего не делать» — только считать. Для редиректа понадобится адрес, для замедления — задержка в миллисекундах.

Кого не трогать никогда

Четыре переключателя включены по умолчанию. Поисковые роботы, мониторинги и вебхуки, краулеры соцсетей выключать не стоит: кабинет предупредит о последствиях. Четвёртый — ИИ-краулеры (GPTBot, ClaudeBot, PerplexityBot, Bytespider и другие роботы ИИ-компаний) — единственный, который можно выключить без вреда для людей: сайт просто перестанет попадать в ответы ChatGPT, Perplexity и подобных ассистентов. Кредит доверия любому непроверяемому роботу действует, пока он ведёт себя как робот: тот, кто под именем краулера ищет чужие ключи или меняет имена, разбирается как обычный визит. Под переключателем — блок «robots.txt для ИИ-краулеров»: готовый текст для вашего robots.txt. Если краулеры разрешены, он лишь запрещает обучение на ваших текстах (строка Content-Signal), если закрыты — перечисляет всех известных роботов с Disallow. Закрытый краулер получает от модуля короткий ответ для робота со ссылкой на robots.txt, а не страницу для людей. Ниже — два списка:

• Адреса, которые всегда пропускать — IP или сеть вида 203.0.113.0/24. Сюда же попадают адреса, отмеченные в журнале как «не бот».
• Пути, которые всегда пропускать — например /api/webhook или /api/* со звёздочкой в конце. Сюда же — служебные скрипты самого сайта, которые по расписанию дёргает хостинг (обновление курсов, обмен с 1С): у виртуального хостинга исходящий адрес общий и меняется, а путь постоянен. Помните, что такой путь открыт всем, кто его запросит, поэтому вносите служебные адреса, а не страницы сайта. Пропуск действует только на сам этот запрос: остальные страницы тот же посетитель проходит на общих основаниях.

Кого блокировать всегда

Чёрный список адресов. Он сильнее балла, но не сильнее здравого смысла: подтверждённый поисковый робот из него не блокируется, адрес из операторской сети или CDN получит только проверку, а сеть шире /20 занести нельзя — под ней тысячи живых людей. Список стран (выбираются из справочника по названию или коду) работает по тем же правилам, когда страна адреса известна; роботы из белых списков — мониторинги, соцсети, ИИ-краулеры — и подтверждённые поисковики страной не ограничиваются. Помните, что под правило попадают ваши посетители в поездках и через VPN.

Аудитория сайта

Страны, где живут ваши посетители. Они выбираются из справочника: начните вводить название или код — «Казахстан» или «KZ» — либо откройте список стрелкой в поле, в нём все страны и территории. Кнопка «Добавить Россию и СНГ» заполнит список за вас. Посетителю из другой страны проверка браузера назначается с меньшего балла (по умолчанию 20 вместо 40). Это закрывает самый неудобный вид атаки: ботнет, который с тысяч зарубежных адресов делает по одному запросу с заголовками настоящего браузера. Против такого запроса есть единственный довод — «эту строку браузера сегодня принесли сотни адресов», и его одного для проверки не хватает. Для своей страны это правильно: так же выглядит человек с популярным браузером. Для чужой — уже нет.

Три ограничения, которые в правило зашиты:

• заблокировать по нему нельзя, только проверить — настоящий браузер проходит проверку сам за секунду;
• чистому посетителю из любой страны оно ничего не делает: нужен хотя бы один довод;
• оно действует только на переход на страницу. Фоновые запросы корзины и отправка форм у того, кто уже на сайте, не проверяются, страница, встроенная в чужой сайт через iframe, — тоже. Того, кто уже показал себя человеком, правило не трогает. Исключение — сайт, подключённый одним скриптом без модуля: там проверку проходит каждый новый посетитель, и освобождает от неё решённая задача.

Если сайт работает по http, правилу нужен модуль версии 1.4.3 или новее: только он сообщает нам, что запрос фоновый. Со старым модулем такие запросы правило пропускает — лучше не проверить бота, чем сломать корзину.

Если страна адреса неизвестна, правило молчит. Ваш покупатель в поездке или за VPN будет выглядеть иностранцем и при подозрительных признаках увидит секундную проверку.

Даже если страны не указаны, одна проверка действует для всех сайтов сама, с 29 сентября 2026 года. Её получает посетитель из «роя» — строки браузера, которую за сутки принесли сотни адресов по одному запросу, — если он пришёл с домашнего адреса из страны вне вашей аудитории. Когда список стран пуст, аудиторией считаются Россия и СНГ. Ограничения те же: только проверка, только переход на страницу, того, кто показал себя человеком, она не трогает. В журнале такой визит помечен «Проверка для зарубежного роя». Если у сайта есть покупатели за рубежом, добавьте их страны в список — тогда эта проверка их не коснётся.

Под атакой

Карточка «Под атакой» сверху страницы — временная мера. На 1, 3, 12 или 24 часа проверку браузера получают все новые посетители либо только посетители не из стран аудитории (второй вариант доступен, когда страны указаны). Программа без браузера проверку не проходит вовсе, поэтому волна ботов останавливается сразу, а нагрузка на сервер падает: страница проверки стоит ему в десятки раз дешевле обычной.

Режим выключается сам, когда выйдет срок, — забытый переключатель не будет мешать посетителям неделями. Поисковые роботы, мониторинги, ваши белые списки и запросы с сервера самого сайта под режим не попадают. Прошедшего проверку модуль запоминает на сутки (адреса из сетей хостингов — на 30 минут), скрипт — на час. Браузер, которым управляет программа (безоконный Chrome, Selenium, ChromeDriver), пропуска не получает: страница проверки это замечает.

Режим нельзя включить в трёх случаях, и кабинет объяснит почему: сайт в наблюдении (проверка никому не показывается), проверка в настройках заменена на «ничего не делать», либо выбран вариант «не из стран аудитории», а страны не указаны. Те же ограничения, что у правила аудитории, действуют и здесь: только переход на страницу, без фоновых запросов и форм.

Автоматическое включение

Галочка «Автоматическое включение режима „Под атакой“» в той же карточке включена по умолчанию. Каждую минуту мы сравниваем, сколько запросов дошло до сайта за последние 15 минут, с обычным для него часом — и отдельно для каждой страны. Подтверждённые поисковые роботы и ваши белые списки в этот счёт не входят: обход сайта поисковиком — не атака.

Если поток из какой-то страны вырос во много раз против обычного для неё (не меньше 20 запросов в минуту и из многих разных сетей), режим включается сам — только для этой страны и на час. Пример: основная аудитория — Россия, из Польши заходят единицы через VPN и проходят как обычно; если оттуда вдруг пошли сотни запросов в минуту, проверку получают только новые посетители из Польши. Страны вашей аудитории (из блока «Аудитория сайта», а если он пуст — Россия и СНГ) попадают под режим, только когда резко растут сами и весь сайт под всплеском.

Пока всплеск держится, режим продлевается, но не дольше 12 часов подряд. Когда он прошёл, режим выключается сам. О включении и выключении мы сразу пишем: для каких стран, сколько запросов и сколько обычно. Эти письма и сообщения в Telegram можно отключить в настройках аккаунта, раздел «Уведомления», строка «Режим „Под атакой“».

Ваше решение важнее автоматики. Режим, включённый вами вручную, автоматика не продлевает и не выключает. Выключили автоматический режим — 6 часов он сам не включится. Если впереди большая рассылка или реклама за рубежом, галочку можно снять заранее. Первые двое суток после подключения сайта автоматика молчит: ей ещё не с чем сравнивать.

Дополнительные домены

Если на папку с сайтом смотрят несколько доменов (shop.ru, shop.kz, магазин.рф), перечислите их здесь — это всё тот же сайт с общими настройками, журналом и лимитом. Домен подтверждается сам: файлом из общей папки при добавлении или первым запросом модуля к нему. После этого скрипт защиты работает и на нём, а на дашборде появляется разбивка визитов по доменам. Подробнее — в статье Один сайт на нескольких доменах.

Мониторинг доступности

Переключатель «Проверять, открывается ли сайт»: раз в минуту BotBan открывает главную страницу и сообщает, если сайт не ответил на две проверки подряд. Включён по умолчанию, выключается здесь же, сразу. Рядом видно, когда была последняя проверка и за сколько сайт ответил. Наши проверки защита пропускает сама, в журнал и лимит тарифа они не попадают.

Какие признаки учитывать

Группы признаков можно выключать: сетевые, заголовки, поведение, браузерные, защита форм. Каждая выключенная группа уменьшает и точность, и риск ошибки. Отдельно — «общая репутация»: учитывать ли адреса, замеченные на других сайтах.

Страховка от собственной ошибки

Автооткат: если за окно в N минут доля заблокированных посетителей превысит порог, защита сама вернётся в режим наблюдения и вы получите уведомление. По умолчанию 20 % за 5 минут, при выборке от 50 запросов и не меньше десяти заблокированных адресов из пяти и более разных сетей. Посетители считаются не по запросам и даже не по адресам, а по сетям (блоками по 256 адресов, для IPv6 — по сети абонента): сканер, который делает сотни запросов с одного адреса, или машина, перебирающая адреса одной сети, — это один участник, а не повод выключать защиту. Люди, которых задело неудачное правило, приходят из разных сетей — их страховка видит. Блокировки с жёсткими уликами робота в долю тоже не идут: сеть хостинга, рой одинаковых агентов с сотен адресов без заголовков, которые шлёт любой браузер, библиотека или сканер вместо браузера, ловушка, подделка робота. Таких улик человек не даёт, а ботнет из сотен адресов не должен разоружать сайт. Считаются блокировки по порогу, заголовкам и вашим спискам — те, где ошибка правила возможна. О такой атаке дашборд сообщит отдельно: «Отражена атака». Выключать автооткат не советуем.

Поведение модуля на сайте

Таймаут — сколько модуль ждёт нашего ответа, прежде чем пропустить посетителя; по умолчанию 300 мс. Кэш — сколько секунд модуль помнит решение по адресу и не спрашивает нас снова.

Подтверждение и история

Если среди изменений есть опасные — низкий порог, выключенные роботы или вебхуки, — перед сохранением откроется окно с объяснением, что именно может пойти не так. Каждое сохранение создаёт новую версию; список версий с автором и датой — внизу страницы, любую можно вернуть одной кнопкой. Возврат — тоже новая версия, история не стирается.