Сайты: добавление, ключи и режим защиты

Список сайтов разбит на группы по тому, что защита делает прямо сейчас: «Защита включена» — боты получают проверку или блокировку; «Наблюдение» — считаем и показываем, но пропускаем всех; в конце — сайты, которые ждут подтверждения домена, стоят на паузе или у которых остановлен мониторинг. В самом низу — «Открыты вам для просмотра»: сайты других аккаунтов, которыми с вами поделились (см. «Права и доступы» ниже). Пустые группы не показываются.

В карточке сайта видно, когда он добавлен, когда на нём включили защиту и, если сейчас он в наблюдении, когда её отключили — вами или автооткатом. Наведите на дату, чтобы увидеть точное время.

Добавление сайта

Кнопка «Добавить сайт» в разделе «Сайты». Нужен только адрес сайта: можно вставить ссылку целиком, https://, www и путь мы уберём сами. Кириллические домены тоже подходят: пример.рф сохранится в правильном виде. Название сайта в кабинете — сам домен, поддомены (shop.example.ru) защищаются вместе с ним.

Способ подключения — PHP-модуль, JS-скрипт или оба — выбирается позже, на странице сайта в блоке «Подключение», когда дойдёт до установки. По умолчанию — PHP-модуль. От выбора зависит, какой код покажет кабинет и в каком режиме будет работать скрипт; ключи при смене не меняются.

Количество сайтов ограничено тарифом; при достижении лимита кнопка подскажет, куда двигаться.

Не хочется разбираться с файлами самому — подключим и настроим защиту бесплатно. Кнопка «Оставить заявку на подключение» есть при добавлении сайта, на странице сайта до подключения и в разделе «Сайты», пока он пуст. Заявка — три коротких вопроса: адрес сайта (подставится сам, если сайт уже добавлен), на чём он сделан и что нельзя трогать. Доступ к файлам сайта или панели хостинга указывается в отдельном поле «Доступы к сайту»: он хранится в зашифрованном виде, виден только специалистам поддержки, не попадает в письма и удаляется, когда заявка закрыта, и в любом случае через 14 дней. Удалить его раньше можно кнопкой на странице обращения. Заявка выполняется обычно в течение нескольких часов в зависимости от загрузки поддержки. Доступы вы передаёте на свой риск; лучше создать отдельный доступ на время подключения и потом удалить его или сменить пароль.

Секретный ключ

Ключи нужны только для подключения, поэтому они появляются после подтверждения домена: при первом открытии страницы подтверждённого сайта кабинет выпускает пару ключей и один раз показывает секретный ключ — плашкой над кодом подключения, где он уже подставлен. Сохраните его: в базе хранится только хэш, и показать ключ повторно мы не можем. Не успели скопировать или обновили страницу — нажмите «Выпустить новый» в блоке «Ключи доступа» на странице сайта: новый секрет снова покажется один раз. Старый ключ продолжит работать ещё 24 часа, чтобы вы успели обновить сниппет без перерыва в защите.

Публичный ключ показывается всегда, секретным он не является.

Подключение

На странице сайта — готовый сниппет для вашего способа подключения: строка BotBan::protect(...) для PHP и тег <script> для JS. Скопируйте его кнопкой рядом с кодом. Подробные инструкции для разных систем — в разделе «Подключение» этой документации.

Пока домен не подтверждён, на странице сайта виден только блок «Подтвердите, что сайт ваш» с тремя вкладками: файл на сайте, мета-тег и TXT-запись в DNS. Ключей на этом шаге нет — они не нужны. После подтверждения появляются блоки «Подключение» с кодом модуля и «Ключи доступа»; для сайтов на WordPress там же ссылка на плагин — он ставится вместо шагов с кодом, ключи вводятся в его настройках.

Под сниппетом PHP — кнопка «Куда добавить этот код?». Она раскрывает список систем (WordPress, Битрикс, OpenCart, Joomla, Drupal, MODX, Laravel, Symfony, Yii2, PrestaShop, Magento, свой сайт или подключение через auto_prepend_file); по клику справа откроется панель с файлом, местом в нём и примером уже с вашими ключами.

Как только модуль сделал первый запрос, сайт получает отметку «модуль отвечает» и время последнего визита. Пока запроса не было, отметка нейтральная — «ещё не выходил на связь»; через полчаса после добавления она становится предупреждением «не отвечает: не установлен или установлен неверно». Если модуль работал, а потом замолчал больше чем на час, хотя мониторинг доступности видит сайт открытым, в списке сайтов и на странице подключения появится красная строка «не отвечает с…, хотя сайт открывается»: так бывает, когда обновление CMS перезаписало файл или вызов убрали из кода. Сайт в это время работает без защиты — модуль пропускает всех. В шапке страницы сайта — кнопки «Журнал визитов» и «Адреса ботов»: обе открывают данные именно этого сайта. Это же считается подтверждением владения доменом — отдельно ничего доказывать не нужно.

Режим защиты

Кнопка «Защита» в шапке страницы подключения появляется после подтверждения домена и открывает страницу защиты: режим сверху, ниже — настройки. У подтверждённого сайта карточка в разделе «Сайты» ведёт сразу на эту страницу; к коду подключения и ключам с неё ведёт кнопка «Интеграция» в шапке. Два варианта режима:

• Только наблюдение — считаем и показываем, кого заблокировали бы, но пропускаем всех. В этом режиме сайт стартует и остаётся, пока вы сами не включите блокировку.
• Блокировать — применяем вердикт по настройкам.

Когда переключаете с «Блокировать» на «Только наблюдение», кабинет спросит, на сколько: на 1, 3 или 12 часов, на сутки, до нужного времени (не дальше двух недель) или пока вы не включите блокировку сами. Со сроком блокировка вернётся сама — в течение минуты после него, — а мы пришлём письмо и сообщение в Telegram (категория «Защита сайтов»). Пока срок идёт, в карточке режима видно, когда блокировка включится, и есть кнопки «Включить сейчас», «Изменить срок» и «Не включать самой». Если к этому времени тариф стал бесплатным, блокировка не включится, и письмо объяснит почему. Удобно, когда выключаете защиту на время работ на сайте и боитесь забыть включить её обратно.

Включить блокировку можно сразу после подтверждения владения, но только на платном тарифе: бесплатный наблюдает. Обязательного срока ожидания нет. Прежде чем включать, посмотрите журнал визитов: если среди тех, кого заблокировали бы, есть ваши посетители или сервисы, добавьте их в белые списки. Если защита отключилась сама — сработал автооткат — вы увидите причину на дашборде и в уведомлении.

Ниже режима — переключатель «Автоматически / Вручную». «Автоматически» держит рекомендуемые значения движка и прячет подробные карточки; «Вручную» раскрывает их: пороги баллов, что делать с ботом, кого не трогать никогда (поисковые роботы, мониторинги, краулеры соцсетей, свои адреса и пути), адреса и подсети под запретом, какие группы признаков учитывать, автооткат. Подробно — в статье «Настройки защиты».

Права и доступы

Последняя карточка на странице защиты — «Права и доступы». В ней сайт можно открыть другому аккаунту BotBan или передать ему целиком. Получатель указывается почтой, с которой он зарегистрирован; почта в его аккаунте должна быть подтверждена. Получатель узнаёт о доступе письмом.

• Просмотр. Сайт появится у получателя в разделе «Сайты», в группе «Открыты вам для просмотра», с пометкой «Только просмотр» и почтой владельца; в переключателе сайтов — с припиской «только просмотр». Получателю видны дашборд, журнал визитов, раздел «Реклама» и адреса ботов этого сайта вместе с выгрузками. Настройки защиты, ключи, код подключения, белый список, отметка «Это был не бот» и сами права остаются только у владельца, как и уведомления о сайте: о простое, автооткате и атаках. Причины, по которым сайт сейчас не блокирует, вы увидите как есть — например, «у владельца сайта бесплатный тариф»: оплата вашего собственного тарифа на чужом сайте ничего не меняет. Открытый сайт не занимает место в тарифе получателя: режим защиты и лимиты определяет тариф владельца. В публичном API получатель видит только свои сайты. Открыть сайт можно не больше чем 20 аккаунтам.
• Администратор — передать сайт. Сайт переходит к получателю целиком — аккаунт получателя становится владельцем, а у вас сайт пропадает из кабинета. Перед передачей кабинет спрашивает подтверждение и ещё раз пароль. Передать можно только сайт с подтверждённым доменом. Ключи прежнего владельца отзываются в момент передачи: они остаются в коде его сайта, и иначе он мог бы и дальше слать запросы в счёт чужого тарифа. Новый владелец открывает страницу сайта, получает новую пару ключей и вставляет её в вызов модуля; до этого модуль пропускает всех без проверки. Настройки, журнал и статистика переходят вместе с сайтом. Открытые вами просмотры снимаются: новый владелец сам решит, кому открыть сайт. Сайт должен поместиться в тариф получателя по числу сайтов — так же, как если бы получатель добавлял его сам. Визиты сайта до передачи новому владельцу в лимит не засчитываются: его расход по этому сайту начинается с момента передачи. Дальше всё решает тариф получателя, и сразу: на бесплатном блокировки нет, а наблюдение идёт только неделю после подтверждения домена — если она прошла, мониторинг сайта остановится в момент передачи, и без оплаты история запросов будет удалена. Вернуть сайт может только новый владелец — передав его обратно.

Снять просмотр можно кнопкой «Снять доступ» в списке карточки. Получатель может и сам отказаться от доступа: в разделе «Сайты» при наведении на карточку открытого ему сайта снизу появится кнопка «Отказаться от доступа».

Удаление

Кнопка внизу страницы сайта. Удаляются настройки, ключи и журнал; модуль на вашем сервере перестанет получать ответы и будет пропускать всех — его можно убрать в любой момент.