Режим «Под атакой» теперь включается сам — только для стран, откуда пошёл всплеск

За последние две недели на подключённые сайты трижды шли волны ботов. Каждый раз режим «Под атакой» помогал: 29 сентября он вдвое сократил число пропущенных запросов на самом нагруженном сайте. Но включали его вручную, и между началом волны и включением проходили часы.

Сервер сайта нагружают не заблокированные запросы, а пропущенные. Блокировка стоит серверу около 15 миллисекунд процессора, потому что модуль отвечает раньше, чем сайт начнёт собирать страницу. Пропущенный запрос стоит столько же, сколько обычная страница, — на одном из сайтов 200–270 миллисекунд. Когда пропущенных вдруг становится в десятки раз больше, хостинг начинает жаловаться на нагрузку.

Что изменилось

Каждую минуту мы сравниваем, сколько запросов дошло до сайта за последние 15 минут, с обычным для него часом — медианой за неделю, — и отдельно для каждой страны. Подтверждённые поисковые роботы, ваши белые списки и задания с сервера самого сайта в этот счёт не входят: обход сайта поисковиком — не атака.

Режим включается не для всех, а для стран, откуда пришёл всплеск:

• Одна страна. Если поток из страны вне вашей аудитории вырос в пять раз против обычного для неё, не меньше чем до 20 запросов в минуту, и запросы идут из двадцати и более разных сетей, режим включается для неё одной. Основная аудитория магазина — Россия, из Польши заходят единицы через VPN и проходят как обычно. Если оттуда вдруг пошли сотни запросов в минуту, проверку получают только новые посетители из Польши.
• Весь сайт. Если до сайта в целом дошло втрое больше обычного (от 4 000 запросов в час и из 50 сетей), в режим попадают все страны, откуда поток вырос так же. Россия и другие страны аудитории — только в этом случае и только если растут сами.

Режим включается на час и продлевается, пока всплеск держится, но не дольше 12 часов подряд. Затяжной рост трафика — это уже не атака, и решать тут вам.

Как это выглядит для посетителей

Новый посетитель из такой страны при переходе на страницу видит проверку браузера. Настоящий браузер проходит её сам за секунду, прошедшего модуль запоминает на сутки. Программа без браузера проверку не проходит. Фоновые запросы корзины и отправка форм у тех, кто уже на сайте, не проверяются.

Что остаётся за вами

О включении и выключении мы пишем сразу: для каких стран, сколько запросов в час и сколько обычно. Режим, включённый вами вручную, автоматика не продлевает и не выключает. Если вы выключили автоматический режим, 6 часов он сам не включится. Перед большой рассылкой или рекламной кампанией за рубежом автоматику можно отключить галочкой «Автоматическое включение режима „Под атакой“» на странице «Защита». Письма и сообщения в Telegram о режиме отключаются в настройках аккаунта: раздел «Уведомления», строка «Режим „Под атакой“».

Первые двое суток после подключения сайта автоматика молчит: ей не с чем сравнивать.

Как мы проверяли

Правило прогнали по почасовой истории всех подключённых сайтов с 9 по 30 сентября. Всплеск по сайту в целом нашёлся трижды: две волны на одном сайте и рой из-за рубежа на другом. Все три — настоящие атаки, на обычном трафике правило не сработало ни разу.

Подробнее — в статье базы знаний «Настройки защиты: пороги, действия, списки», раздел «Под атакой».