Пять правок движка по итогам разбора: меньше поводов проверять живых людей

Раз в несколько дней мы перечитываем журнал всех подключённых сайтов с одним вопросом: кого из остановленных движок мог принять за бота зря. За сутки 1 октября людей с признаками живого браузера среди остановленных оказалось от нуля до шести на сайт, но даже эти единицы разобрали до причины. Вот что изменилось.

Кавычки в Client Hints. Chrome 146–153 и Chromium GOST за некоторыми прокси и антивирусами доставляют заголовок Sec-CH-UA-Platform с экранированными кавычками: \"Windows\" вместо "Windows". Движок видел в этом несовпадение платформы и отправлял на проверку — 23 визита за сутки, почти все с признаками человека. Теперь кавычки в любом виде различием не считаются.

Чёрный список по стране больше не портит репутацию адреса. Блокировки копятся в общую память нарушителей: адрес, который за шесть часов получил пять блоков, на всех сайтах сервиса получает тяжёлый довод против себя. Блок по стране из чёрного списка владельца туда больше не идёт: это решение владельца о стране, а не улика против конкретного человека. Блок по адресу из чёрного списка остаётся уликой — владелец назвал именно этот адрес.

Одной частотой блок не набирается. Больше 120 запросов в минуту и больше 2 000 в час с одного адреса раньше складывались в блок. Теперь частота за минуту и за час — одна улика: не больше 45 баллов, то есть проверка, и та только на переходе на страницу. За одним адресом офиса, вуза или оператора сидят десятки людей, и блок по частоте закрыл бы сайт им всем.

«Перебор паролей» — только отправки формы. Признак считал любые обращения к адресам входа в админку, в том числе обычные переходы владельца по /wp-admin/ и вызовы admin-ajax.php, которые страница WordPress делает у каждого посетителя. Теперь считаются только отправки формы входа (POST), а к типовым адресам добавлен /xmlrpc.php — самый частый вход для перебора в WordPress.

Пропуск после кнопки «Я человек» всегда короткий. Такой пропуск действует десять минут и выдаётся не больше трёх раз в сутки на адрес. Какой была задача, теперь помнит сервер с момента выдачи, а не скрипт на странице.

Полное описание правил — в справочнике администратора, он обновлён вместе с кодом. Если после этих правок что-то из ваших сервисов стало получать проверку, напишите в поддержку: разберём по журналу.