Модуль 1.4.6: проверка браузера стала задачей, а пропуск больше не выключает защиту

Модуль на сайтах обновился до версии 1.4.6 сам, делать ничего не нужно. В нём три изменения, и все — про страницу «Проверяем ваш браузер».

Пропуск выдаётся за решённую задачу

Раньше страница проверки сама ставила браузеру пропуск: достаточно было исполнить её скрипт. Теперь страница даёт задачу — подобрать число, с которым SHA-256 начинается с 14 нулевых бит. В среднем это 16 тысяч попыток: сотые доли секунды на компьютере, до секунды на слабом телефоне. Решение проверяет сам модуль, без обращения к нашему серверу, и в ответ ставит пропуск. Скрипту страницы пропуск больше не виден.

Для человека ничего не изменилось: страница так же открывается сама. Программе, которая не исполняет скрипты, задачу теперь придётся решать — заново для каждого адреса и каждой строки браузера.

Пропуск не выключает защиту

До этой версии посетитель с пропуском до конца суток вообще не доходил до движка: модуль узнавал его по cookie и ни о чём нас не спрашивал. Мы не видели ни частоты его запросов, ни попыток найти файлы с паролями, а чёрный список владельца на него не действовал.

Теперь модуль спрашивает решение и для него. Пропуск снимает повторную проверку, но сканер, поиск чужих секретов, автоматизированный браузер и адрес из чёрного списка блокируются и с пропуском. Заодно такие визиты появились в журнале: посетитель, прошедший проверку, больше не пропадает из статистики до конца дня.

Честно о пределах: браузер-автомат, который исполняет скрипты, задачу решит. Против него работают остальные признаки — и теперь пропуск их не отключает.

Проверять браузер у всех новых посетителей

В настройках защиты, в блоке «Когда вмешиваться», появился переключатель. Когда он включён, каждый новый посетитель при первом переходе на сайт секунду видит страницу проверки — независимо от балла. Кто не исполняет JavaScript или не принимает cookie, на сайт не попадёт.

Это для сайтов, где много программ без браузера, которым не хватает улик до обычной проверки: ИИ-краулеров, SEO-сервисов, парсеров с аккуратными заголовками. Подтверждённые поисковые роботы, белые списки, отправка форм и фоновые запросы настройка не затрагивает — вебхуки оплаты и обмен с 1С работают как раньше. По умолчанию переключатель выключен: это секунда ожидания для каждого нового человека, в том числе пришедшего с рекламы.

Перед включением добавьте в белый список сервисы без браузера, которым нужны страницы сайта: выгрузки для маркетплейсов, внешний мониторинг. Подробнее — в статье «Настройки защиты».