Для админок WordPress, Битрикса и личных кабинетов
Защита от перебора паролей
Боты круглосуточно подбирают пароли к админке и ищут на сайте забытые файлы с секретами. BotBan считает частоту попыток, останавливает серию до подбора и сразу отказывает тем, кто ищет секреты.
- 7 дней бесплатно
- Без капчи для людей
- Подключим за вас — бесплатно
30 180 536
запросов проверено
5 310 583
ботов заблокировано
17,6 %
доля заблокированных запросов
- До сборки страницы Решение за миллисекунды, бот не трогает сайт
- Один признак не блокирует Самый тяжёлый весит 45, порог — 70
- Без капчи для людей Человек проходит и ничего не замечает
- Сначала наблюдение Блокировку включаете вы, когда готовы
Простыми словами
Как это работает без технических слов
Пароль к админке подбирают программы: тысячи попыток подряд, днём и ночью. Ваш вход отличается от такого перебора только количеством. BotBan считает попытки и останавливает серию задолго до того, как пароль удастся подобрать.
- Перебор — тысячи попыток угадать пароль
- Серия попыток останавливается автоматически
- Ваш обычный вход работает как раньше
Без защиты
Что происходит без защиты
Перебор паролей отличается от вашего входа в админку только количеством. Поэтому мы никогда не наказываем за сам факт обращения к странице входа — считаем частоту.
Однажды пароль подойдёт
Автоматический перебор идёт круглосуточно и по спискам утёкших паролей. Достаточно одного слабого пароля у одного из редакторов.
Сайт ложится от нагрузки
Проверка пароля — тяжёлая операция по замыслу. Тысяча попыток в минуту кладёт сайт даже без успешного входа.
Сканеры ищут забытые файлы
Вместе с перебором идёт сканирование: .env, .git, резервные копии базы, старые панели. Один забытый файл сводит на нет всю остальную защиту.
Не хотите разбираться? Подключим защиту за вас
Специалист сам поставит модуль на сайт, проверит, что всё открывается как раньше, и настроит защиту. Без программиста и без доплат.
Зарегистрироваться и оставить заявку- 01Регистрация Почта и пароль — меньше минуты, без привязки карты.
- 02Заявка на подключение Адрес сайта и доступ к хостингу — в защищённом поле.
- 03Защита работает Обычно в течение нескольких часов. Журнал ботов — в кабинете.
Как это работает
-
1
Обращение к админке само по себе не наказывается
Владелец сайта открывает страницу входа несколько раз в день — штрафовать за это значит однажды закрыть вам доступ в собственную админку. Мы считаем частоту в скользящем окне.
-
2
Обращения к секретам считаются уликой сразу
За запросом к /.env или /.git не может стоять живой посетитель. Здесь мы не ждём накопления частоты.
-
3
Свой адрес в белый список
Адрес офиса добавляется в белый список одной строкой и проходит всегда, что бы движок ни думал о частоте ваших входов.
На что смотрит защита Для технического специалиста
При стандартных настройках один признак не блокирует: самый тяжёлый весит 45 из 100, а порог блокировки — 70.
- десятки обращений к странице входа за десять минут с одного адреса
- запросы к /.env, /.git, /backup.sql и другим путям с секретами
- перебор адресов панелей: wp-login, bitrix/admin, phpmyadmin
- отсутствие Referer и полного набора заголовков браузера
- адрес из хостинга или известного пула сканеров
Что вы увидите в кабинете
Не «заблокировано 403», а объяснение по каждому визиту: балл, сработавшие признаки и что защита сделала. Любое решение можно оспорить одной кнопкой.
- Попытки входа и сканирование по адресам и часам
- Куда обращались боты: /wp-login.php, /.env и другие
- Список для fail2ban и файрвола
Без защиты и с BotBan
Без защиты
- Перебор паролей идёт сутками с сотен адресов
- Сканеры ищут забытые файлы и резервные копии
- Сайт ложится под нагрузкой от попыток входа
С BotBan
- Серия попыток входа останавливается, не дойдя до подбора
- Запросы к секретам получают отказ сразу
- Адреса уходят в fail2ban и файрвол
Закройте админку от перебора паролей
7 дней наблюдения бесплатно и без привязки карты. Пока вы не решите, мы никого не блокируем — только показываем, кто ходит по сайту.
Подключение за два шага
Добавьте сайт в кабинете, поставьте модуль или скрипт — и защита начнёт наблюдать. Блокировку включаете вы, когда убедитесь, что в списке нет ваших посетителей.
Одна строка в начале сайта
PHP-модуль без зависимостей или скрипт в секцию head — есть готовые инструкции под WordPress, Битрикс, Tilda и другие системы.
Показать код для программиста
<?php
if (is_file(__DIR__ . '/botban/botban.php')) {
try {
require_once __DIR__ . '/botban/botban.php';
BotBan::protect('bb_pk_...', 'bb_sk_...');
} catch (\Throwable $e) {
// Сбой модуля — сайт работает без защиты.
}
}Не хотите разбираться — подключим бесплатно за вас.
Наблюдение, затем блокировка
- Первые дни защита только считает и показывает, кого заблокировала бы.
- Вы смотрите журнал: признаки, баллы, страны, адреса — и убеждаетесь, что людей в списке нет.
- Включаете блокировку одной кнопкой. Если правило начнёт задевать живых, защита выключится сама.
BotBan уже проверил 30 180 536 запросов и остановил 5 310 583. Статистика и кейсы
Что говорят владельцы сайтов
Публикуем только проверенные отзывы реальных пользователей.
Частые вопросы
Чем это лучше плагина ограничения попыток входа?
Плагин видит только свою CMS и только страницу входа. Мы видим весь трафик сайта: тот же адрес, который перебирает пароли, обычно до этого сканировал пути и обходил каталог, и к моменту первой попытки входа он уже под подозрением. Плюс решение принимается до загрузки CMS, а значит, тяжёлая часть работы вообще не выполняется.
Не заблокирует ли защита меня самого?
Порог рассчитан на человека: несколько попыток входа подряд — нормально, десятки за десять минут — нет. Плюс адреса мобильных операторов не блокируются жёстко никогда, а свой адрес всегда можно внести в белый список. Если всё же заблокировало — создайте на сервере пустой файл botban.off, защита выключится немедленно.
Защитит ли это от взлома через уязвимость плагина?
Частично. Массовое сканирование уязвимостей мы отсекаем — оно шумное и легко отличимо. Но целевая атака через известную дыру в плагине это задача обновлений и WAF, а не антибота. Не обновлять плагины и надеяться на нас не стоит.