Обратный прокси
Сервер, который принимает запросы посетителей и передаёт их сайту: nginx перед PHP, CDN перед хостингом. Прячет реальный адрес посетителя за своим.
Обратный прокси стоит между интернетом и сайтом: отдаёт статику,
терминирует TLS, балансирует нагрузку. Для защиты от ботов у него есть
одна особенность: сайт видит адрес прокси, а не посетителя. Настоящий
адрес приходит в заголовке X-Forwarded-For или X-Real-IP.
Поэтому при подключении защиты за прокси или CDN важно указать, каким прокси доверять. Если доверять заголовку от кого попало, бот пришлёт в нём любой адрес и обойдёт все проверки по адресу; если не доверять вовсе, все посетители сольются в один адрес прокси, и защита будет считать их одним очень активным клиентом.
Что с этим делать
Страницы о защите от того, что описано выше: как это выглядит на сайте и что делает BotBan.
Смежные термины
Подробнее в блоге
- Проверка сайта на ботов: бесплатные инструменты и что они на самом деле показывают Метрика не видит тех, кто не выполняет скрипт, лог не отличает Chrome от программы, назвавшейся Chrome, а проверка адреса ничего не знает о запросе. Разбираем пять бесплатных способов проверить сайт на ботов и слепое пятно каждого.
- Хостинг пишет о превышении нагрузки: как понять, что это боты, и что делать Процессорное время на хостинге кончается не от покупателей. Разбираем, как по логам за десять минут понять, кто грузит сайт, и почему переход на тариф дороже обычно ничего не решает.
- Один запрос под микроскопом: как сервис решает, бот перед ним или человек Что успевает произойти между «пришёл запрос» и «отдали страницу»: какие признаки смотрим, чему не верим и почему сомнение всегда в пользу посетителя.