Управление ботами
Быстрых ботов узел отсекает лимитом запросов и банами. Для остальных на сайте можно включить проверку браузера. По умолчанию посетитель её не замечает.
Что блокируем.
Подбор паролей
Боты входят с утёкшими парами логин/пароль. Быстрый перебор с одного IP лимит запросов отсекает. Медленный перебор с многих адресов под лимит не попадает.
Боты-парсеры
Систематическое копирование контента. Быстрых отсекает лимит запросов. Простые скрейперы без браузерного движка не проходят проверку браузера. Headless-браузеры её проходят.
Поддельные регистрации
Массовые создания аккаунтов, съедающие бесплатные триалы. Ловятся в процессе регистрации, до завершения создания аккаунта.
Scalping и парсеры цен
Боты выметают лимитированный товар за секунды. Парсеры обновляют прайс конкурентов через минуты. Быстрых с одного адреса отсекает лимит запросов, простых без браузера останавливает проверка. Поведенческого анализа корзины нет.
Проверка браузера.
Узел проверяет посетителя до WAF. Есть cookie проверки, запрос идёт дальше. Нет cookie, посетитель получает проверку. Уровень выбирается для каждого сайта, на всех тарифах.
Ничего не блокирует. Узел пишет в журнал, кому выдал бы проверку, так что последствия видны до включения.
Незаметный редирект с установкой cookie, JS не нужен. Останавливает curl, python-requests и простые флуд-утилиты.
Страница проверки: браузер сам решает небольшую вычислительную задачу. Останавливает скрейперы и HTTP-ботов без JS-движка.
Задача сложнее, cookie привязан к сети и User-Agent, готовым cookie боты не обменяются. Посетитель, сменивший сеть, пройдёт проверку заново.
Страница с кнопкой «Продолжить» и вычислительной задачей на нашем узле. Это не проверка человека: headless-браузер её пройдёт.
Чего проверка не делает.
- Не останавливает headless-браузеры (Playwright, Puppeteer) и оплаченные ботофермы.
- Не отражает объёмные L3/L4 атаки: узел всё равно принимает каждое соединение.
- Не отличает человека от бота: она проверяет, что клиент умеет хранить cookie и считать.
- Автоэскалация выключена по умолчанию и пока экспериментальная. Если её включить, уровень растёт на ступень, когда сайт часто блокирует запросы лимитом, WAF или CrowdSec. Это не детектор атак: поток, где каждый адрес ниже лимита, она не заметит.
- Посетители без JS и пользователи Tor не пройдут js и выше. Для них остаётся redirect.
Эти сигналы запланированы.
Живой человек не запрашивает страницы с точностью до 200 мс.
Боты редко отправляют полный набор браузерных заголовков.
Запланировано: по самому TLS handshake можно распознать инструменты автоматизации.
Запланировано: движение мыши, скролл и паузы между действиями на защищённых страницах.
Что не блокируем.
- Поисковики Google и Bing проходят по спискам их IP, не по User-Agent, если вы включили это для сайта (по умолчанию выключено). Остальные поисковики добавляем в список после проверки источников. Пока поисковик не в исключениях, ставить js и выше на публичные страницы нельзя
- Вебхуки, API и приложения: их пути исключаются из проверки
- Серый список: для выбранных IP проверку можно включить строже, чем на сайте
Цель, которую не найти.
Защита в темноте. Без карты. Без следа.