«Грязный» трафик: как бизнесу защитить сайт от вредоносных ботов

Если создавая сайт или запуская лендинг, вы думаете только о живых пользователях, то допускаете ошибку. Сейчас более половины всего интернет-трафика (57,4%) приходится на ботов. И подобный трафик растёт в восемь раз быстрее, чем человеческий. Боты могут переходить по страницам, кликать по ссылкам, заполнять формы и т.д. Их действия, имитирующие поведение человека, способны замедлять работу сайта для реальных пользователей, искажать аналитику, генерить фейковые заявки. О том, как отличить бота от человека и как защитить свой сайт от вредного трафика, ORM-маркетолог платформы Beget Оксана Карелина рассказала порталу Biz360.ru.

По итогам 2025 года Россия вошла в пятёрку мировых лидеров по объёму вредоносного бот-трафика. При этом не весь трафик ботов на сайт опасен. Разберём, какие боты могут посещать сайт. 

Полезные боты: 

• Googlebot, YandexBot, Bingbot – принадлежат поисковым системам и служат для сканирования и индексации, без них сайт не появится в поисковой выдаче.

• ChatGPT-User, Google-Extended, ClaudeBot, AmazonBot – боты компаний-разработчиков ИИ, которые собирают данные с публичных веб-страниц для обучения больших языковых моделей и улучшения работы сервисов.

• Pingdom, UptimeRobot – боты сервисов мониторинга, которые проверяют, доступен ли сайт для пользователей, и оповещают владельца в случае сбоя. 

Бесполезные боты: 

• AhrefsBot, SemrushBot, SiteAuditBot – анализируют сайт для SEO-аудита, не индексируют его в поиске, но могут создавать нагрузку на дисковую систему и базу данных.

• Go-http-client, Python-requests, Scrapy – универсальные HTTP-клиенты, могут создавать нецелевой трафик, нагружая сервер.

• Baiduspider – для сайтов, не ориентированных на китайскую аудиторию, активность этого бота бесполезна и может быть избыточной. 

Вредоносные боты: 

• Парсеры и скрейперы (Cherpaker, Python-requests и др.) массово собирают контент, цены, изображения, email-адреса и данные с сайта.

• Спам-боты (AkiraBot, Srizbi и др.) автоматически заполняют формы обратной связи рекламой или вредоносными ссылками, оставляют комментарии и пишут в чаты с теми же сообщениями.

• Боты для перебора паролей (CUPP, Cerberus и др.) пытаются взломать аккаунты через подстановку учётных данных, используя украденные базы логинов и паролей.

• DDoS-боты (Masjesu, Mirai) создают огромный поток запросов, перегружая сайт или API.

• Фейковые регистрационные боты (OpenAI Auto-Registrar & Billing Generator, telegram-bot-scraper) массово создают аккаунты для мошенничества, спама или накрутки активности. 

Как отличить бота от живого пользователя: 

• слишком высокая частота запросов – десятки или сотни запросов в секунду;

• неестественное поведение – например, мгновенное открытие множества страниц без движений мыши и задержек;

• массовые однотипные действия – к примеру, сотни одинаковых регистраций или запросов к API;

• подозрительные User-Agent и IP – боты часто используют headless-браузеры (с его помощью можно тестировать код, проверять качество и соответствие вёрстке), прокси, VPN или дата-центры. 

Защита от ботов нужна, чтобы снизить объём вредоносного трафика и минимизировать его влияние на сайт и инфраструктуру. 

Несколько возможных способов и сервисов защиты от ботов: 

Ограничение подозрительной активности – от одного пользователя, IP-адреса или устройства. Таким образом можно снизить нагрузку на сервер, блокировать массовые регистрации и атаки на формы, а также усложнить брутфорс (взлом, при котором перебираются все возможные логины и пароли, токены, ключи шифрования). Ограничить подозрительную активность могут инструменты Nginx limit_req, AWS WAF или Fail2Ban. 

Капча и challenge-проверка. Современные боты уже умеют обходить простые капчи. Поэтому для защиты можно перейти на анализ поведенческих паттернов (движения мыши, история навигации, параметры устройства), которые не создают дополнительных барьеров для пользователей. Среди инструментов, которые могут помочь настроить капчу – Anubis и Cloudflare Turnstile. 

Анализ поведения пользователей. Современные антибот-системы (DataDome, Cloudflare Bot Management и ряд других) оценивают не только IP-адрес, но и поведение пользователя на сайте – скорость кликов и ввода, время между действиями, аномальную активность и т.д. Это помогает выявлять ботов. 

Защита API и форм. Часто боты атакуют не весь сайт целиком, а наиболее уязвимые точки, через которые отправляют спам, перебирают пароли, создают фейковые аккаунты или массово парсят данные. Защитить конечные точки сразу на нескольких уровнях можно с помощью: 

• одноразовых токенов – JWT, OAuth 2.0, Keycloak;

• CSRF-защиты для предотвращения подделки запросов – Django, Laravel, Spring;

• ограничения доступа – Nginx Rate Limiting, Kong, Traefik RateLimit Middleware;

• защиты API – Anubis, Fail2Ban, ModSecurity+OWASP CRS. 

Подключение межсетевого экрана (WAF). Он фильтрует вредоносные запросы на уровне сети и приложения, позволяя блокировать SQL-инъекции (когда хакер подсовывает базе данных свой собственный код вместо обычных данных, и система, не проверив, выполняет его), предотвратить DDoS, обеспечить фильтрацию автоматизированного трафика и защиту уязвимых серверов, компьютеров, смартфонов. Популярные решения, которые могут в этом помочь – Imperva, Sucuri и т.п. 

Мониторинг трафика. Важно отслеживать резкие всплески трафика, аномальные регистрации, подозрительные user-agent, необычные сценарии поведения и увеличение нагрузки на API. Для анализа трафика подходят такие инструменты, как Prometheus, Datadog и Grafana. 

Иногда некорректная защита от ботов может навредить проекту сильнее, чем сам спам (ухудшить UX, снизить конверсию и даже повлиять на SEO). Поэтому остановимся на ошибках, которые важно не совершать: 

• Капча на каждом действии, а не только при регистрации на сайте. Частые проверки раздражают пользователей, увеличивают количество отказов и снижают конверсию, особенно в мобильном трафике. 
  
  

• Блокировка IP-адреса без анализа поведения. Под один IP могут попадать тысячи реальных пользователей, например, через мобильных операторов, VPN или корпоративные сети. 
  
  

• Фильтр всех ботов без исключений. Поисковые краулеры, о которых упоминалось выше, необходимы для индексации сайта, а их блокировка может привести к падению позиций сайта в поиске. 
  
  

• Выбор лишь одного метода защиты от спама и ботов. Антибот-система строится на синтезе инструментов: поведенческом анализе, ограничении скорости/частоты запросов, межсетевом экране и скрытых проверках.
  
  

• Игнорирование аналитики и логов (записи событий и сообщений, создаваемых программой или системой во время её работы). Без мониторинга невозможно понять, откуда идёт спам и какие его механики используются. 

Эффективная защита от спама и бот-трафика должна быть незаметной для пользователей и при этом гибкой для бизнеса. 

Точные цифры зависят от масштаба компании, но приведу примерные значения: 

• Малый бизнес – 10-50 тысяч рублей в месяц. В этом случае обычно достаточно облачных антиспам-сервисов, настройки почтовой инфраструктуры (SPF, DKIM, DMARC), фильтрации веб-форм и периодического сопровождения.
  
  

• Средний бизнес – 50-200 тысяч рублей в месяц. Такая стоимость защиты обусловлена более сложной инфраструктурой, мониторингом и регулярной настройкой правил.
  
  

• Крупные компании – от нескольких сотен тысяч до миллионов рублей в месяц. Подобные структуры часто используют собственные средства защиты, SIEM, анти-DDoS и выделенную команду информационной безопасности. 

При этом защиту могут обеспечивать как внутренние, так и внешние специалисты. Как правило, для малого и среднего бизнеса выгоднее привлекать внешнего подрядчика или использовать услуги провайдера с управляемой защитой. Это обычно дешевле, чем содержать специалиста в штате. 

Штатный эксперт становится оправданным, когда инфраструктура сложная, угрозы возникают регулярно и необходимо круглосуточное сопровождение. Зарплата такого сотрудника в России обычно начинается примерно от 150-250 тысяч рублей в месяц, а зарплата опытных специалистов – существенно выше. 

Когда-то интернет был пространством, где доминировали люди. Теперь этот баланс изменился – большую часть интернет-трафика генерируют автоматизированные системы. Сейчас на вредоносных ботов приходится 40% трафика, что на 3% больше, чем в прошлом году, а число атак ботов, управляемых искусственным интеллектом, увеличилось в 12,5 раз. 

В этих реалиях ключевая задача для владельцев проектов – выстроить защиту так, чтобы вредоносный трафик отсекался автоматически, а реальные пользователи не замечали лишних барьеров. 

При этом эффективная антибот-защита – это не какой-то один инструмент, а сочетание аналитики, ограничений, поведенческих проверок и постоянного мониторинга. Таким образом можно сохранить стабильность сайта, качество данных и корректную конверсию.

Чтобы не пропустить интересную для вас статью о малом бизнесе, подпишитесь на наш Telegram-канал и страницу в «ВКонтакте».
biz360