Защита от ботов

Парсеры копируют цены и описания, скрипты перебирают купоны и регистрируют тысячи аккаунтов, сканеры ищут дыры — всё это нагружает сервер, портит статистику и съедает рекламный бюджет. Капча отпугивает живых покупателей, а Cloudflare подходит не всем: кому-то он недоступен, кто-то не готов пускать трафик магазина через чужую сеть. «Защита от ботов» — для таких магазинов. Она работает на вашем сервере: новый посетитель за секунду проходит фоновую проверку браузера, ничего не вводя, и запоминается на неделю. Поисковые системы, подтверждённые ИИ-боты и платёжные уведомления идут свободно. Модуль не обещает уровень защиты Cloudflare от DDoS, но отсеивает большую часть трафика бот-сетей, парсеров и сканеров — и ставится за минуты.

Проверка за секунду, без капчи

1. Посетитель ничего не вводит

   Новый посетитель видит короткую страницу «Проверяем ваш браузер», браузер сам решает небольшую вычислительную задачу, и через секунду открывается запрошенная страница. Проверенный посетитель запоминается на неделю (срок настраивается) и больше заслон не видит.

2. Кнопка только для подозрительных

   Запросы с признаками бота — без заголовков настоящего браузера, с частыми обращениями, с одной версии браузера из сотен сетей — получают задачу посложнее и кнопку «Я человек». Обычные покупатели её не видят.

3. На языке посетителя

   Страница проверки показывается на 22 языках по языку браузера. Внизу — короткий код проверки: если покупатель не прошёл, он называет код, и вы находите причину в журнале.

Поисковые системы и платежи проходят

1. Поисковики подтверждаются по DNS

   Google, Bing, Яндекс, Mail.ru, DuckDuckGo, Apple, Baidu и другие пропускаются после двойной проверки DNS — так, как рекомендуют сами поисковые системы. Назваться Googlebot бот может, а подтвердить адрес — нет. Список редактируется.

2. ИИ-боты — по спискам владельцев

   GPTBot, OAI-SearchBot и PerplexityBot проходят, когда их адрес есть в списке, который официально публикует владелец. Список скачивается раз в сутки. Боты без проверяемого источника пропускаются только по вашему решению.

3. Уведомления платёжных систем и обмен с 1С

   Стандартные платёжные уведомления CS-Cart, вебхуки PayPal, ЮKassa и Тинькофф, обмен с 1С, RSS и карта сайта в исключениях сразу после установки. Свои адреса и контроллеры добавляются списком, запросы с самого сервера — крон, выгрузки — проходят автоматически.

Попытки взлома отклоняются сразу

1. Фильтр запросов перед проверкой

   Обращения к чужому программному обеспечению (WordPress, phpMyAdmin, файлы настроек), SQL-инъекции, внедрение скриптов и обход каталогов в адресах отклоняются ещё до проверки браузера — дёшево для сервера и без шанса для сканера.

2. Доверие отзывается

   Адрес, с которого пришла попытка взлома, теряет пройденную проверку и попадает под подозрение: следующий заход — только через кнопку и более сложную задачу. Одна попытка стоит ровно одной ручной проверки.

3. Сначала можно только смотреть

   Режим «только записывать» показывает, что попало бы под фильтр, ничего не отклоняя, — удобно в первые дни после установки.

Журнал объясняет каждое решение

1. Результаты проверок

   Для каждой проверки записано, какую оценку подозрительности получил посетитель и за что, какой сложности задачу решал, прошёл или нет и почему. Поиск по IP-адресу или по коду, который видел посетитель.

2. Отклонённые запросы

   Попытки взлома с адресом, правилом и запросом — видно, кто и что искал.

3. Диагностика

   Служебный адрес показывает, как защита оценивает ваш браузер или любой другой адрес: белый список, кука, факторы подозрительности, последние записи журнала.

Ставится за минуты и следит за собой

1. Подключается сам

   При установке модуль создаёт хранилище, генерирует ключи и добавляет одну строку в index.php витрины — панель администратора не затрагивается. Если прав на запись нет, показывает точную инструкцию и вариант без правки файла.

2. Не пропадёт после обновления

   Обновление CS-Cart заменяет index.php. Модуль регулярно проверяет подключение и при пропаже строки показывает предупреждение с кнопкой «Восстановить».

3. Сбой не роняет сайт

   Если защита не может работать — нет расширения, повреждена база, ошибка в коде — витрина открывается как обычно, а причина видна на странице состояния и в журнале.

4. Всё настраивается

   Срок памяти о посетителе, сложность задачи и лимиты, исключения, фильтр запросов, режим теста — на пяти вкладках, без правки файлов. Требуется PHP 7.0+, расширение SQLite3 и HTTPS на витрине.