BotBlocker Cloudflare - суперечка про те, хто бачить бота першим. Cloudflare часто сприймають як щит, який достатньо ввімкнути один раз - і забути про ботів. Певний час це працювало. Але з розвитком бот-технологій єдиний стандартизований сервіс став передбачуваною мішенню, а передбачуваність - саме те, що шукають зловмисники.
Пастка CAPTCHA
Мільйони сайтів використовують ту саму перевірку Cloudflare. Масштаб - водночас і слабкість: розробники ботів і сервіси розв’язування капч роками вивчали її шаблони. Якщо бот проходить перевірку на одному сайті, він пройде її й на вашому.
BotBlocker Security діє навпаки - шість типів непередбачуваних власних завдань: зіставлення кольорів, розпізнавання тварин, рухомі фігури, математичні вирази на canvas та інші. Тип завдання й логіка постійно змінюються, тому стабільного скрипта для обходу не існує.
Дані, етика й довіра
Публічні заяви великих хмарних провайдерів указують на те, що трафік сайтів може оброблятися в їхніх власних цілях, зокрема для навчання ШІ-моделей, - за спиною власника сайту. BotBlocker працює лише з технічними параметрами запитів. Дані відвідувачів не продаються третім сторонам, а підхід вибудуваний навколо вимог GDPR і CCPA.
Продуктивність - частина безпеки
Зовнішній проксі додає ще одну ланку в ланцюг запиту. BotBlocker працює всередині вашої установки WordPress і блокує шкідливий трафік до того, як він дійде до PHP і MySQL, тому потужність сервера залишається реальним клієнтам, а не ботам.
Режим Early Init зупиняє загрози приблизно за п’ять мілісекунд - ще до завантаження WordPress. Це рівень корпоративного фаєрвола майже без навантаження на сервер.
Те, за що Cloudflare бере доплату
Розширені правила WAF, заголовки безпеки й спеціалізовані сертифікати в хмарних тарифах часто йдуть як платні доповнення. У BotBlocker вони вбудовані:
- Заголовки безпеки, зокрема X-Frame-Options проти клікджекінгу;
- Керування SSL і захист сторінки входу;
- Двоступеневий щит від brute-force і повна двофакторна автентифікація, сумісна з Google Authenticator та Authy;
- Hide Login URL: сканери просто не знаходять адмінку.
BotBlocker проти Cloudflare на практиці
Cloudflare - правильний вибір, коли потрібні CDN, TLS і захист від DDoS на рівні мережі в одному місці. Це загальний щит для всіх сайтів планети, і в цьому водночас сила й сліпа пляма.
Шар під WordPress бачить те, чого не бачить загальний край: спроби входу в wp-login і XML-RPC, REST-ендпоінти, шляхи плагінів, різницю між редактором із сесією і ботом, який скопіював cookie. Він може дати завдання відвідувачу, не відправляючи його на глобальну сторінку CAPTCHA, що ламає форми оформлення замовлення.
Перевіряйте обидва однаково. Тиждень логів, потім порівняння: що заблоковано, що пропущено, скільки з пропущеного - реальні покупці. Переконайтеся, що пошукові роботи й платіжні колбеки проходять. Щит, який блокує оформлення замовлення, коштує дорожче за бота, який збирає сторінку.
Правила WAF у Cloudflare описані в документації, тож модель правил можна порівняти з тим, що BotBlocker робить до першого рядка PHP.
Повернути контроль собі
Універсальний хмарний сервіс - єдина точка відмови: коли у провайдера збій, ваш сайт падає разом із ним. BotBlocker - розумний і непередбачуваний щит, що живе всередині вашої інфраструктури.
Безпека не має бути універсальним замком, до якого всі вже мають ключ. Вона має бути шаром, налаштованим під ваш сайт і таким, що працює до першого рядка PHP. Саме в цьому ідея BotBlocker Security.
Cloudflare не ворог. Якщо у вас глобальна аудиторія, він закриває мережу й кеш краще, ніж плагін. Питання в тому, хто ухвалює рішення про конкретного відвідувача WordPress: загальний край чи шар, який знає ваш сайт.
BotBlocker проти Cloudflare: що перевіряти на своєму сайті
Перевірка проста: увімкніть обидва шари, прогнавши відомі сигнатури ботів, і подивіться, хто падає на вході, а хто доходить до PHP. Документація Cloudflare про ботів пояснює першу половину картини, друга - у логах вашого сервера. Порівняння BotBlocker проти Cloudflare має сенс лише на живому трафіку, а не на обіцянках. BotBlocker проти Cloudflare - це ще й питання бюджету: кожен шар коштує грошей і часу на підтримку.
Ще за темою: Найкращий плагін безпеки для WordPress: на що зважати і BotBlocker Security: WAF, що вмикається раніше за WordPress.