Откройте журнал веб-сервера любого сайта, и в нём найдутся запросы, которых живой человек не отправит: копия базы данных, папка с историей правок кода, вход в WordPress на сайте, где WordPress никогда не было. Это боты. Они перебирают типовые адреса на всех сайтах подряд и ждут, где откроется.
У нас против них свой фильтр, waf-i. Мы пишем его с февраля 2022 года: в наборе 155 правил, в истории 236 правок. Это первая ступень защиты. Вторая, фильтр запросов внутри сайта, читает поля форм и прикреплённые файлы. Расскажем, что отсекает первая ступень, кого она задевает по ошибке и как это находят до того, как фильтр начнёт блокировать.
Что видит фильтр на веб-сервере
Веб-сервер - программа, которая принимает запрос раньше всех и решает, кому его отдать. Фильтр встроен в неё и смотрит на три строки: адрес запроса вместе с параметрами, адрес страницы, с которой пришёл посетитель, и список типов файлов, которые браузер готов принять. В двух последних строках боты тоже прячут код, поэтому их проверяют вместе с адресом.
Содержимое отправленной формы фильтр на веб-сервере не видит, это работа второй ступени. Зато запрос, который он остановил, сайт даже не запускает: 1С-Битрикс не обращается к базе данных, и сервер не тратит на бота ресурсы.
Что отсекает первая ступень
Большая часть правил описывает запросы, которых живой посетитель никогда не отправит.
- →Служебные файлы и забытые копии. Папка с историей правок кода, файл с паролями к базе данных, копия базы, архив сайта, журналы ошибок, ключи. Такие файлы остаются на сервере после переезда или обновления, и бот перебирает типовые имена. Архив с копией сайта, забытый в корне, отдаётся любому, кто угадал имя файла.
- →Чужие панели управления. Боты спрашивают у всех сайтов подряд адреса WordPress, панели управления базой данных phpMyAdmin, систем сборки кода и старых серверных скриптов. У сайта на 1С-Битрикс таких адресов нет, поэтому запрос к ним выдаёт сканирование.
- →Программы взломщика. Правила знают имена десятков программ, через которые взломщик управляет захваченным сайтом, и закрывают запуск программ из папки загрузок: там лежат картинки и документы, и программа в ней - признак взлома. Если такой файл уже подбросили, достучаться до него снаружи не получится. Сам файл фильтр не удаляет, его находят и вычищают отдельно.
- →Команды в адресе. Команды базы данных и сервера, подъём по папкам вверх, за пределы сайта, кавычки и угловые скобки. В адресе страницы каталога или корзины их не бывает.
- →Известные дыры 1С-Битрикс. Под уязвимости платформы, через которые сайты взламывали массово, заведены отдельные правила. Они прикрывают сайт, пока обновление платформы не поставлено.
Кого фильтр задевает по ошибке
Правило ищет образец подозрительного текста. Рабочие запросы рекламы, поисковиков и самой платформы иногда совпадают с образцом, и фильтр отказывает живому посетителю. Вот случаи из истории waf-i.
| Чей запрос попал под правило | Почему сработало правило | Что сделали |
|---|---|---|
| Переходы с рекламы в Директе с автотаргетингом | При показе по автотаргетингу Директ подставляет в метку ссылки "---autotargeting", а двумя дефисами подряд в атаке на базу данных обрезают конец команды | Для этой метки сняли одно правило, ноябрь 2023 года |
| Файл для нейросетей llms.txt на нашем прежнем сайте | Правило закрывает текстовые файлы: в них боты ищут забытые журналы и выгрузки. Разрешены были robots.txt и несколько служебных | Добавили llms.txt в разрешённые, июнь 2025 года |
| Прикрепление файла к сообщению в чате Битрикс24 | В запросе фигурные скобки, ими в атаках обрамляют подставленный код | Убрали это правило с адреса загрузки файлов, май 2025 года |
| Кадровый электронный документооборот в Битрикс24 | В адресах слова select и limit, так пишут команды к базе данных | Для двух адресов сняли по одному правилу, август 2025 года |
| Смайлики в чате Битрикс24 | Набор смайликов хранится в файлах .json, а правило закрывает такие файлы: в них часто лежат настройки | Разрешили .json в папке смайликов, февраль 2026 года |
Первый случай показывает, чем грозит фильтр, который включили без разбора журнала: посетитель с рекламы получал бы отказ в доступе за оплаченный клик.
Из 236 правок waf-i 33 записаны как совместимость с Битрикс24. Фильтр ставят и перед коробочным Битрикс24, который работает на сервере компании, а у портала сотни служебных адресов: чат, диск, бизнес-процессы, кадровые документы. Последняя такая правка сделана 13 октября 2026 года: правило задело запросы роботов Битрикс24. Облачный Битрикс24 работает на серверах вендора, туда свой фильтр не поставить.
Исключение снимает одно правило, остальные работают
Исключения бывают трёх видов, и от вида зависит, сколько защиты остаётся.
- →Доверенный сервер. С его адреса проверка снята целиком. Так вносят сервер учётной программы 1С, которая обменивается с сайтом товарами и заказами, или облако Битрикс24 при обмене заказами. Перед этим по журналу смотрят, не шли ли с адреса атаки: иначе в доверенные попадёт взломщик.
- →Адрес сайта целиком. Для адреса снимаются все правила. Так открывают адреса, через которые сайт обменивается данными с 1С и Битрикс24.
- →Одно-два правила для адреса. Остальные правила продолжают работать. Метке автотаргетинга разрешили два дефиса подряд, и только их: кавычки или команду в той же ссылке фильтр остановит.
Исключения собраны в наборы под платформу: для 1С-Битрикс их 60, свои наборы есть у готовых решений для интернет-магазинов и у менеджера паролей. С марта 2026 года исключение можно привязать к одному домену, и правка для одного сайта не открывает адрес на остальных сайтах сервера.
Как фильтр включают
Порядок похож на тот, что мы описали для фильтра внутри сайта, только разбирают журнал самого веб-сервера.
- 01Переключатель в папке сайта. У каждого сайта на сервере свой переключатель - файл в служебной папке. Пока файл лежит, фильтр работает в режиме наблюдения. Папку создаёт администратор сервера и закрывает от записи: иначе код, попавший на сайт, сам положит файл и выключит проверку.
- 02Наблюдение. Веб-сервер пишет в журнал у каждого запроса три номера: правило по адресу, по странице, с которой пришли, и по типам файлов. Три нуля - запрос чистый.
- 03Разбор. Сначала отделяют ботов - адреса, с которых пришло много ошибок и остановок. Их запросы не разбирают. Остальные остановки считают по правилам и смотрят запросы по каждому правилу, пока в журнале не останутся только атаки.
- 04Включение. Переключатель убирают, время разбора записывают. Следующий разбор начинают с этой отметки: после обновления платформы, нового модуля или рекламной кампании с новыми метками.
Чего первая ступень не делает
- →Формы и файлы не читает. Отправленные поля и прикреплённые файлы проверяет вторая ступень, фильтр внутри сайта.
- →Ловит только описанное. Приём, под который правила ещё нет, фильтр пропустит. Обновления платформы ставят всё равно.
- →Поток запросов не сдержит. Когда сайт пытаются положить тысячами запросов в секунду, фильтр проверит каждый, но сервер всё равно не справится. От такого защищают на стороне хостинга.
Пять вопросов подрядчику
- 01Что ответит сайт, если бот попросит копию базы, архив сайта или папку с историей кода?
- 02Как вы проверили, что защита пропускает посетителей с рекламы и из поиска?
- 03Какие серверы внесены в доверенные и как их проверяли перед этим?
- 04Исключение для адреса снимает всю проверку или отдельные правила?
- 05Какую долю запросов защита останавливает за неделю и с чем вы её сравниваете?
На второй вопрос хороший ответ называет журнал и рекламные метки, которые по нему проверили. Если подрядчик о метках не думал, часть оплаченных кликов может заканчиваться отказом в доступе. Счётчик посещаемости такой визит не увидит: на странице с ошибкой счётчика нет.
