Анти Бот для 1C Битрикс: как антиспам для WordPress обзавёлся родственником на Битриксе

Некоторое время назад я писал здесь про антиспам для WordPress – историю о том, как из недоступного клиентам Cloudflare и дырявых бесплатных решений родился свой плагин геоблокировки, а чуть позже – вторую часть с разбором критики и рассказом, что успело поменяться. В конце самой первой статьи была одна проходная фраза: «параллельно ведется разработка аналогичного решения для 1С Битрикс – задача там несколько сложнее архитектурно, но подход тот же». С тех пор модуль доехал до Маркетплейса, обзавелся парой обновлений и первыми покупателями. Расскажу, что получилось – и почему для Битрикса такая защита понадобилась даже раньше, чем для WordPress.

Как боты гонялись за одним конкретным клиентом

Я давно веду поддержку нескольких сайтов на Битриксе, и с одним из клиентов эта история началась задолго до всяких модулей. Сначала банили диапазоны IP через .htaccess – руками, по мере поступления жалоб. Работало, пока список не разросся: .htaccess не резиновый, а на каждый чих перечитывать конфиг Apache не то чтобы хочется. Перешли на iptables – стало быстрее и надежнее, но появились свои лишние движения: консоль, перезапуски служб, а временами и работа через vim (кто в теме – тот вздрогнул). Апофеозом было то, что раз в какое-то время к серверу подключался штатный админ клиента и одним махом «тушил» весь список блокировок – то ли по незнанию, то ли решив, что он мешает. И все начиналось заново.

Отдельно стояла капча от самого Битрикса – штатная, встроенная. Проблема в том, что даже в официальной документации по ней прямо сказано: она не решает проблему спама и ботового трафика, это скорее косметическая мера. То есть штатных средств формально хватало «для галочки», а по факту – нет.

Почему Битрикс запросил защиту раньше, чем WordPress

Пока у клиентов оставался доступ к Cloudflare, WordPress-сайты жили спокойно: прокси гасил основную массу мусора еще на подступах. С Битриксом все вышло куда болезненнее. Движок гораздо чувствительнее к самому факту проксирования – начинают сыпаться авторизации, сессии, оплата. То есть ровно та защита, которая должна была все упростить, для части клиентов на Битриксе превращалась в источник новых тикетов в поддержку. Добавьте сюда .htaccess, fail2ban, iptables и капчу-для-галочки – и станет понятно, почему запрос на нормальный Анти Спам для Битрикс назрел у этого клиента раньше, чем у владельцев блогов на WordPress.

Совпадение почти день в день

Забавно, что запрос на модуль для Битрикса пришел буквально за неделю до публичной выгрузки плагина для WordPress на маркетплейс – и от тех же клиентов, чьи сайты я поддерживаю. Тот случай, когда две параллельные истории неожиданно сходятся в одной точке.

Поскольку основа – логика геоблокировки, списки, подход к JS-проверке вместо капчи – уже была обкатана на WordPress, собрать модуль для Битрикса оказалось быстрее, чем начинать с нуля. Но легкой прогулки все равно не вышло. Отдельным квестом стали требования к структуре самого модуля и пакетов обновлений (Битрикс тут довольно строг и специфичен), нюансы подключения к Маркетплейсу, адаптация под PostgreSQL – часть корпоративных инсталляций Битрикса работает именно на нем, а не на привычном MySQL – и, конечно, модерация по безопасности. Она временами по-настоящему раздувает из мухи слона: не то чтобы это плохо (лишняя проверка безопасности лишней не бывает), но нервов и итераций отняла заметно.

Что в итоге получилось (без лишней техники)

Не буду подробно расписывать реализацию – не хочу раскрывать внутреннюю кухню, да и не в этом суть статьи. По сути Анти Бот для 1C Битрикс закрывает тот же набор задач, что и WordPress-версия, но с поправкой на архитектуру Битрикса:

• блокировка трафика по странам, ASN и собственным черным/белым спискам IP;

• вместо капчи – собственная JS-проверка (слайд-пазл), которая не раздражает живых пользователей так, как классическая капча;

• поддержка мультисайтовости «из коробки» – актуально, потому что на Битриксе один модуль часто обслуживает сразу несколько сайтов в рамках одной установки;

• работа как на MySQL, так и на PostgreSQL;

• совместимость с любыми редакциями БУС и с Битрикс24, начиная с PHP 8.0.

Отдельно старался, чтобы модуль не превращался в очередной «WAF, который сам стал проблемой» – то есть без агрессивного fail-open поведения, когда при сбое внешних сервисов защита просто отключается и пропускает все подряд.

Текущий статус

Модуль уже доступен публично на Маркетплейсе Битрикса, у него есть несколько десятков скачиваний и уже реальные покупки. Отзывов пока нет, жалоб – тоже, но вижу это в основном по своим клиентам: сам Маркетплейс, увы, не показывает список сайтов, где установлен модуль, так что провести полноценный опрос пользователей возможности нет.

Если у вас Битрикс и вы хотите протестировать модуль и поделиться впечатлениями – буду рад обратной связи. Ищется на Маркетплейсе по названию «Анти Бот – защита сайта (антиспам) от нежелательного трафика, спама, ботов».

Куда дальше

Как и в случае с WordPress, в планах – своя система оценки пользователя: поведенческие сигналы, куки, история запросов по сайту. Один из практических примеров – отсекать трафик, который на каждый запрос меняет User-Agent, но при этом остальные параметры (IP, ASN, паттерн запросов и так далее) остаются неизменными. Живой пользователь так себя не ведет, а вот скрипт, перебирающий список UA «для маскировки», – вполне.

Сейчас как раз тестирую модуль на сайтах с заметной долей зарубежного трафика, где грубая гео-отсечка не работает вообще: нельзя просто поставить капчу на все страны, кроме России – под раздачу попадут реальные покупатели и партнеры. Тут приходится работать точечно, в первую очередь опираясь на IP и ASN, дополнительно – на User-Agent, а в перспективе все сильнее смещаясь в сторону поведенческого анализа.

Из более близких обновлений – локальное хранение не только гео-базы (как сейчас), но и базы ASN. Это должно снизить зависимость от внешних запросов и ускорить принятие решений на лету.

Если у вас есть похожий опыт борьбы с ботами и спамом на Битриксе – или, наоборот, вопросы про Анти Спам для Битрикс и чем он отличается от штатной капчи и связки fail2ban + iptables – пишите в комментариях, разберем конкретные случаи.