Ochrana proti botům

Ochrana proti botům

Ochrana proti botům je volitelný přepínač na úrovni hostingu, který do webserveru vloží tři věci najednou: limit počtu požadavků z jedné IP adresy, seznam odmítnutých user-agentů známých skenerů a seznam cest, které se nikdy neposkytnou. Ve výchozím stavu je u každého hostingu vypnutá.

Kde ji zapnete

V https://panel.cloudweb.sk otevřete hosting a na kartě Přehled najděte kartu Ochrana proti botům s přepínačem „Zapnuto / Vypnuto“. Změnu může provést vlastník hostingu nebo spolupracovník s oprávněním „Konfigurace“ (viz spolupracovníci). Po přepnutí se hosting na pozadí překonfiguruje – potvrzení přijde jako krátká notifikace, samotná změna se projeví bez výpadku.

Co přesně dělá

• Limit požadavků – pouze na nginx hostingu (Apache tuto část nemá, viz níže): 15 požadavků za sekundu z jedné IP adresy, s krátkodobou rezervou (burst) 30 požadavků navíc. Po překročení dostane klient odpověď 429 Too Many Requests.
• Blokování podle user-agenta – požadavek, jehož hlavička User-Agent obsahuje řetězec běžného skenovacího nástroje (například sqlmap, nikto, nmap, masscan, nuclei, acunetix, netsparker, wpscan, dirbuster, gobuster, feroxbuster, fimap, zgrab, l9explore nebo httrack), dostane odpověď 403 Forbidden. Funguje na nginx i Apache hostingu.
• Blokování citlivých cest – bez ohledu na user-agenta se vždy vrátí 403 na cesty, které typicky obsahují tajemství nebo konfiguraci: .env, .git/, .svn/, .hg/, .aws/, composer.json/composer.lock, konfigurační soubory běžných JS build nástrojů (next/nuxt/vite/webpack/svelte/tailwind/rollup/babel/jest/vue), Jenkinsfile, Dockerfile, docker-compose.yml, settings.py, .htpasswd, id_rsa a soubory s příponou .sql, .sqlite, .sqlite3, .bak, .backup, .dump, .swp, .save, .pem, .key, .p12 nebo .pfx. I toto pravidlo platí na nginx i Apache hostingu.

Na co si dát pozor

• Jde o přesné shody v cestě a user-agentu – pokud vaše aplikace legitimně poskytuje soubor s takovým názvem nebo příponou (například veřejně stažitelnou zálohu export.sql), ochrana ho zablokuje stejně jako útočníka. V takovém případě ochranu buď vypněte, nebo soubor přejmenujte/přesuňte mimo webem dostupný prostor, například přes správce souborů.
• Limit 15 req/s s rezervou 30 je nastavený na běžné prohlížení, nikoli na automatizované API klienty ani monitorovací nástroje volající z jedné IP adresy ve vysoké frekvenci – ty mohou občas dostat 429. Limit se počítá zvlášť pro každou klientskou IP adresu.
• Ochrana je záměrně volitelná (vypnutá ve výchozím stavu) – zapněte ji, pokud váš web nepotřebuje veřejný přístup k takovým souborům a cestám.