Ochrana proti botom

Ochrana proti botom

Ochrana proti botom je voliteľný prepínač na úrovni hostingu, ktorý do webservera vloží tri veci naraz: limit počtu požiadaviek z jednej IP adresy, zoznam odmietnutých user-agentov známych skenerov a zoznam ciest, ktoré sa nikdy neposkytnú. V predvolenom stave je pri každom hostingu vypnutá.

Kde ju zapnete

V https://panel.cloudweb.sk otvorte hosting a na karte Prehľad nájdite kartu Ochrana proti botom s prepínačom „Zapnutá / Vypnutá“. Zmenu môže urobiť vlastník hostingu alebo spolupracovník s oprávnením „Konfigurácia“ (pozri spolupracovníkov). Po prepnutí sa hosting na pozadí prekonfiguruje – potvrdenie príde ako krátka notifikácia, samotná zmena sa prejaví bez výpadku.

Čo presne robí

• Limit požiadaviek – iba na nginx hostingoch (Apache túto časť nemá, viď nižšie): 15 požiadaviek za sekundu z jednej IP adresy, s krátkodobou rezervou (burst) 30 požiadaviek navyše. Po prekročení dostane klient odpoveď 429 Too Many Requests.
• Blokovanie podľa user-agenta – požiadavka, ktorej hlavička User-Agent obsahuje reťazec bežného skenovacieho nástroja (napríklad sqlmap, nikto, nmap, masscan, nuclei, acunetix, netsparker, wpscan, dirbuster, gobuster, feroxbuster, fimap, zgrab, l9explore alebo httrack), dostane odpoveď 403 Forbidden. Funguje na nginx aj Apache hostingoch.
• Blokovanie citlivých ciest – bez ohľadu na user-agenta sa vždy vráti 403 na cesty, ktoré typicky obsahujú tajomstvá alebo konfiguráciu: .env, .git/, .svn/, .hg/, .aws/, composer.json/composer.lock, konfiguráky bežných JS build nástrojov (next/nuxt/vite/webpack/svelte/tailwind/rollup/babel/jest/vue), Jenkinsfile, Dockerfile, docker-compose.yml, settings.py, .htpasswd, id_rsa a súbory s príponou .sql, .sqlite, .sqlite3, .bak, .backup, .dump, .swp, .save, .pem, .key, .p12 alebo .pfx. Aj toto pravidlo platí na nginx aj Apache hostingoch.

Na čo si dať pozor

• Ide o presné zhody v ceste a user-agente – ak vaša aplikácia legitímne poskytuje súbor s takýmto názvom alebo príponou (napríklad verejne stiahnuteľnú zálohu export.sql), ochrana ho zablokuje rovnako ako útočníka. V takom prípade ochranu buď vypnite, alebo súbor premenujte/premiestnite mimo webom dostupného priestoru, napríklad cez správcu súborov.
• Limit 15 req/s s rezervou 30 je nastavený na bežné prehliadanie, nie na automatizovaných API klientov ani monitorovacie nástroje volajúce z jednej IP adresy vo vysokej frekvencii – tie môžu občas dostať 429. Limit sa počíta osobitne pre každú klientskú IP adresu.
• Ochrana je zámerne voliteľná (vypnutá v predvolenom stave) – zapnite ju, ak váš web nepotrebuje verejný prístup k takýmto súborom a cestám.