Спам-боты: что это и как защитить от них сайт
Спам-бот — программа, которая сама заполняет формы, пишет комментарии и регистрирует аккаунты. Ей всё равно, какой у вас сайт: она найдёт форму и будет отправлять мусор, пока её не остановят. Разбираем, как боты устроены и какая защита против них работает.
Содержание
Коротко
- Спам-боты сами находят формы по поисковой выдаче и каталогам — специально ваш сайт никто не ищет.
- Есть простые скрипты, браузерные боты и боты с решением капчи — против каждого своя мера.
- Надёжная защита собирается слоями: скрытое поле, проверка на сервере, проверка браузера, лимиты.
Что такое спам-бот
Спам-бот — это скрипт или браузер под управлением программы, который массово отправляет данные через сайты. Цели у них разные:
- реклама — ссылки на казино, кредиты, «продвижение сайтов» в комментариях и заявках;
- бомбинг — подстановка чужого номера в формы обратного звонка, чтобы человеку звонили и писали десятки компаний;
- регистрации — тысячи аккаунтов для рассылок, накрутки или будущих атак;
- проверка украденных данных — подбор логинов и паролей, проверка номеров карт в формах оплаты;
- вредительство — завалить менеджеров мусором, испортить статистику и обучение рекламы.
Как спам-боты находят сайт
Специально ваш сайт обычно никто не ищет. Боты обходят интернет по спискам: поисковая выдача по запросам вроде «оставить заявку», каталоги организаций, старые базы сайтов на популярных CMS. Найдя форму, бот запоминает её поля и возвращается снова. Поэтому спам часто начинается внезапно и не прекращается сам.
Какие бывают спам-боты
| Тип | Как работает | Что его останавливает |
|---|---|---|
| Простой скрипт | Отправляет данные прямо в обработчик формы, страницу не открывает | Скрытое поле, токен формы, проверка на сервере |
| Браузерный бот | Открывает страницу в настоящем браузере и заполняет поля | Проверка браузера и поведения, капча |
| Бот с решением капчи | Отправляет капчу в сервис распознавания, где её решают люди или нейросеть | Оценка браузера и сети, лимиты, проверка номера |
| Ручной спам | Люди за небольшие деньги заполняют формы | Модерация, фильтр по тексту, лимиты на номер и адрес |
Как понять, что заявки пишет бот
- форма отправлена за 1–3 секунды после открытия страницы;
- в имени латиница, случайные буквы или ссылка;
- телефон неполный, из одинаковых цифр или повторяется в разных заявках;
- в комментарии ссылки и рекламные слова;
- заявки приходят пачками, часто ночью;
- человек по номеру говорит, что ничего не оставлял — это бомбинг.
Проверьте подозрительную заявку прямо здесь — проверка работает в браузере, данные никуда не отправляются.
Как защитить сайт от спам-ботов
Одной меры почти никогда не хватает: каждая останавливает свой тип ботов. Хорошая защита собирается в несколько слоёв — от простого к сложному.
- Скрытое поле-ловушка
Невидимое поле, которое заполняют только скрипты. Бесплатно, ставится за пять минут и отсекает самых простых ботов.
- Проверка на сервере
Обработчик формы проверяет токен и время заполнения. Заявки, отправленные мимо страницы или за секунду, не принимаются.
- Проверка браузера
Антибот оценивает браузер, сеть и поведение и не пускает к форме программы, даже если они работают в настоящем Chrome.
- Лимиты на номер и почту
Не больше нескольких заявок на один номер за сутки — главная защита от бомбинга. Одноразовую почту лучше не принимать.
- Капча для сомнительных
Показывайте задание только тем, кто не прошёл проверку браузера. Люди его не видят, а бот упирается в ещё одну стену.
В nbots проверка заявок и режим защиты включаются в кабинете: код ставится в шапку сайта, а в форме появляются скрытое поле и токен. Заявки от ботов можно отклонять или помечать, чтобы менеджеры их не обрабатывали.
Чего делать не стоит
- Блокировать страны целиком. Боты легко берут российские адреса, а настоящие клиенты бывают за границей и с VPN.
- Ставить сложную капчу всем. Она отсечёт часть людей, а продвинутый бот её решит.
- Чистить заявки вручную и ничего не менять. Боты не уходят сами — со временем их становится больше.
Частые вопросы
Откуда на сайте спам-боты, если сайт новый?
Боты обходят интернет по спискам и поисковой выдаче. Новый сайт с формой они находят за несколько недель, особенно если он сделан на популярной CMS или конструкторе.
Помогает ли скрытое поле от спама?
Да, против простых скриптов: они заполняют все поля подряд, в том числе невидимое. Браузерные боты, которые заполняют только видимые поля, его обходят, поэтому скрытое поле — первая, но не единственная мера.
Можно ли наказать того, кто спамит?
Найти автора почти невозможно: боты работают через чужие адреса и прокси. Эффективнее сделать спам на вашем сайте бесполезным, чтобы бот перестал на него тратить ресурсы.
Чем спам-бот отличается от бомбера?
Спам-бот рассылает рекламу и мусор. Бомбер — разновидность бота, которая подставляет чужой номер в формы обратного звонка, чтобы человеку звонили и писали множество компаний. Против бомберов особенно важен лимит заявок на номер.
Почему спам приходит ночью?
Боты работают круглосуточно и часто по расписанию, а ночью их проще заметить, потому что людей на сайте мало. Пачки заявок в 2–5 часов утра — частый признак автоматической рассылки.
Защищает ли от спама Tilda или Битрикс сам по себе?
У конструкторов и CMS есть базовая защита — ловушки и капча. Она отсекает простых ботов, но не справляется с браузерными. Подробно — в статьях о спаме в Тильде и Битриксе.
Нужно ли блокировать IP спамеров?
Почти бесполезно: боты меняют адреса каждые несколько заявок. Блокировка по IP помогает только против грубой атаки с одного сервера.