Защита интернет-магазина от ботов
У интернет-магазина больше точек атаки, чем у обычного сайта: каталог, корзина, промокоды, оформление заказа, оплата, личный кабинет. Боты используют каждую из них по-своему. Разбираем главные сценарии и защиту для каждого.
Содержание
Коротко
- У магазина больше точек атаки: каталог, корзина, промокоды, оформление, оплата, кабинет.
- Самое дорогое для небольшого магазина — фейковые заказы и проверка украденных карт.
- Защищайте сначала то, что стоит денег: оформление, промокоды и вход.
Какие боты приходят в интернет-магазин
| Атака | Что делает бот | Чем вредит |
|---|---|---|
| Парсинг цен и наличия | Обходит каталог и собирает цены | Нагрузка на сайт, конкуренты демпингуют |
| Фейковые заказы | Оформляет заказы с оплатой при получении | Звонки, сборка, доставка и возвраты впустую |
| Перебор промокодов | Пробует коды скидок и подарочных карт | Утечка скидок, кража баланса карт |
| Резервирование товара | Держит товар в корзине или заказах без оплаты | Дефицитный товар недоступен людям |
| Скупка | Выкупает лимитированный товар быстрее людей | Товар уходит перекупщикам, клиенты злятся |
| Проверка карт | Проводит мелкие платежи украденными картами | Отказы банков, штрафы платёжной системы |
| Подбор паролей | Входит в аккаунты по утёкшим паролям | Кража бонусов и адресов, жалобы клиентов |
Фейковые заказы
Самая дорогая для небольшого магазина атака: каждый фейковый заказ — это звонок менеджера, сборка и иногда доставка. Признаки — неполные или повторяющиеся номера, одинаковые адреса с разными именами, заказы пачками ночью, оформление за несколько секунд.
- ограничьте число неоплаченных заказов на номер и устройство;
- подтверждайте заказы с оплатой при получении звонком или кодом, если заказ подозрительный;
- проверяйте посетителя перед оформлением — бот не дойдёт до формы.
Промокоды и подарочные карты
- ограничьте число попыток ввода кода — например, 5 в час на сессию и адрес;
- делайте коды длинными и случайными, а не «SALE2026»;
- привязывайте персональные коды к аккаунту;
- следите за всплесками неудачных попыток.
Проверка украденных карт
Боты проводят небольшие платежи, чтобы узнать, какие карты рабочие. Магазин получает отказы, возвраты и претензии от платёжной системы. Ограничьте число попыток оплаты на заказ и устройство, включите 3-D Secure и проверку браузера на странице оплаты, а при всплеске отказов временно повышайте минимальную сумму заказа.
Генератор лимитов для nginxСоберите лимиты для каталога, поиска, корзины и входа — они снимут нагрузку от парсеров и перебора.ОткрытьПарсинг цен
Полностью закрыться от парсинга нельзя — цены видят и люди. Но можно сделать его дорогим: лимиты запросов к каталогу и поиску, проверка браузера для подозрительных, закрытие лишних краулеров в robots.txt. Подробнее — в статье о защите от парсинга.
С чего начать
- Подключите антибот в режиме наблюдения и посмотрите, какие страницы чаще всего открывают боты.
- Закройте самые дорогие точки: оформление заказа, промокоды, вход.
- Добавьте лимиты на сервере для поиска, каталога и корзины.
- Включите режим защиты, когда убедитесь, что людям ничего не мешает.
Частые вопросы
Как понять, что заказы фейковые?
По сочетанию признаков: неполные или повторяющиеся номера, одинаковые адреса, оформление за несколько секунд, заказы пачками ночью, отказ от заказа при звонке. Один признак не доказывает фейк, несколько — почти всегда.
Нужна ли капча при оформлении заказа?
Всем — нет, она снижает конверсию. Лучше показывать её только подозрительным посетителям или при повторных попытках.
Защищают ли от ботов платформы магазинов?
У большинства есть базовые меры: капча, ограничение попыток входа. От ботов в настоящих браузерах и фейковых заказов они защищают слабо, поэтому нужны дополнительные проверки.
Что такое скальпинг?
Скупка лимитированного или дефицитного товара ботами быстрее людей, чтобы перепродать дороже. От неё защищают лимиты на заказ, очереди и проверка браузера при оформлении.
Как защитить подарочные карты?
Длинные случайные номера и коды, лимит попыток проверки баланса и ввода, оповещения о всплесках ошибок, блокировка карты после серии неудачных попыток.
Опасен ли парсинг цен?
Сам по себе он законен, если данные открыты. Но массовый парсинг нагружает сервер и помогает конкурентам автоматически демпинговать. Лимиты и проверка браузера делают его дороже.
Нужен ли антибот, если стоит антифрод платёжной системы?
Антифрод платёжной системы проверяет платёж. Антибот работает раньше: не пускает ботов к корзине, промокодам и оформлению, где платёжная система их не видит.