Защита от DDoS для небольшого сайта
DDoS-атака — попытка положить сайт потоком запросов. Небольшим сайтам она грозит реже, чем кажется, но если случится — без подготовки сайт будет лежать часами. Разбираем, что нужно заранее.
Содержание
Коротко
- Объёмные атаки бьют по сети, атаки L7 — по обработке запросов.
- Базовая защита обычно уже есть у хостинга — уточните её границы.
- Лимиты, кеш и мониторинг стоит настроить заранее.
Какие бывают атаки
- Объёмные (сетевые) — забивают канал или сетевое оборудование огромным потоком пакетов. Сайт тут ни при чём, защищать нужно сеть.
- Атаки на приложение (L7) — много «нормальных» HTTP-запросов к тяжёлым страницам: поиск, фильтры каталога, корзина. Сервер не справляется с обработкой.
Что делает хостинг
Многие хостинги включают базовую защиту от сетевых атак. Уточните у своего:
- есть ли защита от DDoS и до какого объёма;
- что происходит при атаке — фильтрация или отключение сайта;
- защищены ли атаки на уровне HTTP или только сетевые.
Что настроить самому
- Лимиты запросов в nginx — по IP и для тяжёлых страниц отдельно.
- Кеширование страниц, которые не меняются для каждого посетителя.
- Мониторинг доступности, чтобы узнать об атаке сразу, а не от клиентов.
- План: кому звонить у хостинга и как быстро включить усиленную фильтрацию.
# Лимит на тяжёлые страницы (поиск, фильтры)
limit_req_zone $binary_remote_addr zone=heavy:10m rate=2r/s;
location /search {
limit_req zone=heavy burst=10 nodelay;
limit_req_status 429;
}Пример: не больше 2 запросов в секунду к поиску с одного адреса. Подбирайте значения под свой сайт.
DDoS и боты — не одно и то же
Антибот разбирается с отдельными посетителями: накрутка, спам, скликивание, парсинг. От объёмной атаки он не спасёт — она бьёт по сети до того, как запрос дойдёт до страницы. От медленных атак ботами в браузере, наоборот, помогает именно антибот: проверка браузера останавливает таких ботов на входе.
Частые вопросы
Нужна ли защита от DDoS маленькому сайту?
Базовая — да, и чаще всего она уже есть у хостинга. Специализированная платная защита нужна, если сайт уже атаковали или простой стоит больших денег.
Как понять, что сайт под DDoS-атакой?
Сайт резко тормозит или недоступен, в логах — лавина запросов, часто к одним и тем же страницам и с множества адресов, нагрузка на сервер на пределе.
Защищает ли антибот от DDoS?
От объёмных атак — нет. От атак ботами через браузер и частых запросов к страницам — частично, вместе с лимитами на сервере.
Сколько стоит защита от DDoS?
Базовая часто входит в хостинг. Специализированная стоит от нескольких тысяч рублей в месяц и зависит от объёма трафика и уровня защиты.
Может ли DDoS навредить SEO?
Если сайт долго недоступен, поисковые роботы получают ошибки, и страницы могут временно потерять позиции.
Что такое атака L7?
Атака на уровне приложения: много HTTP-запросов, которые выглядят обычными, но перегружают сервер обработкой.
Нужно ли сообщать о DDoS в полицию?
При серьёзном ущербе можно обратиться с заявлением. Сохраните логи и переписку с хостингом.