Что такое WAF и чем он отличается от защиты от ботов

WAF — файрвол приложения для HTTP. Он применяет набор правил к HTTP-разговору и обычно закрывает распространённые атаки вроде межсайтового скриптинга и SQL-инъекции. Защита от ботов смотрит автоматические запросы и оставляет решение о реакции владельцу. Один краевой фильтр оба контура не заменяет.

Скликивание ни WAF, ни бот-продукты сами по себе из рекламного кабинета не вычитают. Если вы выбираете коробку «перед сайтом», полезно заранее понять, какой разговор она разбирает.

Набор правил перед приложением

В формулировке сообщества OWASP прокси защищают клиентов, а WAF защищает серверы и ставится перед конкретным приложением или группой приложений. Его можно считать обратным прокси. Подгонка правил под приложение бывает большой работой, и её надо сопровождать, пока приложение меняется.

Текст перенесён со старой вики и сам предупреждает, что его ещё приводят в порядок. Ботов, парсинг и клики рекламы это определение не разбирает. Правило смотрит разговор: что пришло в запросе и похоже ли это на известную атаку на приложение. Автоматический, но обычный с виду просмотр каталога в примеры не входит.

Куда документация Cloudflare отправляет ботов

Обзор Cloudflare WAF описывает свой продукт так: WAF проверяет входящие запросы к сайту и API и фильтрует нежелательный трафик наборами правил — адрес, путь, заголовки, тело. В таблице возможностей на всех тарифах есть обнаружение утекших учётных данных. Обзор не называет базу, с которой идёт сверка. Последней фразой он отсылает ботов к отдельным bot solutions.

Обзор bot solutions пишет, что боты — автоматические программы, которые шлют запросы на сайт, — могут снимать содержимое, подставлять украденные пароли в формы входа, скупать запас и раздувать расходы на сервер. Бот-продукты этот автоматический трафик обнаруживают и оставляют решение о реакции владельцу. Обе страницы говорят о продуктах Cloudflare. Они не говорят, что WAF или бот-продукт вычитает клики в рекламном кабинете. Недействительные клики остаются решением площадки. Кликфрод и скликивание этими обзорами не закрываются.

Три бот-продукта, и ни один не про кабинет

Документация Cloudflare делит бот-продукты на три. Это шкала Cloudflare, не фильтр Директа и не проверка Binetro.

Bot Fight Mode на бесплатном тарифе одним переключателем встречает обнаруженных ботов вычислительной задачей на всём домене, без своих правил и без обхода через Skip в правилах WAF. Super Bot Fight Mode на Pro, Business и Enterprise без отдельной добавки Bot Management даёт действия по категориям и исключения правилами WAF, но не по-запросный балл. Bot Management для Enterprise даёт балл на запрос и свои правила.

На сценарии для Free, Pro и Business балл 1 — запрос почти наверняка автоматический, баллы 2–29 — вероятно автоматический, баллы 30–99 документация просит не проверять и не блокировать как человека. Аналитика распределения баллов — с тарифа Business. Те же страницы пишут, что Bot Fight Mode и Super Bot Fight Mode агрессивны по замыслу и ложные срабатывания ожидаемы, особенно в первые дни. Выражения правил и пороги частоты в этот разбор не переносятся. Открытые обзоры не пишут, что продукт снимает недействительные клики в Директе или Google Ads.

Кто и зачем скликивает рекламу, баллами Cloudflare не описывается. Возвращает ли Яндекс деньги за скликивание, от режима Bot Fight не зависит.

Почему одного ящика мало

Рекомендации OWASP ставят CDN, WAF и антибот-сервис в один краевой слой. Рядом они требуют слой приложения и слой бизнес-правил. В антипаттернах отдельно сказано, что опора на один только краевой «ящик» хрупка: когда он настроен неверно, страдает или открывается весь сайт.

Для сайта это значит простой порядок. Сначала решите, закрываете ли вы атаки на приложение (инъекция, скриптинг) или автоматические визиты (съём содержимого, подстановка паролей, скупка). Первое — работа WAF. Второе в документации Cloudflare вынесено в бот-продукты, и даже они оставляют реакцию владельцу. Рекламный клик ни тем ни другим обзором не списывается. Краевой фильтр сопровождайте, пока меняется приложение, и не оставляйте его единственным слоем.