Боты не DDoS — но могут сломать бюджет

Попался разбор про то, как боты, которые выглядят как обычные посетители, нагружают сервер и ломают бюджет — не из-за DDoS, а из-за платных вызовов API. И тут вспомнил, что у многих сайтов на таких платформах та же дыра.

О чём речь и почему это важно для сайта

Речь не о взломе, а о том, как боты, которые выглядят как обычные пользователи, могут сломать сайт — не потому что его взломали, а потому что он стал платить за каждое их движение. Это не DDoS, но эффект тот же: сервер висит, бюджет растёт, а сайт не отвечает.

Я считаю, что это важнее, чем кажется. Потому что даже если сайт не взломан, он может работать в убыток — из-за того, что кто-то копирует его данные за деньги.

Как это устроено — что тут вообще происходит

Сайт делает запросы к внешним сервисам — например, к каталогу товаров. Каждый запрос — это не просто HTTP, а платный вызов. Если бот последовательно открывает карточки, каждый запрос может вызвать платный вызов API.

И даже если бот не грузит сервер напрямую, сам процесс — обработка, сбор данных, ответ — всё это требует ресурсов. А если ботов много — нагрузка растёт, и платёж за API тоже.

Как понять, что это касается вашего сайта

Проверяю это первым делом: смотрю, есть ли у сайта внешние API-вызовы, особенно платные. Если да — и нагрузка растёт, а расходы неожиданно растут — это красный флаг.

Проверяю трафик: если много запросов с разных IP, но без браузерного поведения — это не пользователи. Это боты, которые перебирают страницы, как будто их заставляют.

Что с этим делать — что я делаю в таких случаях

Сначала — отслеживаю, какие именно вызовы идут в API. Определяю, какие из них платные. Затем — ограничиваю доступ к этим точкам для неавторизованных запросов.

Создаю правила, которые блокируют повторяющиеся запросы с одного IP или из одного региона. И да — это не защита от DDoS, а защита от автоматизации, которая копирует.

Что здесь даёт поддержка

На постоянной поддержке я закрываю эту задачу не разово, а системно. Потому что почистить — мало. Если не закрыть причину, боты вернутся. Заражают не хакеры, которые выбрали вас, а боты, которые массово сканируют уязвимости.

Мониторинг каждые несколько минут, 24/7. Это не просто «мы смотрим» — это система, которая ловит сбой раньше, чем клиент заметит. И мы уже настроены на то, чтобы не дать боту даже начать.

Бесплатный аудит безопасности — проверим, как ваш сайт выдерживает нагрузку от автоматизированных запросов.