Антибот — защита сайта от ботов и парсеров

Версия 1.0.9

- Добавлена совместимость с внутренней проверкой страниц Goodsol Seosite 1.2.5. Включается только администратором в Seosite; по умолчанию выключена.

- Разрешение относится к одному подписанному GET/HEAD точного публичного адреса, ограничено временем и не допускает повторное использование. Обычные посетители, POST, служебные URL и запросы с cookie/Authorization не получают это исключение.

- В журнале Антибота внутреннее чтение Seosite выделено отдельным событием. Добавлен HTTP-маркер страницы проверки для точной диагностики сканером.

- Внутренний ответ не сохраняется в Композит и помечается private/no-store. При неверной подписи, отсутствии Seosite или отключенной интеграции действуют обычные правила защиты.

- Настройки защиты, белые списки, секрет установки, демо и БД обновлением не сбрасываются. Правила внешних поисковых и AI-ботов автоматически не меняются.

Перед публикацией проверьте на тестовой копии Битрикс обычные посещения, формы/AJAX, кеширование и совместную работу модулей. Интеграция не обходит внешние CDN/WAF и не доказывает публичную доступность страниц.

Версия 1.0.8

Безопасность:

- Устранен обход обязательной проверки через POST, PUT, PATCH, DELETE, OPTIONS и HEAD. Метод запроса и заголовок AJAX не дают исключения из защиты.

- На неподтвержденный не-GET возвращается завершающий ответ 403, без HTML challenge, перехода GET или выдачи содержимого. AJAX получает JSON challenge_required.

- Причины явных блокировок больше не раскрываются посетителю: единый нейтральный ответ 403, подробности только в журнале.

- Вместо простого обмена публичного challenge на cookie проверяется одноразовая вычислительная задача. Подпись, срок, назначение, сессия, домен, сайт и IP проверяются сервером; повтор ответа отклоняется.

- Признаки движения мыши и скролла не заменяют обязательную проверку. Прием поведенческих данных доступен только после подтверждения посетителя.

- Сохранены проверка локальной цели редиректа и защита от обхода через расширение URL, query-суффикс, X-Requested-With и общие префиксы /bitrix/ и /local/.

Совместимость с формами:

- После успешной проверки подтверждение сохраняется на сервере. Для POST оно действует до 12 часов в той же сессии, на том же домене/сайте и IP; потеря отдельной антибот-cookie не уничтожает открытую форму.

- Cookie и обычный доступ действуют один час. Первый неподтвержденный POST, утрата всей сессии, смена IP или истечение допуска не приводят к автоматическому пропуску. В этих случаях форму необходимо открыть заново и повторить проверку.

- POST не превращается в GET и не отправляется повторно. CAPTCHA, CSRF и проверка полей компонентов остаются включены; данные форм не переносятся в URL и журналы.

- Вебхуки, платежные уведомления, обмены и другие серверные POST-интеграции нужно проверить на стенде: при включенной обязательной защите они не получают автоматическое исключение. Не отключайте проверки подписи/авторизации их обработчиков.

- Старые токены после обновления недействительны. Перед приемкой обновите страницу в браузере и заново пройдите проверку.

- Вычислительная задача повышает стоимость автоматических запросов, но не гарантирует отличие человека от программного клиента и не заменяет CAPTCHA/WAF для соответствующих задач.

Прелоадеры:

- 10 автономных CSS/SVG-анимаций без внешних библиотек и CDN: кольцо, двойная орбита, пульс, три точки, волна, радар, полосы, комета, сканирование щита, линия прогресса.

- Настройка основного цвета, дорожки двухцветных эффектов, фона и цвета текста в HEX с предпросмотром.

- Редактируемые заголовок и пояснение. Возможность полностью скрыть обычный текст, оставив только фигуру или логотип. Ошибки проверки остаются видимыми.

- Загрузка PNG/JPEG/WebP до 2 МБ и 2048 x 2048 пикселей, проверка содержимого и перекодирование в PNG до 200 x 200. SVG/GIF не принимаются.

- Размер логотипа 100, 120 или 200 пикселей с сохранением пропорций; центрирование относительно экрана.

- Эффекты логотипа: без эффекта, пульсация, плавание, свечение, затухание/появление, полоска снизу, покачивание. Учет prefers-reduced-motion.

Композит:

- Вкладка «Композит»: режим «Защита приоритетна» для выбранных доменов. Явное подтверждение исключения и очистка только их файлового HTML-кеша.

- Кеш компонентов и композит остальных доменов сохраняются. Возрастает нагрузка на PHP выбранных сайтов. При отдаче HTML через nginx или внешний кеш требуется отдельная настройка сервера.

- Посетительские токены вынесены из общего HTML в отдельный некешируемый запрос. События поведения во время незавершенного запроса не теряются.

- Сохранены проверки демо-периода. Установка обновления не включает исключения композита автоматически, не меняет списки защиты и не сбрасывает настройки.

Интерфейс настроек:

- Выровнены поля цветов, подписи и галочка показа текста; убраны непонятные пояснения об ошибках.

- Инструкция по композиту открывается во всплывающем окне: назначение режима, порядок настройки, проверка результата, обращение к хостингу и возврат прежнего режима.

Что нового в версии 1.0.7:

В «Честную аналитику» добавлена безопасная выгрузка журнала в CSV с учётом фильтра и сортировки.

Добавлена отдельная опция блокировки явных headless-браузеров с User-Agent HeadlessChrome.

Опция блокировки headless-браузеров выключена по умолчанию, чтобы не мешать сервисам ПФ, Lighthouse и headless-мониторингу.

Что нового в версии 1.0.6:

Исправлен ответ 405 при открытии URL со служебным параметром gs_antibot_action.

Случайный GET со служебным параметром теперь перенаправляется на тот же URL без этого параметра.

Ответ на успешную JS-проверку завершается сразу после выдачи JSON и больше не запускает рендер страницы.

Исключено попадание gs_antibot_action в пагинацию, метаданные и компонентный кэш сайта.

Что нового в версии 1.0.5:

Добавлен чёрный список отдельных IP-адресов и CIDR-подсетей с поддержкой IPv4 и IPv6.

В журнале «Честная аналитика» появилась команда быстрого добавления IP в чёрный список.

Срабатывание сетевого правила записывается с причиной BLOCK_IP_RULE и точным IP/CIDR-правилом.

Геолокация переведена на штатные обработчики 1С-Битрикс без обращения к неподходящему внешнему IP-API.

Для неопределённой страны добавлен безопасный выбор: пропустить посетителя или показать JS-Challenge.

Добавлена проверка корректности IP-адресов и CIDR-подсетей перед сохранением настроек.

Сохранена совместимость с демо-режимом и защищённой механикой challenge-токенов версии 1.0.4.

Что нового в версии 1.0.4:

Добавлена совместимость с демо-режимом 1С-Битрикс Маркетплейс.

Усилена проверка antibot_token: общий salt заменен на индивидуальный секрет установки, MD5 заменен на HMAC-SHA256, добавлена почасовая ротация и hash_equals().

Поведенческий antibot_behavior теперь подписывается сервером через HMAC и проверяется по сроку действия. Клиентский JSON без подписи больше не считается доверенным.

Получение human- и behavior-токенов защищено Bitrix sessid и краткоживущим серверным challenge, привязанным к IP и назначению токена.

Поисковые и рекламные User-Agent проверяются обратным и прямым DNS, поэтому подмена строки браузера больше не дает автоматический обход защиты.

UTM-исключения применяются только к посетителям, уже прошедшим JS-Challenge.

Удален некриптографический резервный генератор секретов: при недоступности random_bytes() модуль завершает операцию безопасно.

Публичная защита корректно отключается после истечения демо-периода и не блокирует трафик сайта.

В настройках и журнале добавлены понятные сообщения для случая истекшего демо-периода.

Файл include.php подготовлен к обфускации демо-версии по требованиям Bitrix.

Что нового в версии 1.0.3:

Усилена безопасность админ-журнала: добавлен белый список полей сортировки и экранирование вывода пользовательских данных (IP, URL, User-Agent).

Добавлен безопасный fallback при старой схеме БД: журнал открывается без фатальной ошибки даже до выполнения миграции.

Усилена проверка геолокации IP: валидация IP + переход на HTTPS-запрос к ip-api.

Добавлена миграция структуры таблицы лога при обновлении (автоматическое добавление колонок DECISION_CODE и MATCHED_RULE при отсутствии).

Добавлен JS-поведенческий сигнал (легкий fingerprint-токен: mouse/scroll/keypress/touch + webdriver).

В ветке подозрительного direct-трафика добавлен challenge при отсутствии/невалидности поведенческого сигнала.

Добавлена новая настройка: «Включить JS-поведенческий сигнал».

Сохранены безопасные дефолты: рекламные боты в whitelist, режим Полозрительный трафик по умолчанию в режиме мониторинга.

Что нового в версии 1.0.2:

Добавлены рекламные боты в белый список по умолчанию: YaDirectFetcher, AdsBot-Google, AdsBot-Google-Mobile, Google-Read-Aloud.

Добавлен безопасный выключатель «Модуль активен» — остановка защиты без удаления модуля.

Добавлена опция «Сохранять логи при удалении модуля».

В журнал добавлены причины срабатывания правил и быстрый фильтр «Только заблокированные рекламные боты».

Добавлена эвристика подозрительного direct-трафика с режимами off / monitor / block (по умолчанию monitor).

В апдейте добавлена мягкая миграция: новые поля лога и дополнение whitelist UA без перезаписи клиентских правил.

Что нового в версии 1.0.1:

Исправлена ошибка пагинации и отображения данных в таблице журнала трафика (переход на CAdminResult).

Улучшен алгоритм детектора ботов и проверка по базам IP-адресов.

Обновлен обработчик событий и логика сохранения настроек.

Оптимизирована работа административной страницы логов.

Добавлена возможность не выводить в статистику хороших ботов.