Как защитить сайт от накрутки

Защитить сайт от накрутки нужно не тогда, когда позиции уже упали, а в тот день, когда в Метрике впервые дёрнулся график прямых заходов. Было сто визитов в сутки, стало восемьсот, конверсий как не было, так и нет, а доля отказов подскочила вдвое — это не удача и не вирусный пост, это чужие боты ходят по вашим страницам. Дальше сценарий у всех одинаковый: неделя недоумения, две недели просадки, месяц переписки с поддержкой. Разорвать эту цепочку можно только в самом начале, и ниже — порядок действий, который для этого нужен.

В SEO я с 2005 года, и накрутку поведенческих факторов чужими руками видел на десятках проектов — от блогов до магазинов на сотни тысяч карточек. Механика везде одна, а вот последствия разные, и зависят они почти целиком от того, что владелец сделал в первые трое суток. Поэтому статья построена не вокруг страшилок, а вокруг конкретных проверок: как отличить накрутку от всплеска спроса, что писать в Яндекс, где ставить фильтр и почему половина «антибот-решений» вредит больше самой атаки.

Как накрутка выглядит в статистике

Накрутка поведенческих — это имитация действий живого посетителя роботами или дешёвыми исполнителями: заход на сайт, несколько кликов, скролл, иногда переход на вторую страницу. Заказчик рассчитывает либо поднять свой сайт, либо утопить чужой, подсунув поисковику картину неестественного поведения. Ваша задача на первом шаге — не гадать, а посмотреть на четыре среза в Метрике: источники, глубину просмотра, время на сайте и географию.

Атака почти никогда не выглядит как ровный рост. Она даёт резкий ступенчатый скачок за одни-двое суток, причём в источниках раздувается конкретный канал — чаще всего прямые заходы или внутренние переходы. Реальный рост спроса ведёт себя иначе: он приходит постепенно, распределяется по нескольким источникам и подтверждается ростом показов в Вебмастере. Показы — самый честный индикатор, потому что их считает поисковик, а не счётчик на вашей странице.

Признак	Накрутка ботами	Настоящий рост трафика
Форма графика	Ступенька за 1–2 дня, потом плато	Плавный подъём за 2–6 недель
Источник	Один канал раздут до 60–90%	Растут несколько каналов сразу
Показы в Вебмастере	Не меняются	Растут вместе с визитами
Глубина просмотра	Ровно 1–2 страницы у всей массы	Разброс от 1 до 8 страниц
Время на сайте	Подозрительно одинаковое	Естественный разброс
Конверсии	Ноль при кратном росте визитов	Растут пропорционально
География	Города, которых у вас не бывает	Совпадает с вашими регионами

Если хотя бы четыре строки из семи описывают вашу ситуацию — это накрутка. Отдельно проверьте отчёт «Роботы» в Метрике: он ловит только очевидных ботов, не умеющих исполнять скрипты, поэтому нулевые значения там ничего не опровергают. Современные накрутки работают через настоящие браузеры на реальных устройствах, и для счётчика они выглядят как люди.

Кто накручивает чужие сайты и зачем

Мотивов у чужой накрутки три, и по характеру трафика они различаются. Первый — прямая попытка навредить: конкурент покупает поток ботов на ваши страницы, чтобы поисковик счёл поведение неестественным. Второй — побочный эффект: конкурент накручивает себя, а ваш сайт добавлен в список «фона» для маскировки, чтобы схема выглядела правдоподобнее. Третий — парсеры и агрегаторы, которые собирают ваш каталог и цены, вообще не имея цели навредить, но нагружающие сервер и портящие статистику.

• Атака на понижение. Много визитов, отказы под 90%, никакого интереса к внутренним страницам, часто вход на одну и ту же посадочную.
• Фоновая маскировка. Умеренный поток, поведение имитирует норму, страницы разные — заметить сложнее, вреда меньше.
• Парсинг. Строгая последовательность обхода по каталогу, одинаковый интервал между запросами, часто один диапазон адресов.
• Спам форм и комментариев. Отдельная история, но идёт с тех же сетей и лечится теми же фильтрами.

Практический вывод: прежде чем что-то блокировать, определите тип. Парсер отсекается ограничением частоты запросов и не требует ни писем в поддержку, ни паники. Атака на понижение требует и того, и другого.

Первые 72 часа: что сделать по порядку

Самая частая ошибка — сначала месяц наблюдать, потом бежать писать. Поисковику важно, чтобы обращение поступило рядом с датой аномалии: тогда ваши слова совпадают с тем, что видят его собственные логи. Через месяц вы будете доказывать уже свершившееся падение, а это совсем другой разговор.

Когда	Действие	Что это даёт
Час 0–2	Выгрузить сырые логи сервера за неделю до аномалии и за дни атаки	Фиксация доказательств до ротации логов
Час 2–6	Сохранить скриншоты отчётов Метрики: источники, отказы, география	Материал для обращения
День 1	Написать в поддержку Вебмастера с аккаунта, к которому привязан сайт	Дата обращения рядом с датой атаки
День 1–2	Включить ограничение частоты запросов на сервере	Снятие нагрузки, отсев простых ботов
День 2–3	Собрать список подсетей и закрыть самые массовые	Падение мусорного трафика на 70–95%
День 3–7	Зафиксировать базовые позиции и показы по группам запросов	Точка отсчёта для оценки последствий

Текст обращения в поддержку пишется коротко и по делу: адрес сайта, дата начала аномалии, доля подозрительного канала до и после, ваша гипотеза о внешней накрутке и просьба учесть это при оценке поведенческих. Не нужно эмоций и не нужно требований — нужны цифры и даты. Одновременно сообщите, что сами накруткой не занимаетесь: это фиксируется в переписке и работает в вашу пользу, если алгоритм всё-таки среагирует.

Трезво о результате: ответ поддержки почти всегда сводится к формуле «алгоритмы учитывают такие ситуации, дополнительных действий не требуется». Это не отписка ради отписки — фильтры за чужую накрутку действительно накладывают редко. Но позиции при массированной атаке всё равно проседают, потому что часть сигналов размывается, а сервер начинает отвечать медленнее. Поэтому письмо — не защита, а страховка. Защита начинается на вашем сервере.

Если нужны детали, смотрите «Как защитить сайт от взлома».

Как отличить бота от человека в логах

Метрика показывает картину глазами счётчика, а логи сервера — глазами машины, и правду проще найти во вторых. Вам нужен доступ к сырым логам доступа: строка с адресом, временем, запрошенным URL, кодом ответа и заголовком браузера. По ним ищутся четыре характерных следа.

1. Плотность запросов с одной подсети. Сложите адреса до /24 и посчитайте визиты. Живые посетители из одной подсети — редкость, сотни визитов оттуда за сутки — почти приговор.
2. Одинаковый заголовок браузера у сотен адресов. Ботоводы ставят одну и ту же строку на весь пул, и она обычно чуть отстаёт от актуальной версии браузера.
3. Отсутствие запросов к статике. Настоящий браузер тянет стили, шрифты и картинки. Многие боты запрашивают только HTML — в логе видно сразу.
4. Машинный ритм. Интервалы между запросами с точностью до долей секунды одинаковые, заходы равномерно распределены по суткам, включая четыре часа ночи.

Помогу с продвижением: комплексное продвижение сайта — вывожу сайты в топ Яндекса белыми методами.

По совокупности этих признаков собирается список подсетей. Именно подсетей, а не отдельных адресов: блокировать по одному бессмысленно, пул меняется быстрее, чем вы успеваете вносить правки. И обязательно проверьте владельца подсети перед блокировкой — по whois или любому сервису определения принадлежности. Если это диапазон крупного мобильного оператора, закрывать его нельзя: вместе с ботами вы отрежете живых людей с телефонов.

Фильтрация на сервере: что действительно работает

Самый дешёвый и самый эффективный уровень защиты — конфигурация вашего же веб-сервера. Здесь три инструмента, и применять их стоит именно в таком порядке.

О поведении людей на сайте и о том, чем оборачивается его подделка:

6:08

Ограничение частоты запросов. Задаёте лимит: сколько запросов в секунду допустимо с одного адреса и какой всплеск разрешён. Для обычного сайта хватает 2–5 запросов в секунду с адреса при небольшом буфере. Живой человек этот порог не пробьёт даже при быстром клике по меню, а парсер и примитивный бот упрутся в него моментально. Настраивается на уровне nginx или Apache, стоит ноль рублей.

Блокировка подсетей. Собранный из логов список закрывается в конфигурации сервера или в .htaccess. По моей практике это даёт основной эффект: массовые накрутки почти всегда идут с ограниченного набора хостинг-провайдеров, и десяток закрытых подсетей срезает мусорный поток на 90 с лишним процентов. Важная ловушка: файл .htaccess нередко перезаписывается при обновлении движка, установке плагинов кеширования или переносе сайта, и блокировка молча слетает. Раз в месяц проверяйте, что список на месте.

Подробнее об этом — в статье «HTTPS: Как защитить свой сайт и защитить своих пользователей».

Отсечение по заголовкам. Запросы без заголовка браузера или с явно техническим значением можно отдавать с кодом 403. Это ловит самых примитивных ботов, но не трогайте роботов поисковых систем — их заголовки должны проходить всегда, иначе вы своими руками выключите индексацию.

Уровень	Что закрывает	Цена	Риск ложных срабатываний
Лимит частоты запросов	Парсеры, простые боты, часть нагрузки	Бесплатно	Низкий
Блокировка подсетей	Массовую накрутку с хостингов	Бесплатно	Средний, если не проверить владельца
Фильтр по заголовкам	Примитивные скрипты	Бесплатно	Высокий при небрежной настройке
Антибот с проверкой	Браузерных ботов	Платно, абонентская	Высокий: страдают живые люди
Защита на стороне провайдера	Объёмные атаки L3–L4	Платно или в тарифе	Низкий
Сервис перед сайтом (CDN, WAF)	Прикладной уровень L7	Платно	Средний

Антибот-плагины и капчи: когда лечение хуже болезни

Решения, показывающие каждому посетителю страницу проверки перед входом на сайт, продаются как универсальная защита. На практике у них четыре системных проблемы, и знать про них надо до покупки.

• Ложные блокировки. Страдают посетители с мобильного интернета, из корпоративных сетей за общим адресом и те, у кого включена экономия трафика. Часть покупателей вы теряете молча.
• Задержка перед контентом. Промежуточная страница добавляет к загрузке заметные сотни миллисекунд, а скорость — фактор ранжирования и фактор конверсии одновременно.
• Риск для индексации. Если проверка по ошибке покажется поисковому роботу, страница уйдёт в индекс как заглушка. Восстанавливать потом долго.
• Ограниченная эффективность. Накрутка, которая идёт через настоящий браузер на реальном устройстве, проверку проходит так же, как человек. То есть именно от того, ради чего плагин ставили, он не спасает.

Речь о вот такой проверке — её видел каждый, кто последние годы заходил на сайты с антиботом.

Мой практический вывод: универсальный антибот перед всем сайтом — плохая идея. Разумнее ставить проверку точечно: на формы, на страницу входа в админку, на внутренний поиск, на тяжёлые фильтры каталога. Там она уместна и почти не задевает обычного посетителя. А защита от накрутки решается уровнем ниже — фильтрацией на сервере и у провайдера.

Защита на уровне сети и провайдера

Когда поток становится объёмным, сервер перестаёт справляться раньше, чем поисковик успевает что-либо заподозрить: сайт тормозит, отдаёт ошибки, роботы получают таймауты — и вот это уже реально бьёт по позициям. Здесь работает защита на сетевом и транспортном уровнях, которую даёт хостинг или отдельный провайдер.

Сетевой и транспортный уровни (в терминах модели OSI — L3 и L4) отсекают мусорный поток до того, как он дойдёт до вашего приложения: подделанные адреса отправителя, лавину полуоткрытых соединений, усиленные ответы сторонних серверов на подставной адрес. Такая фильтрация есть в тарифах большинства нормальных хостингов, и первое, что стоит сделать, — не покупать новое, а спросить у своего провайдера, что уже включено и как это активировать.

Если нужна помощь по теме — доработка сайта.

Прикладной уровень (L7) — история про сервисы, которые встают перед сайтом и разбирают уже сами HTTP-запросы: отделяют людей от автоматики по совокупности признаков, кешируют статику, ограничивают частоту обращений к тяжёлым страницам. Это даёт наилучший результат против накрутки, но требует аккуратной настройки: неверное правило может отрезать поисковых роботов, а агрессивное кеширование — сломать формы и корзину. Меняйте по одному правилу и смотрите на индексацию в Вебмастере после каждого шага.

Чего делать нельзя

Половина сильных просадок, которые я разбирал, случилась не от атаки, а от паники владельца. Вот список действий, которые превращают неприятность в катастрофу.

Тему разбирал отдельно: «Почему сайт не продает».

1. Отвечать накруткой на накрутку. Заказ ботов на свой сайт — прямой путь под фильтр. Чужую накрутку поисковик чаще всего игнорирует, свою — наказывает.
2. Убирать счётчик аналитики. «Не вижу — значит нет» не работает: поисковик получает данные не только из счётчика, а вы остаётесь без единственного источника фактов.
3. Закрывать сайт от индексации на время атаки. Выпадение из индекса обходится в разы дороже любой накрутки, а возвращение занимает недели.
4. Блокировать подсети без проверки владельца. Закрытый диапазон мобильного оператора или крупного провайдера отрезает живой трафик, и заметите вы это по звонкам, а не по графику.
5. Менять на сайте всё сразу. Одновременная смена шаблона, структуры и текстов в неделю атаки лишает вас возможности понять, что именно повлияло на позиции.
6. Оценивать последствия по позициям в первый же день. Позиции шумят всегда; смотреть надо на показы в Вебмастере в динамике за две-четыре недели.

Отдельно про ожидания. Полностью остановить чужую накрутку вы не можете — это чужие деньги и чужая инфраструктура. Вы можете сделать так, чтобы она не доходила до вашего сервера, не искажала вашу статистику и не мешала поисковым роботам работать с сайтом. Этого достаточно: дальше поисковая система разбирается сама, и в большинстве случаев разбирается верно.

Как понять, что защита сработала

Критерий не «график стал красивым», а несколько измеримых величин. Проверять их стоит через неделю после включения фильтров и потом раз в месяц.

Показатель	Где смотреть	Что считать нормой
Доля прямых заходов	Метрика, отчёт «Источники»	Возврат к значениям до атаки
Отказы по сайту	Метрика, сводка	Снижение до прежнего уровня
Показы в поиске	Вебмастер, «Запросы»	Ровный тренд без провала
Ошибки обхода	Вебмастер, «Диагностика»	Ноль новых ошибок после правок
Время ответа сервера	Логи, Метрика	Стабильно ниже 500 мс
Заявки и звонки	Цели Метрики, телефония	Не упали после включения фильтров

Последняя строка — самая важная. Если после блокировок мусорный трафик ушёл, а заявки просели вместе с ним, значит фильтр цепляет живых людей, и правила надо ослаблять. Проверяйте это до того, как успокоитесь: график без ботов выглядит отлично ровно до момента, когда выяснится, что вместе с ботами исчезли покупатели.

Частые вопросы

Может ли Яндекс наложить фильтр за чужую накрутку? Прямых санкций за то, что вас накручивают со стороны, практически не бывает: поисковику невыгодно давать конкурентам инструмент утопления. Но косвенный ущерб реален — размытые поведенческие сигналы, медленный сервер, ошибки обхода. Именно с ним вы и боретесь.

Сколько держится просадка после атаки? Если вы вычистили мусорный трафик и не наделали ошибок, показатели обычно выравниваются за три-шесть недель. Затягивается процесс тогда, когда параллельно с атакой на сайте меняли структуру или тексты и теперь невозможно понять, что именно повлияло.

Помогает ли смена хостинга? Сама по себе — нет, боты придут по домену на новый адрес. Помогает переход туда, где есть фильтрация на уровне сети и адекватная поддержка, готовая помочь с настройкой лимитов. Это разные вещи: важен не переезд, а наличие инструментов.

Нужно ли писать в поддержку, если позиции не упали? Да, и коротко. Обращение фиксирует дату и вашу позицию: накруткой вы не занимаетесь, аномалию заметили и сообщили. Если через месяц ситуация ухудшится, у вас уже будет история переписки, а не рассказ задним числом.

Как понять, что накручивает именно конкурент? Достоверно — почти никак, и доказывать это бессмысленно. Косвенные признаки: атака совпала с вашим ростом по коммерческим запросам, боты заходят преимущественно на посадочные страницы, а не на статьи блога. Но на план действий ответ не влияет: фильтровать поток нужно независимо от того, кто его заказал.

Стоит ли ставить капчу на весь сайт? Нет. На формы, вход в админку и внутренний поиск — да, на весь сайт — вред от потерянных посетителей и замедления перевешивает пользу. Против современной накрутки через реальные браузеры такая проверка всё равно неэффективна.

Коротко

• Накрутку от настоящего роста отличают по неизменным показам в Вебмастере, раздутому одному каналу и нулевым конверсиям при кратном росте визитов.
• Первые 72 часа решают всё: выгрузить логи, сохранить отчёты, написать в поддержку с датами и цифрами, включить лимит частоты запросов.
• Основной эффект даёт бесплатная фильтрация на сервере — ограничение частоты запросов и блокировка подсетей, собранных из логов.
• Блокировать нужно подсети, а не отдельные адреса, и только после проверки владельца диапазона, иначе отрежете живых посетителей.
• Антибот перед всем сайтом чаще вредит: он тормозит загрузку, теряет часть покупателей и не останавливает накрутку через реальные браузеры.
• Успех измеряется не красотой графика, а сохранением заявок и ровным трендом показов в поиске после включения фильтров.

Если поток мусорного трафика уже идёт, а разобраться, где кончается атака и начинаются собственные ошибки сайта, не получается — приходите на SEO-консультацию: посмотрим логи, статистику Метрики и Вебмастера вместе и определим, что фильтровать в первую очередь, а что трогать нельзя.