Защита от накрутки ПФ проверяется не на чужих примерах, а когда в семь вечера посещаемость вашего сайта вдруг вырастает в двадцать раз. Со мной это случилось 2 октября 2026 года: обычные 400 визитов в сутки за одну ночь превратились в 9 356, и все они были ботами. Атака идёт до сих пор, но в отчётах её почти не видно, а позиции сайта не пострадали. Ниже — что я делал в первый час, в первые сутки, за неделю и за месяц, с цифрами по дням.
В SEO я с 2005 года и видел накрутку и со стороны пострадавших клиентов, и на своих проектах. Общая инструкция у меня уже есть — как защитить сайт от накрутки. Здесь другой жанр: дневник одной атаки, где видно, какие меры сработали, какие нет и где я сам едва не навредил сайту.
Как это началось: вечер 2 октября
До атаки картина была спокойной. С 25 по 30 сентября сайт получал от 359 до 626 визитов в сутки, Метрика считала роботами 7–13 % из них, показатель отказов держался около 40–50 %. 1 октября — 427 визитов.
2 октября около 19:00 по Москве пошёл ровный поток: 450–490 визитов в час, круглосуточно, без провалов ночью. Живые люди так не ходят — у реального трафика ночью почти ноль. За 3 октября Метрика насчитала 9 356 визитов, в 22 раза больше обычного дня.
Профиль у всех визитов был одинаковым:
- 100 % — прямые заходы, без поиска и рекламы;
- 100 % — Chrome Mobile на Android;
- ровно одна страница за визит;
- медиана длительности — около 5 секунд.
Ещё одна деталь, которая сбивает с толку: в пиковый день показатель отказов упал до 8,9 %, хотя обычно он 40–50 %. Боты имитируют действия на странице, и Метрика засчитывает такой визит как «не отказ». Если смотреть только на отказы, можно решить, что сайт вдруг стал интереснее.
Хронология атаки по дням
Цифры ниже — из Метрики, с полной точностью данных. Колонка «роботы» — та доля визитов, которую Метрика сама признала роботами.
| Дата | Визиты | Роботы, % | Отказы, % | Что происходило |
|---|---|---|---|---|
| 1 октября | 427 | 14,5 | 47,5 | Обычный день |
| 2 октября | 2 366 | 28,0 | 14,1 | Старт атаки около 19:00 |
| 3 октября | 9 356 | 41,3 | 8,9 | Пик, разбор логов, первые блокировки |
| 4 октября | 5 581 | 25,9 | 9,1 | Блок подсетей заработал в течение дня |
| 5 октября | 523 | 22,4 | 34,4 | Посещаемость вернулась к норме |
| 10 октября | 2 387 | 80,4 | 92,3 | Вторая волна с новых адресов |
| 11 октября | 1 388 | 3,2 | 88,3 | Хвост второй волны |
| 12–26 октября | 243–563 | 0–47 | 37–65 | Норма в отчётах, атака отбивается сервером |
Обратите внимание на 3 октября: из 9 356 визитов Метрика признала роботами только 41 %. Больше половины ботов она посчитала людьми. Поэтому опираться на её фильтр как на защиту нельзя — подробнее об этом в разборе почему фильтр роботов в Метрике прячет атаку.
Первый час: сохранить данные, а не бросаться блокировать
Первое желание — что-нибудь срочно закрыть. Но без данных вы будете стрелять наугад, а потом не сможете ничего доказать поддержке. Поэтому первый час уходит на фиксацию.
- Выгрузить визиты с IP-адресами через Logs API Метрики. Адреса там отдаются с маской последнего блока, но для подсетей этого хватает.
- Скачать журнал доступа сервера за текущие сутки. На моём хостинге журнал хранится только за сегодня: завтра вчерашних строк уже не будет.
- Сделать снимки отчётов: почасовая посещаемость, источники, устройства, города. Ровная линия ночью на графике — самый понятный довод для любого читателя.
- Записать время старта и всё, что вы меняли на сайте в последние дни, чтобы не перепутать причину и совпадение.
Уже из одной выгрузки стало ясно главное: 96 % ботового трафика шло с четырёх подсетей, и все они принадлежали дата-центрам — компаниям, которые сдают серверы в аренду, а не мобильным операторам. Настоящий телефон на Android не выходит в интернет с адреса хостинга. Это и есть основной признак, по которому ботов можно отделить от людей.
Первые сутки: блокировка подсетей на сервере
Блокировать нужно до того, как запрос дошёл до страницы. Тогда бот не загружает Метрику, не создаёт визит и не грузит сервер. Самый доступный способ на обычном хостинге — правила в файле .htaccess.
Здесь меня ждал первый сюрприз. Стандартная запись вида «запретить доступ с такого-то IP» на этом сервере просто не работала: заблокированный адрес по-прежнему получал страницу с кодом 200. Сработали только правила переадресации с проверкой адреса клиента, которые отдают ошибку 403 «доступ запрещён». Пошаговый разбор с примерами — в статье как заблокировать накрутку через .htaccess.
Три правила, которые сэкономили мне время:
- Проверьте, что сервер вообще читает ваш файл. Добавьте тестовое правило на несуществующий адрес и откройте его. Пришла ошибка 403 — файл работает, можно ставить настоящий блок.
- Блокируйте по реальному адресу клиента, а не по заголовкам. У меня служебные заголовки с адресом посетителя приходили пустыми, и правило по ним не поймало бы никого.
- После установки проверьте результат через час. Не по ощущениям, а по почасовому графику и журналу сервера: сколько запросов получили 403 и не пострадали ли живые визиты.
Результат виден в таблице: 4 октября блок заработал, 5 октября посещаемость вернулась к 523 визитам. При этом внутри заблокированных подсетей не было ни одного визита из поиска или рекламы — только прямые заходы ботов. Значит, ни одного живого клиента я не отрезал.
Кого нельзя задеть при блокировке
Блокировка подсетей — сильное средство, и ошибка здесь стоит дороже, чем сама накрутка. Перед тем как добавить подсеть в список, я проверяю три вещи.
Поисковые роботы. Диапазоны адресов Яндекса и Google сверяю с блоком программно. В моём списке, например, оказалась подсеть, похожая на адреса Яндекса по первым цифрам, — но это разные сети, пересечений ноль. Без такой сверки легко закрыть сайт от индексации собственными руками.
Ваши собственные сервисы. Сервис съёма позиций, мониторинг доступности, внешний аудит — они тоже ходят с адресов дата-центров. Летом на старом домене этого сайта я попробовал автоматическую блокировку всех «подозрительных» дата-центров. Она за сутки задела и роботов поиска, и сервис позиций. Пришлось откатить и вернуться к ручному списку проверенных подсетей.
Живые люди за VPN. 4 октября я заметил отдельную атаку: с одной подсети шло около 62 тысяч запросов в сутки к странице входа в админку — подбор пароля. Но в этой же подсети стоят VPN-серверы, через которые ходят обычные люди. Поэтому закрыл для неё только вход в админку и служебный адрес для удалённых публикаций, а сайт оставил открытым. Почему блокировать по стране и VPN бесполезно и вредно — в разборе боты через VPN и мобильные прокси.
Первая неделя: письмо в поддержку Яндекса
Блок защищает сервер и отчёты, но не отвечает на главный вопрос владельца: не накажет ли Яндекс сайт за чужих ботов. Поэтому 3 октября я написал в поддержку Вебмастера.
Что приложил к обращению:
- график по часам с началом атаки и ровным ночным потоком;
- список подсетей с указанием, что это дата-центры, а не операторы связи;
- долю прямых заходов и одинаковый профиль устройств;
- короткое описание того, что сделано: блок на сервере, никаких действий со стороны сайта.
Ответ пришёл в тот же день: ограничений на сайте нет, положение в выдаче соответствует релевантности, а такие переходы не влияют на положение сайта в поиске. Сегодня, 27 октября, в разделе диагностики Вебмастера та же картина: ошибок не обнаружено, страницы ранжируются без понижения позиций.
Если атака ударила по вашему сайту сильнее и позиции уже просели, порядок действий и шаблон обращения есть в статье что делать, если крутят ваш сайт без вашего ведома.
Что Яндекс официально пишет о накрутке
В справке Вебмастера накрутка поведенческих факторов называется «имитация действий пользователей». Яндекс относит к поисковому спаму искусственное увеличение переходов на сайт из поиска: такие визиты искажают статистику поведения. По словам справки, ограничения за это могут затронуть ранжирование всего сайта или отдельных разделов, а снимаются они тогда, когда нарушение устранено и алгоритмы убедились, что оно не повторяется.
Владельцу справка советует проверить, нет ли на сайте модулей, которые помогают имитировать действия пользователей, и убедиться, что подрядчики не пользуются такими методами. Случай, когда накрутку гонит кто-то посторонний без ведома владельца, в справке отдельно не описан. Поэтому собственные доказательства — графики, подсети, журнал — важнее любых общих рассуждений: именно их вы покажете поддержке.
Ещё одно различие, которое стоит понимать. Боты, которые приходят напрямую, как в моём случае, в поиске вообще не участвуют — их переходов нет в статистике выдачи. Куда опаснее боты, которые ищут ваш сайт в Яндексе и кликают по нему: их не заблокируешь на сервере заранее, они приходят из поиска, как обычные посетители. Здесь главное средство — не блок, а своевременное обращение в поддержку с данными.
Метрика: почистить отчёты и не обмануть себя
После блока бот не доходит до страницы и не попадает в Метрику. Но часть ботов всегда проскакивает с новых адресов, поэтому отчёты стоит дополнительно чистить.
- Роботы, которые представились, — поисковые и сервисные — исключаются из статистики Метрики всегда.
- Роботы, определённые по поведению, по умолчанию в статистику входят. В настройках счётчика есть опция фильтровать их по поведению, а в отчётах — режим «Данные: без роботов».
- Фильтр по IP в настройках счётчика убирает визиты известных подсетей из будущих данных.
Важное ограничение: все эти настройки меняют только отчёты. Боты при этом продолжают ходить на сайт, а Яндекс видит своё. Поэтому на графике «без роботов» атака может выглядеть законченной, хотя сервер продолжает отбивать тысячи запросов в сутки. У меня 26 октября в Метрике было 320 визитов — а сервер в тот же день отказал примерно 7,8 тысячи запросам из заблокированных подсетей.
Первый месяц: подсети меняются, блок слетает
Через неделю атака не закончилась, она сменила адреса. 10 октября пришла вторая волна: 2 387 визитов, из них 80 % Метрика сразу признала роботами. К концу месяца в моём блоке уже не четыре подсети, а семь, и список я пересматриваю по журналу раз в несколько дней.
Вторая опасность — сам блок может исчезнуть. На одном из моих проектов файл .htaccess через три недели перезаписался при обновлении, и боты вернулись на те же адреса. Поэтому после любых обновлений сайта, плагинов и настроек хостинга я сверяю, что блок на месте, а надёжнее держать его копию на уровне веб-сервера, куда плагины не дотягиваются.
И третье: не все боты одинаковые. Кроме прямых заходов, в октябре на сайт приходили единичные визиты из Хельсинки по запросам с названием чужой компании — чей-то сайт «нагуливали» через выдачу, а мой попадался по дороге. Таких визитов было около двадцати, и блокировать их я не стал: подсети режутся только тогда, когда поток измеряется сотнями и тысячами.
Меры защиты: что работает и чем рискуете
| Мера | Что даёт | Риск для живых посетителей | Мой итог |
|---|---|---|---|
| Ручной блок подсетей дата-центров | Бот не доходит до сайта и не создаёт визит | Низкий при сверке с роботами поиска и своими сервисами | Главная мера: с 9 356 до 523 визитов за двое суток |
| Автоматический блок всех дата-центров | Ловит новые адреса без участия человека | Высокий: задевает роботов поиска и сервисы | Отказался после аварии |
| Закрыть только вход в админку | Останавливает подбор пароля | Нулевой для посетителей сайта | Для подсетей с VPN-серверами |
| Фильтры роботов в Метрике | Чистые отчёты | Нет, но боты продолжают ходить | Только вместе с блоком |
| Блок по стране или провайдеру | Грубо режет поток | Высокий: отсекает клиентов | Не применял |
| Капча или проверка на всём сайте | Отсекает простых ботов | Средний: часть клиентов уходит | Не применял |
| Обращение в поддержку Яндекса | Подтверждение, что санкций нет | Нет | Сделал на второй день |
Чего я делать не стал
Подключать зарубежный сервис защиты сайта. Это популярный совет, но в Рунете такой посредник сам может стать проблемой для доступности и индексации. Подробно — в статье почему Cloudflare может ударить по позициям в Рунете.
Ставить капчу на весь сайт. Простого бота она остановит, но и часть живых клиентов на телефоне до заявки не дойдёт. Платить конверсией за чистоту графика — плохая сделка.
Отвечать «встречной» накруткой или перекраивать сайт. Пока поддержка подтверждает, что ограничений нет, лучшее, что можно сделать для позиций, — продолжать обычную работу над сайтом и не вносить резких изменений, которые потом не отличишь от последствий атаки.
Паниковать из-за «роботности». С 23 по 26 октября Метрика считает роботами 38–47 % визитов. Это не значит, что блок сломался: часть ботов приходит с новых адресов, и это очередная работа на неделю, а не повод перестраивать защиту целиком.
Частые вопросы
Может ли конкурент уронить мой сайт накруткой?
Прямые заходы ботов, как в моём случае, на позиции не повлияли — это подтвердила поддержка и показывает диагностика Вебмастера. Опаснее накрутка через поиск, поэтому при первых признаках важно сохранить данные и написать в поддержку, а не ждать.
Сколько стоит такая защита?
Блок подсетей на сервере ничего не стоит, кроме времени: разобрать журнал и проверить список — час-два в первый день и полчаса в неделю потом. Платная защита нужна, когда ботов десятки тысяч в сутки и они ходят с мобильных адресов, которые не заблокируешь списком.
Как понять, что блок не задел клиентов?
Сравните поиск и рекламу до и после: переходы из выдачи и с объявлений должны остаться на прежнем уровне. Если внутри заблокированной подсети были визиты из поиска — подсеть проверяется заново.
Нужно ли снимать блок, когда атака закончилась?
Не спешите. Мои подсети продолжают стучаться через три с лишним недели после начала. Блок, который никому не мешает, дешевле повторной атаки.
Что если позиции уже упали?
Сначала проверьте, совпадает ли падение по времени с атакой, и посмотрите диагностику в Вебмастере. Позиции иногда падают по другим причинам, и спутать их с последствиями накрутки — частая ошибка.
Коротко
- 2 октября 2026 года на мой сайт пошли боты: пик 9 356 визитов в сутки против обычных 400, все с Android и прямыми заходами.
- 96 % ботов шли с четырёх подсетей дата-центров; ручной блок на сервере вернул посещаемость к норме за сутки.
- Метрика сама признала роботами только 41 % визитов в пиковый день, а отказы упали до 8,9 % — по отчётам атаку легко пропустить или неверно понять.
- Поддержка Яндекса подтвердила: ограничений нет, такие переходы на позиции не влияют. Диагностика Вебмастера на 27 октября чистая.
- За месяц атака сменила адреса, блок вырос с четырёх до семи подсетей; список нужно сверять регулярно и следить, чтобы он не слетел.
- Не стоит блокировать по стране, ставить капчу на весь сайт и включать автоблок всех дата-центров — это бьёт по живым клиентам сильнее, чем боты.
Если видите на своём сайте похожий поток и не уверены, что это и чем грозит, ситуацию удобно разобрать на SEO-консультации. Основная моя услуга — SEO-продвижение сайтов для бизнеса, а если важно, чтобы сайт цитировали нейросети Яндекса, — GEO-продвижение. Работаю лично, в портфолио 130+ кейсов.
Увеличьте позиции и продажи вашего сайта
Профессиональное SEO-продвижение с гарантией результата. Выберите подходящую услугу:
Остались вопросы по продвижению?
Меня зовут Анатолий Кузнецов, я SEO-оптимизатор с 20-летним стажем. Разберу ваш сайт, отвечу на вопросы и подскажу, что улучшить для роста позиций в Яндексе.
Связаться со мной →
Комментарии
У меня интернет-магазин сантехники, в сентябре была очень похожая история: прямые заходы с Android, по одной странице. Только у меня боты шли не с серверов, а с адресов обычных мобильных операторов. Подсеть оператора ведь не заблокируешь — там тысячи живых покупателей. Что делать в таком случае?
Да, это самый неприятный вариант: мобильные прокси дают ботам адреса настоящих операторов, и блок по подсетям здесь не годится. Первое — проверьте, действительно ли адреса принадлежат операторам, а не хостингам с похожими названиями: это частая путаница. Если это действительно мобильные сети, смотрите не на адрес, а на поведение: одинаковое время визита, одна страница, одинаковые модели устройств, заход ровно в одни и те же минуты. Такие признаки можно отсекать на уровне сервера ограничением частоты запросов, не трогая обычных покупателей. Параллельно сохраните выгрузку и напишите в поддержку Вебмастера — для мобильной накрутки доказательства особенно важны. И сравните заказы до и после: если продажи из поиска не изменились, позиции атака, скорее всего, не задела.
Не согласна, что Метрике нельзя доверять. Мы три года смотрим отчёты с включённым фильтром по поведению, и он прекрасно отсекает ботов. По-моему, проблема в том, что вы смотрели данные с роботами.
Сам веду сайт автосервиса. После вашей истории с M247 полез в журнал — а там с одного адреса больше тысячи попыток входа в админку за ночь. Даже не знал, что так бывает. Поставил вход по нестандартному адресу.
Подскажите, а как понять, что накрутку гонят именно на меня, а не на соседний сайт, как в вашем примере с Хельсинки? У меня в Метрике странные запросы с названием какой-то фирмы, которой я вообще не знаю.
Хороший признак того, что вы просто попались по дороге, — в запросах есть чужое название, а визитов единицы и все одинаковые: одна фраза, один визит, отказ. Боты прогоняют запрос с названием компании-заказчика и по пути открывают несколько сайтов из выдачи, ваш среди них. Когда крутят именно вас, картина другая: визитов десятки и сотни в день, они приходят на ваши страницы по вашим запросам или напрямую, поток ровный по часам. В первом случае обычно достаточно наблюдать и раз в неделю сверять число таких визитов. Блокировать стоит, только если поток вырос до сотен в сутки и мешает отчётам.
Ответ поддержки «не влияют на позиции» звучит красиво, но у знакомого после такой же атаки сайт ушёл с первой страницы и вернулся только через два месяца. Так что я бы не расслаблялся.
Я работаю в маленьком агентстве, у нас клиент — стоматология. Атака по вашему описанию один в один, только началась ночью. Клиент требует «убрать ботов немедленно» и грозится уйти. Как объяснить, что блок сразу не даёт ноль?
Лучше всего работает график по часам: покажите клиенту, как выглядел поток до блока и сколько запросов сервер отбил после. Цифра «отбито семь тысяч запросов за сутки» понятнее любых объяснений. Скажите сразу, что ноль не наступит: часть ботов будет приходить с новых адресов, и список придётся дополнять несколько недель. Важно разделить две задачи: защитить сайт и сохранить позиции. Для второго напишите в поддержку Вебмастера с данными и покажите клиенту ответ — это снимает большую часть тревоги. И договоритесь о контрольной точке, например через неделю сравнить переходы из поиска и записи на приём до и после атаки.
У нас на хостинге доступа к .htaccess нет вообще, сайт на конструкторе. Получается, защититься никак?
Интересно, что отказы при атаке упали, а не выросли. Всегда думала, что боты портят показатели. Получается, по отказам атаку и не заметишь, пока не посмотришь на число визитов.
Вы пишете, что автоблок дата-центров задел роботов поиска. Но ведь можно же исключить их по списку адресов, которые Яндекс и Google публикуют. Почему не стали дорабатывать автоматику?
Роботов поиска исключить можно, и это я делал: по обратной записи адреса и спискам поисковиков. Проблема оказалась шире — с адресов дата-центров ходят десятки полезных сервисов: съём позиций, мониторинг доступности, предпросмотр ссылок в мессенджерах, проверки самих поисковиков. Каждый раз, когда автоматика находила «новую подозрительную сеть», я узнавал, что отрезал что-то нужное, уже по последствиям. Ручной список из нескольких проверенных подсетей требует полчаса в неделю, зато ошибка в нём видна сразу и исправляется одной строкой. Для небольшого сайта такой обмен выгоднее, чем сложная автоматика, которую тоже нужно сопровождать.
Мне в похожей ситуации подрядчик предложил «перебить» ботов своей накруткой, мол, клин клином. Хорошо, что не согласилась: после вашей статьи понятно, что это прямой путь к ограничениям уже по-настоящему.
Сколько времени у вас в итоге ушло на всё это? Хочется понять, это задача на вечер или на месяц работы.
Самая плотная работа — первые сутки: часа два на выгрузку данных, разбор журнала и сверку подсетей, ещё час на сам блок и проверку, что он сработал и никого лишнего не задел. Письмо в поддержку с графиками — минут сорок. Дальше уходит примерно полчаса в неделю: посмотреть журнал, добавить новые подсети, убедиться, что блок на месте после обновлений. Вторая волна 10 октября добавила ещё около часа. Так что это не месяц работы, а один напряжённый день и потом регулярная короткая проверка.
Сохранила себе таблицу с мерами. Особенно полезно про то, что журнал на хостинге хранится только за сутки: я об этом не знала и в прошлый раз как раз ничего не успела сохранить.