Vercel запустил Bot Protection в публичной бете: как фильтровать ботов на сайте

Vercel объявил о запуске публичной бета-версии Bot Protection — нового компонента Web Application Firewall (WAF). Эта функция позволяет фильтровать автоматизированный трафик от небраузерных источников, предлагая два режима: логирование без блокировки или вызов challenge с проверкой браузера. Bot Protection дополняет существующие механизмы защиты платформы, такие как блокировка DDoS-атак и подозрительного трафика, и даёт разработчикам больше контроля над тем, какие боты могут взаимодействовать с их приложениями.

Что такое Bot Protection и как он работает

Bot Protection — это управляемый набор правил, который анализирует входящие запросы и определяет, являются ли они автоматизированными. В отличие от Verified Bots — списка проверенных ботов, например, поисковых роботов Google или Bing, — новая система нацелена на трафик, который не является браузерным и не входит в белый список. Разработчики могут выбрать один из двух режимов: Log Only, при котором боты идентифицируются и логируются в разделе Firewall, но не блокируются, или Challenge, при котором небраузерный трафик получает HTTP-ответ с вызовом браузерной проверки, например, JavaScript challenge. Verified Bots автоматически исключаются из обработки, поэтому легитимные роботы, такие как поисковые краулеры, не пострадают.

Предыстория и контекст

Vercel уже давно предоставляет базовую защиту от DDoS-атак и других угроз на уровне инфраструктуры. Однако с ростом количества автоматизированных скриптов, парсеров и партнёров, которые могут генерировать значительную нагрузку, возникла потребность в более тонкой настройке. Bot Protection закрывает этот пробел: он позволяет отличать вредоносных ботов от легитимных автоматизированных запросов, например, от CI/CD-пайплайнов или API-клиентов. Для таких случаев можно настроить пользовательские WAF-правила с действием bypass, чтобы не блокировать нужный трафик. Это особенно важно для проектов, которые активно используют автоматизацию, но хотят защититься от нежелательных скриптов.

Как включить Bot Protection?

Чтобы активировать Bot Protection, нужно перейти в дашборд проекта, открыть вкладку Firewall и выбрать раздел Bot Management. Затем можно выбрать одно из двух действий: Log или Challenge. После выбора необходимо нажать Review Changes, проверить изменения и опубликовать их в production. Во время бета-периода все пользователи Vercel могут опробовать функцию бесплатно, что делает её доступной для любого разработчика, независимо от тарифного плана. Процесс настройки интуитивно понятен и не требует глубоких знаний в области безопасности.

Технические детали и ограничения

Bot Protection работает как часть Vercel Firewall и использует собственную сигнатурную базу для идентификации небраузерного трафика. Важно отметить, что функция не блокирует Verified Bots — их список автоматически поддерживается Vercel и включает таких роботов, как Googlebot, Bingbot и другие. В режиме Challenge небраузерные запросы получают ответ с кодом 403 и проходят проверку через браузерный вызов. Если запрос не может выполнить JavaScript, он отбрасывается. Это эффективно против простых скриптов, но может быть обойдено более сложными инструментами, которые имитируют поведение браузера. Для полноценной защиты рекомендуется комбинировать Bot Protection с пользовательскими WAF-правилами, например, для блокировки по IP-адресам или геолокации.

Какие боты блокирует Vercel Bot Protection?

Bot Protection от Vercel нацелен на небраузерный трафик, который не входит в список Verified Bots. Это могут быть скрипты для парсинга контента, автоматизированные инструменты для тестирования, боты для накрутки метрик или сканеры уязвимостей. В режиме Challenge такие запросы получают проверку браузера, и если они не могут её пройти, то блокируются. Однако важно понимать, что не все автоматизированные запросы вредоносны: например, ваш собственный CI/CD-пайплайн может отправлять запросы к API. Для таких случаев нужно настроить исключения через пользовательские WAF-правила с действием bypass.

Кого затронет и как

Функция в первую очередь полезна разработчикам и компаниям, которые хотят снизить нагрузку от автоматизированных скриптов, парсеров и ботов. Например, если ваш сайт часто сканируют конкуренты или агрегаторы, Bot Protection может помочь отсечь такой трафик. Также это актуально для проектов с высокими требованиями к производительности и безопасности, таких как e-commerce платформы или SaaS-сервисы. Для российских пользователей Vercel функция доступна в полном объёме, так как WAF работает на уровне платформы и не зависит от региональных ограничений. Однако стоит учитывать, что использование режима Challenge может увеличить задержку для легитимных пользователей, если их браузер не поддерживает JavaScript (что редкость в современных условиях).

Что будет дальше

Публичная бета продлится неопределённое время. Vercel открыл тему на форуме сообщества для сбора отзывов и предложений, что позволяет разработчикам влиять на развитие функции. В будущем возможно расширение набора действий, например, добавление капчи или rate limiting, а также улучшение алгоритмов обнаружения ботов. После завершения беты функция может стать платной или войти в состав более дорогих тарифов, поэтому следите за официальными анонсами Vercel.

Итог

Bot Protection от Vercel — это своевременное дополнение к WAF, которое позволяет разработчикам гибко управлять автоматизированным трафиком. Функция проста в настройке и не требует дополнительных инструментов, а бета-доступ делает её бесплатной для всех пользователей. Следите за обновлениями Vercel, чтобы не пропустить выход финальной версии и возможные изменения в ценообразовании. Если вы хотите защитить свой проект от нежелательных ботов, сейчас лучшее время, чтобы протестировать Bot Protection.