Сайт забивают боты: защита формы и Cloudflare в России

Как это выглядит у владельца

Утром в почте и CRM сорок заявок. Тридцать семь из них с пустым именем, телефоном 1111111 или ссылкой на казино в поле «Сообщение». Менеджер тратит час, чтобы найти три живых. В пик рекламы сайт открывается по полминуты, потому что бот гоняет запросы к форме или к странице входа.

Бот находит адрес, куда форма отправляет данные, и шлёт туда запросы напрямую, по тысяче в час. Поэтому защита только в браузере, например «поле обязательно», его не останавливает. Про парсинг и влияние защиты на поиск есть статья про защиту сайта от ботов. Здесь про формы и Cloudflare.

Простая защита формы за вечер

Если у вас есть доступ к коду, это пара десятков строк.

Поле-ловушка. В форму добавляют лишнее текстовое поле и прячут его через CSS. Живой человек его не видит и не заполняет, а простой бот заполняет всё подряд. Если на сервер пришло значение, заявку отбрасывают. Назовите поле нейтрально, не «email» и не «address», иначе браузер сам подставит туда данные и отсечёт живого клиента.

Ограничение частоты. С одного адреса не больше нескольких отправок за десять минут. Это настраивается на сервере, в панели хостинга или в защитном сервисе. Живой клиент так часто не пишет.

Проверка на сервере. Сервер сам смотрит, что пришло: телефон похож на телефон, текст не состоит из одной ссылки. Проверка в браузере только подсказывает человеку, где ошибся, бот её обходит. Ещё один дешёвый приём: засечь время между показом формы и отправкой. Если прошло меньше двух-трёх секунд, это скорее всего скрипт.

Капча без раздражения

Картинки со светофорами прогоняют часть клиентов, особенно с телефона. Есть проверки, где человек почти ничего не делает. У Cloudflare Turnstile три режима: управляемый, который сам решает, показывать ли галочку, неинтерактивный и невидимый. По документации, Turnstile можно поставить на любой сайт, и трафик через Cloudflare для этого пускать не нужно.

Важная деталь: виджет выдаёт токен, а решение принимает ваш сервер. Он отправляет токен на адрес проверки Cloudflare вместе с секретным ключом и узнаёт, настоящий ли он. Токен живёт 300 секунд и проверяется один раз. Если сервер токен не проверяет, капча на странице ничего не защищает.

У российских сервисов есть аналоги, например Яндекс SmartCaptcha с невидимым режимом, который показывается только подозрительным запросам. Как виджет Cloudflare грузится у ваших клиентов с их провайдерами, я не измерял, проверьте сами.

Что даёт Cloudflare и подобные прокси

Это посредник между посетителем и вашим сервером. Весь трафик идёт через него.

Фильтровать ботов. На бесплатном тарифе есть Bot Fight Mode: он распознаёт известные шаблоны ботов и выдаёт им проверки. Есть и ограничение частоты, но на бесплатном тарифе по документации одно правило, счёт только по адресу, окно 10 секунд.

Скрывать настоящий адрес сервера. Атакующий видит адрес прокси, а не ваш, пока старые DNS-записи, почта или поддомены не выдают реальный IP.

Кэшировать. Картинки, стили и скрипты отдаются с ближайших узлов, сервер разгружается. Как это работает, разобрано в статье про кэш и CDN простыми словами.

Как подключают

В панели Cloudflare добавляют домен и проверяют перенесённые DNS-записи, особенно почтовые: MX, SPF, DKIM. Потом у регистратора меняют серверы имён на два, которые выдал Cloudflare.

У каждой записи есть режим. Оранжевое облако значит, что трафик идёт через прокси. Серое значит, что Cloudflare только отвечает на DNS-запросы. Для шифрования между Cloudflare и вашим сервером нужен режим Full (Strict): он проверяет сертификат сервера, и документация рекомендует именно его.

Что важно учесть в России

С 9 июня 2025 российские операторы ограничивают трафик к сетям Cloudflare. По заявлению самой компании, посетитель получает первые 16 КБ ресурса, и страница не загружается. Cloudflare писала, что исправить это со своей стороны не может, и по сообщениям в апреле 2026 года ограничения сохраняются. В апреле 2025 года Роскомнадзор рекомендовал российским сайтам отказаться от расширения TLS ECH у Cloudflare и использовать отечественные CDN. Для сайта с российскими клиентами это риск: защита может сделать сайт недоступным для части посетителей. Проверьте с мобильного интернета нескольких операторов, до того как менять серверы имён.

Второй вопрос касается персональных данных. Часть 5 статьи 18 закона 152-ФЗ требует, чтобы запись и хранение персональных данных граждан РФ при сборе шли в базах на территории России. Прокси не хранит вашу базу заявок, но через него проходит весь трафик, включая формы. В политике Cloudflare сказано, что она собирает IP-адреса и данные о трафике, хранит их в основном в США и Европе и считает ответственным за соблюдение законов владельца сайта. Считается ли это нарушением, скажет юрист. Как устроено требование, описано в статье про локализацию баз данных.

Российские варианты есть: защита от DDoS и CDN у отечественных хостеров и облаков, о них в обзоре российских облаков и хостинга. Конкретные сервисы я не тестировал, условия сравнивайте по договору.

Где защита не сработает

Спам вручную от людей за копейки ни одна капча не остановит. Продвинутые боты решают капчи через платные сервисы. Слишком строгие правила блокируют настоящих клиентов, у части людей капча вызывает раздражение, и они уходят. Фильтр ботов может задеть и ваши собственные интеграции. Цель убрать основную массу мусора и не потерять живые заявки.

Что можно сделать уже сейчас

Первое. Посчитайте за неделю долю мусорных заявок. Без этой цифры нечего сравнивать после настроек.

Второе. Добавьте поле-ловушку, проверку на сервере и лимит отправок. Это бесплатно и не ломает форму для людей.

Третье. Если сайт на конструкторе, найдите в настройках формы встроенную защиту от спама. Если её нет, поставьте капчу отдельным блоком.

Четвёртое. Если аудитория российская и есть сомнения по данным, выбирайте отечественную CDN или защиту. Если сайт ложится в пик, разберём и настроим защиту под вашу нагрузку.

Частые вопросы

Хватит ли одной капчи?

Нет. Если сервер не проверяет ответ капчи, бот отправит форму в обход. Поле-ловушка и лимит закрывают то, что капча пропустила.

Можно ли подключить Cloudflare и сразу перестать думать о безопасности?

Нет. Прокси снижает нагрузку и режет часть ботов, но уязвимости самого сайта, слабые пароли и утечку реального адреса сервера он не исправляет. Общий список проверок есть в чек-листе безопасности сайта.

Обязательно ли вообще защищать форму?

Если заявок единицы и спама нет, ничего ставить не нужно.

Коротко о главном

Основную массу спама убирают дешёвые меры: ловушка, лимит, проверка на сервере и невидимая капча. Cloudflare даёт фильтр и кэш, но для российской аудитории сначала нужно проверить доступность сайта и вопрос с персональными данными.

Форма завалена мусором или сайт падает в пик? Напишите мне в Telegram слово «ЩИТ». Посмотрим, откуда идёт спам, и подберём защиту под ваш сайт и аудиторию.