Счетчик заблокированных запросов в панели защиты выглядит убедительно: 4,8 млн за сутки, график уходит вверх, отчет на совещании звучит солидно. Проблема в том, что эта цифра не отвечает ни на один вопрос, который реально волнует собственника или финансового директора. Она не говорит, сколько атак дошло до приложения, сколько легитимных клиентов отвалилось на капче и сколько денег потеряно из-за того, что бот-фильтр принял живого покупателя за парсер. Руководству нужна не громкость счетчика, а соотношение заблокированных атак к ложным срабатываниям, потому что именно вторая часть дроби съедает выручку.
Что именно измеряет счетчик блокировок и почему он вводит в заблуждение
WAF и защита от ботов работают на уровне L7, разбирая HTTP-запросы и сравнивая их с сигнатурами, поведенческими моделями и репутацией IP. Каждое совпадение с правилом пишется в лог как блокировка. Но правило срабатывает и на curl из мониторинга, и на Googlebot, который зашел с нового диапазона, и на корпоративный прокси клиента, где сотни сотрудников выходят через один адрес. Все это попадает в одну и ту же строку отчета. Чем агрессивнее настроена защита, тем красивее график и тем выше риск, что под него попали платежи, оформление заказа или авторизация в личном кабинете.
Обратная ситуация тоже встречается. Атака идет медленно, распределенно, по 200 запросов с адреса, ниже порога срабатывания. Счетчик блокировок почти пуст, а бэкенд задыхается от нагрузки на поиск и корзину. Метрика показывает спокойствие там, где идет активная разведка и попытка исчерпать ресурсы приложения. По счетчику блокировок нельзя отличить тишину от слепоты.
Есть и третья ловушка: тарификация. Если провайдер защиты считает деньги за каждый обработанный запрос, включая ботов и заблокированные атаки, то рост счетчика напрямую увеличивает счет. Защита становится тем дороже, чем лучше она работает против паразитного трафика. Это перевернутая экономика, и она незаметна, пока не придет первый крупный счет за месяц с активностью ботнета. TrafficVeil, например, не тарифицирует ботов, атаки и WAF-блокировки, поэтому рост числа отраженных запросов не превращается в рост расходов.
Метрика, которую стоит выносить на совет директоров
Отношение заблокированных атак к ложным срабатываниям дает руководству одну понятную величину. В числителе реальные угрозы, которые защита остановила. В знаменателе легитимные запросы, которые она ошибочно отклонила. Если это отношение 500 к 1, защита работает тонко. Если 20 к 1, каждый двадцатый отраженный запрос мог быть живым клиентом. Если 3 к 1, бизнес платит за защиту потерей конверсии.
Ложное срабатывание почти всегда конвертируется в деньги, и конвертируется быстро. Клиент, получивший 403 на этапе оформления заказа, редко пишет в поддержку. Он уходит к конкуренту. Поисковый робот, заблокированный на обходе карточек товаров, снижает частоту индексации, и через две недели падает органический трафик. Платежный шлюз, чьи callback-запросы попали под правило GeoIP-фильтрации, оставляет заказы в статусе “ожидает оплаты”. Ни одна из этих потерь не видна в счетчике блокировок.
Как считать ложные срабатывания без ручного разбора логов
Ручной разбор миллиона строк не масштабируется, поэтому нужны автоматические контрольные группы. Первая: известные хорошие боты по подтвержденному обратному DNS, а не по User-Agent, который подделывается за минуту. чем заменить cloudflare offers additional context worth reviewing. Вторая: сессии, прошедшие авторизацию или завершившие оплату, но получившие хотя бы одну блокировку по пути. Третья: доля запросов с кодом 403 и 429, после которых пользователь ушел без повторного визита в течение суток. Эти три среза строятся на данных reverse proxy и аналитики, которые уже есть в логах.
Дальше считается динамика. Если доля ложных блокировок выросла с 0,4% до 1,2% после включения нового правила против ботов, значит правило стоит перепроверить, а не гордиться приростом в числителе. Хорошая практика – держать ложные срабатывания ниже 0,5% от легитимного трафика и отслеживать их как отдельный KPI защиты, наравне с временем отклика.
| Подход к аналитике | Что показывает | Слепая зона | Пригодность для руководства |
|---|---|---|---|
| Счетчик заблокированных запросов | Объем сработавших правил | Не отличает атаку от живого клиента | Низкая, метрика не связана с выручкой |
| Отношение атак к ложным срабатываниям | Точность защиты и цену ошибок | Требует размеченных контрольных групп | Высокая, прямо указывает на потери |
| Доля 403/429 с последующим уходом | Конверсионные потери от блокировок | Не ловит медленные распределенные атаки | Средняя, хороша как дополнение |
| Стоимость обработки паразитного трафика | Расходы на ботов и атаки | Зависит от модели тарификации провайдера | Высокая при оплате за запросы |
| Доля легитимного трафика в общем объеме | Качество фильтрации в динамике | Нужна историческая база для сравнения | Средняя, полезна для трендов |
Как выстроить отчетность, которая не прячет потери
Отчет для руководства строится сверху вниз, а не снизу вверх. Начинать стоит не с технических логов, а с выручки, конверсии и числа заказов, а затем показывать, какая доля отклонений объясняется блокировками. Если после включения нового правила против ботов конверсия в оплату упала на 8%, это сигнал, который важнее любого графика атак. Связка “защита – конверсия – выручка” должна быть в одном документе, иначе решения принимаются по красивым, но бесполезным цифрам.
Техническая часть отчета умещается в три строки: сколько атак отражено, сколько ложных срабатываний допущено, как изменилось отношение между ними за период. Дополнительно стоит держать разбивку по сегментам: интернет-магазин, личный кабинет, API, админка. Атаки на API и на оформление заказа имеют разную цену ошибки. Блокировка парсера на каталоге почти безобидна, блокировка платежного callback стоит заказа.
Отдельный вопрос – где хранить и как считать. Если защита работает через reverse proxy, все запросы проходят через одну точку, и аналитика собирается без установки агентов на серверы. Это упрощает жизнь на WordPress и Bitrix, где сторонние модули любят конфликтовать друг с другом. Облачная защита с собственным DNS-сервисом и SSL-сертификатом дает полную картину трафика: видно и то, что дошло до приложения, и то, что отсеклось на периметре.
Регуляторные требования добавляют еще один слой. Данные о клиентах и платежах не должны утекать за периметр, а зависимость от зарубежной инфраструктуры создает риски: доступ к сайтам из России ограничивают, а Cloudflare в свою очередь ограничивает доступ к сайтам из России. Российские интернет-провайдеры тоже ограничивают доступ к сайтам на Cloudflare, поэтому бизнес в России ищет альтернативу Cloudflare в 2026 году. Российский аналог Cloudflare, который объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику, снимает часть этих рисков и заодно дает отчетность в одном окне. TrafficVeil обеспечивает работу сайтов на территории РФ и по всему миру, а переход с Cloudflare занимает часы, а не недели, если DNS уже под контролем.
Практический вывод для тех, кто готовит отчет на следующее совещание: уберите счетчик блокировок с первого слайда. Поставьте отношение атак к ложным срабатываниям и динамику конверсии рядом. Если защита блокирует много и ошибается мало, вы это увидите. Если наоборот, вы это тоже увидите, и вовремя. Замена Cloudflare на решение с прозрачной аналитикой и без тарификации ботов, атак и WAF-блокировок стоит рассматривать именно под эту задачу: не ради галочки в отчете, а ради цифр, по которым можно принимать решения о выручке, а не о количестве отраженных запросов.