Сначала — что вам нужно защищать
Перед сравнением провайдеров ответьте себе на три вопроса. Что у вас есть: сайт, API для мобильного приложения, личные кабинеты, WebSocket. Чем грозит простой: потерянными заказами, штрафами по договорам, утечкой. Что уже было: если сайт атаковали, по журналам видно, чем — флудом страниц, перебором паролей, парсингом. Ответы определяют, нужна ли вам только сетевая защита хостинга или фильтрация запросов на уровне L7.
Вопросы, которые стоит задать
- От атак каких уровней защищает сервис: L3/L4, L7 или оба? Кто отвечает за каждый уровень?
- Где расположены узлы фильтрации и где хранятся журналы — в России или за рубежом?
- Как обрабатывается расшифрованный HTTPS-трафик и кто имеет к нему доступ?
- Есть ли режим наблюдения, чтобы проверить правила до включения блокировок?
- Как пропускаются поисковые роботы и ваши интеграции?
- Что видно в личном кабинете: только график или каждое сработавшее правило?
- Растёт ли цена во время атаки и есть ли плата за отражённый трафик?
- Какие гарантии доступности закреплены в договоре?
- Как быстро отвечает поддержка ночью и в выходные?
- Можно ли подключиться во время атаки и сколько это займёт?
- Как отключиться и вернуть трафик напрямую, если сервис перестанет устраивать?
- Помогает ли провайдер скрыть IP сервера и настроить передачу реального адреса посетителя?
Как читать ответы
- Цифры ёмкости без указания уровня атаки мало что говорят. Терабиты относятся к объёмным атакам на канал; для HTTP-флуда важнее, сколько запросов в секунду фильтр разбирает и как быстро включает правила.
- «100% защита» — повод насторожиться. Честный провайдер говорит о договорных гарантиях доступности и о том, что делать, если правило задело нужный трафик.
- Ложные срабатывания стоят денег так же, как атака: заблокированный платёжный вебхук или поисковый робот — это потерянные заказы и позиции. Спросите, как быстро добавляется исключение и видно ли причину блокировки.
- Выход из сервиса должен быть простым: смена DNS-записей и снятие ограничений на сервере, без привязки к чужим сертификатам и доменам.
Проверьте на практике
Подключите тестовый поддомен или включите режим наблюдения на основном сайте на неделю. Сравните журнал фильтра со своими журналами: какие запросы были бы заблокированы, не попали ли туда интеграции, 1С и поисковые роботы. Нагрузочную проверку согласуйте с провайдером заранее и проводите только на своих ресурсах.
Типы решений
Подробное сравнение подходов — CDN, сети фильтрации, WAF-плагины и защита на собственном сервере — на странице сравнения решений. Как устроена фильтрация в нашем сервисе — в разделе как это работает.
Вопросы и ответы
Достаточно ли защиты, которую даёт хостинг?
Сетевая защита хостинга, как правило, закрывает объёмные атаки на канал. От HTTP-флуда, перебора паролей и ботов она обычно не помогает: для неё это обычный трафик. Уточните у хостинга, что именно входит в его защиту.
Нужен ли WAF, если уже есть защита от DDoS?
Это разные задачи: защита от DDoS сохраняет доступность, WAF блокирует попытки взлома. Многие сервисы L7-фильтрации совмещают оба слоя — спросите, включён ли WAF и можно ли настраивать его правила.
Можно ли сменить провайдера защиты без простоя?
Да, если заранее подготовить новый фильтр и открыть сервер для его адресов. Переключение — смена DNS-записей; старые адреса закрываются после того, как трафик полностью перешёл.