Воронка заявки как мишень
Каждый шаг онлайн-заявки на займ стоит денег: проверка паспорта, запрос в бюро кредитных историй, скоринг, SMS. Скрипт, который отправляет тысячи заявок с подставными данными, бьёт не столько по серверу, сколько по бюджету и по качеству данных для скоринга. Поэтому лимиты ставят не на весь сайт, а на конкретные шаги: отправку анкеты, запрос кода, загрузку документов.
Где ставить лимиты
| Шаг | Пример пути | Риск | Ограничение |
|---|---|---|---|
| Запрос SMS-кода | /api/otp/send | Расходы на SMS и блокировка отправителя | Лимит на номер, устройство и источник |
| Анкета заявки | /api/application | Фальшивые заявки, платные проверки | Проверка браузера перед отправкой, лимит на сессию |
| Вход в кабинет | /login | Подстановка учётных данных | Лимиты по учётной записи и источнику |
| Восстановление доступа | /recover | Перебор номеров телефонов | Общий лимит на путь |
| Партнёрский API | /partner/api/* | Перегрузка, перебор идентификаторов | Ключи, лимиты по партнёру, список адресов |
Партнёры и интеграции
Лидогенераторы и брокеры присылают заявки через API, платёжные системы — уведомления о выдаче и погашении. Эти запросы идут без браузера и не должны проходить JavaScript-проверку. Для них заводят отдельные правила по ключу и адресам, а лимиты считают на каждого партнёра, чтобы ошибка в интеграции одного не мешала остальным. Подробности — в разделе о защите API.
Требования к данным
Фильтр обрабатывает HTTPS-трафик, то есть видит содержимое запросов, включая персональные данные. Поэтому узлы фильтрации и журналы размещаются в России, а доступ к журналам ограничен ролями. Подробнее — в разделе о защите персональных данных.
Вопросы и ответы
Можно ли не сохранять в журналах номера телефонов и паспортные данные?
Состав журналов согласуется при подключении: для путей с персональными данными разумно хранить только метаданные запроса — время, путь, источник и решение фильтра — без тела запроса.
Что делать, если SMS-бомбинг уже идёт?
Первым делом ограничить запрос кода по номеру и источнику и проверить расходы у SMS-провайдера. Подробнее — в разделе о спаме форм и SMS-бомбинге.
Подходит ли защита банку?
Для банков действуют отраслевые требования к средствам защиты. Применимость конкретно к вашей организации нужно разбирать до подключения.
Читайте также
- АтакиСпам форм, накрутка заявок и SMS-бомбингФальшивые заявки, регистрации и расходы на SMS
- ВозможностиЗащита API от DDoS, ботов и злоупотребленийЛимиты по ключам, схема запросов, защита мобильных приложений
- АтакиПодстановка учётных данных (credential stuffing)Проверка утёкших паролей на клиентских аккаунтах
- База знанийЗащита от DDoS и 152-ФЗ о персональных данныхПерсональные данные, локализация и договор