Защита интернет-магазина: корзина и оформление заказа работают во время атаки

Где у магазина узкие места

• Поиск и фильтры каталога. Каждая комбинация параметров вроде /catalog/?color=red&sort=price — уникальный запрос, который не попадает в кэш и идёт в базу данных. Это любимый приём обхода кэша.
• Корзина и оформление. Запросы к /cart и /order всегда динамические, и атака на них бьёт прямо по выручке.
• Цены и остатки. Конкуренты парсят карточки товаров по расписанию, иногда несколько раз в час.
• Платёжная форма. На ней проверяют украденные карты — это кардинг, за который расплачивается магазин возвратами и претензиями эквайера.
• Личные кабинеты. Подстановка паролей ради бонусных баллов и сохранённых адресов.

Карта правил по разделам

Как парсер выглядит в журнале

Типичная картина — сотни сессий, каждая из которых открывает только карточки товаров, без картинок, стилей и переходов в корзину, с ровным интервалом между запросами. Адреса при этом разные, часто из резидентных прокси, поэтому блокировка по IP почти не помогает, а лимит на сессию и проверка браузера — помогают.

Подготовка к распродаже

Чёрная пятница и праздничные распродажи — время самых высоких продаж, и именно тогда уронить сайт выгоднее всего. Настройки стоит проверить в обычный день: пройти оформление заказа целиком, убедиться, что вебхуки оплаты доходят, а на время распродажи включить повышенную чувствительность для корзины и оформления. Чек-лист — в статье об устойчивости сайта.

Поисковые системы и маркетплейсы

Роботы Яндекса и Google определяются по проверенным адресам и проходят без проверок: если поисковик несколько дней не может обойти каталог, позиции начинают проседать. Товарный фид для агрегаторов лучше отдавать отдельным файлом, а не заставлять их парсить витрину.