Как боты занимают расписание
Захват слотов редко похож на атаку. Это может быть скрипт конкурента, который бронирует время популярных врачей и не приходит, перекупщик записи к узким специалистам или просто ошибка в интеграции агрегатора. В журнале видно одно и то же: десятки броней на разные имена с одного устройства или подсети, бронирование сразу после появления новых слотов в расписании, отмены перед самым приёмом.
Чек-лист для онлайн-записи
- Лимит на число активных записей с одного устройства и номера телефона.
- Проверка браузера перед отправкой формы записи (
/zapis,/api/appointments) для подозрительных источников. - Лимит на отправку SMS-кодов подтверждения — иначе рассылку используют для SMS-бомбинга.
- Защита входа в кабинет пациента от подбора паролей.
- Кэш для страниц врачей, услуг и цен, чтобы всплеск трафика не мешал записи.
Интеграции, которые нельзя ломать
| Интеграция | Что нужно учесть |
|---|---|
| Медицинская информационная система (МИС) | Обмен расписанием и записями идёт без браузера: исключение по адресам или ключу |
| Запись через Госуслуги и ЕГИСЗ | Обычно идёт через МИС, а не через сайт; проверьте, нет ли обращений к вашему домену |
| Агрегаторы записи к врачу | Отдельный ключ и лимит для каждого партнёра |
| Телемедицина | WebSocket-соединения видеоконсультаций не должны обрываться проверкой |
| Лаборатория и результаты анализов | Загрузка PDF в кабинет — лимит на скачивание, без кэша |
Медицинские данные в журналах
Медицинские сведения относятся к особой категории персональных данных. Журналы запросов хранятся в России, доступ к ним выдаётся только нужным сотрудникам, а тела запросов к кабинету пациента можно не записывать. Подробнее — в статье о 152-ФЗ и защите от DDoS.
Вопросы и ответы
Пациенты старшего возраста справятся с проверкой?
Проверка браузера проходит автоматически и без капчи, от пациента ничего не требуется. Включается она для подозрительных источников, а не для всех.
Сайт сети клиник на нескольких доменах можно защитить вместе?
Да, домены подключаются в одном кабинете с общими правилами и отдельными настройками записи для каждого филиала.
Можно ли не пропускать через фильтр кабинет пациента?
Можно, но тогда его адрес и сервер остаются открытыми для атак. Обычно лучше пропускать трафик через фильтр и отключить запись тел запросов в журнал.
Читайте также
- АтакиСкальпинг и бронирование ботамиВыкуп билетов и дефицитных товаров ботами
- База знанийЗащита от DDoS и 152-ФЗ о персональных данныхПерсональные данные, локализация и договор
- ВозможностиЗащита формы входа от перебора паролейОтражение перебора и подстановки паролей из утечек
- АтакиСпам форм, накрутка заявок и SMS-бомбингФальшивые заявки, регистрации и расходы на SMS