Попробовали ловить бот-трафик через honeypot: можно ли верить результатам и что теперь делать?

Если прятали через display: none или visibility: hidden, современные боты парсят стили и легко это обходят. В ловушку попадаются либо совсем примитивные скрипты, либо читалки для доступности. Лучше уводить блок за пределы экрана (через text-indent или абсолютное позиционирование) и вешать aria-hidden — ложных срабатываний станет в разы меньше.

Мы в прошлом году делали похожий honeypot. Сели разбирать первые 800 пойманных IP — оказалось, 120 из них принадлежали общим шлюзам наших крупных B2B-клиентов. Забанили бы скопом — отрезали бы трех крупнейших дилеров от заказов.

edit: писал с телефона, извините за опечатки.

Один только honeypot от современных парсеров уже не спасает. Нормальные скрейперы цен работают через headless-браузеры и кликают только по реально видимым элементам. Ваши 1.400 IP — это, скорее всего, фоновый шум и сканеры сети, а те кто реально ворует данные в эту ловушку даже не наступили.

Вместо прямого 403 Forbidden отдавайте пойманным IP проверку на Javascript на уровне сервера. Человек в браузере пройдет ее за долю секунды и не заметит а простой скрипт на python или curl без поддержки JS упрется в стену и перестанет грузить сервер.

Главное — без паники, не баньте IP наглухо. В Турции везде CGNAT, заблокировав один адрес бота из динамического пула, вы можете случайно отрезать сотни обычных пользователей из домов и офисов. Оценивайте поведение сессии, а не голый IP.

исправление: ошибся в цифре, было чуть меньше.

у нас так поисковый бот попался чуть страницы из индекса не вылетели, без проверки rdns вообще ничего на сервере не блокируйте

А на скрытой ссылке в футере стоял rel="nofollow"? В robots.txt вы этот URL закрыли через Disallow? Если в robots.txt пути нет, поисковики абсолютно закономерно по нему пойдут.

Вместо невидимых полей в форме лучше поставьте проверку по времени: если форму отправили быстрее чем за 2 секунды, это почти со стопроцентной вероятностью бот.

Полностью согласен. Когда пытаешься изменить всё сразу ничего не приживается.

Удачи.

Спасибо это именно то что я искал.

В прошлом году мы столкнулись практически с тем же самым. Спешка в решениях оборачивается исправлениями через полгода.

Не полагайтесь на одну меру защиты; действуйте слоями. Удачи.

Вы правы.

Согласен, хочу даже особо подчеркнуть. Прежде чем принимать решение посмотрите какие данные у вас есть.

Исправьте, если я ошибаюсь.

сохранил.

Отличная работа. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент. Исправьте, если я ошибаюсь.

Мне тоже интересно.

Как думаете, это сработает в любом масштабе? Две недели ведения заметок дают лучший результат чем шестимесячные прогнозы.

Конечно если ваша ситуация отличается всё меняется.

Отличная работа.