# Защита сайта от DDoS-атак: что может сделать владелец

URL: https://chugunov.pro/zashchita-sajta-ot-ddos/
Обновлено: 01.10.2026.
Источник: chugunov.pro.

## Коротко

Для большинства сайтов защита от DDoS строится не на одной волшебной кнопке, а на трёх уровнях: хостинг или внешний сервис фильтрации трафика, настройки веб-сервера и порядок в самом движке. Владелец сайта не может остановить мощную атаку своими силами, но может заранее выбрать площадку с защитой, подключить фильтрацию через DNS, ограничить частоту запросов и убрать уязвимые места, по которым бьют чаще всего.

Небольшой корпоративный сайт или магазин на WordPress и 1С-Битрикс чаще страдает не от гигантских атак, а от «мелких» наплывов ботов: перебор паролей, спам в формы, агрессивные парсеры, запросы к поиску и фильтру каталога. Их отсекают настройками, и это под силу любому хорошему разработчику. От крупных атак спасает только внешний сервис фильтрации.

| Уровень | Что защищает | Кто настраивает | Когда нужен |
| --- | --- | --- | --- |
| Хостинг с защитой | Сеть и сервер от «забивания» канала | Хостинг-провайдер | Всегда, это базовый уровень |
| Внешний сервис фильтрации (прокси, CDN) | Сайт от атак на уровне HTTP | Владелец и разработчик | Магазины, сайты с рекламой, конкурентные ниши |
| Настройки веб-сервера | Лимиты запросов, блокировки | Разработчик или админ | Всегда |
| Настройки CMS | Формы, вход, поиск, тяжёлые страницы | Разработчик | Всегда |
| План действий | Скорость реакции во время атаки | Владелец | Всегда |

## Основная мысль

**DDoS-атака бьёт не по коду сайта, а по его ресурсам, поэтому защищаются от неё там, где эти ресурсы кончаются: в сети, на сервере и в самых тяжёлых страницах движка, и лучше всего это делать до атаки, а не во время неё.**

DDoS — это распределённая атака на отказ в обслуживании. Множество устройств одновременно отправляют запросы к сайту, пока сервер или канал связи не перестают справляться. Для посетителя это выглядит как очень медленный сайт, ошибки 502 и 503 или полная недоступность. Данные при этом обычно не крадут, но магазин не принимает заказы, а реклама тратит бюджет впустую.

Защита делится на то, что делает провайдер, и то, что делает владелец. Провайдер отвечает за сеть и фильтрацию на входе. Владелец отвечает за выбор провайдера, за настройки сервера и CMS, за резервные копии и за то, чтобы в момент атаки было понятно, кому звонить.

Отдельный вопрос — цена. Защита от DDoS не бывает «навсегда и бесплатно»: чем выше риск, тем серьёзнее нужен сервис. Но базовый уровень, который отсекает большинство бытовых атак ботов, настраивается за несколько часов работы и не требует дорогих подписок.

## Как понять, что сайт под DDoS-атакой

Не каждое падение сайта — атака. Сайт может лечь из-за обновления плагина, закончившегося места на диске или ошибки в коде. Прежде чем тратить деньги на защиту, нужно убедиться, что причина действительно во внешнем трафике.

### Признаки атаки

- Сайт резко замедлился или отдаёт ошибки 502, 503, 504, хотя в коде и настройках ничего не меняли.
- В Яндекс Метрике нет роста реальных визитов, а нагрузка на сервер растёт: запросы идут от ботов, которые не выполняют JavaScript.
- В журналах доступа веб-сервера тысячи запросов с одних и тех же IP-адресов или подсетей, однотипные User-Agent, запросы к одной и той же странице.
- Хостинг присылает уведомления о превышении нагрузки или временно блокирует аккаунт.
- Нагрузка растёт волнами: сайт «оживает» на несколько минут и снова падает.

### Как отличить атаку от обычной поломки

Откройте журналы доступа (access log) в панели хостинга. Если в них видно резкое увеличение числа запросов, а среди них много одинаковых — это внешний трафик. Если запросов обычное количество, но сервер отвечает ошибкой, проблема внутри сайта: в плагине, модуле, базе данных или конфигурации. Про такие случаи подробно написано в статье об [ошибках 500, 502 и 503](https://chugunov.pro/oshibka-500-502-503-na-sajte/).

| Симптом | Скорее атака | Скорее внутренняя ошибка |
| --- | --- | --- |
| Число запросов в логах | Выросло в разы | Обычное |
| Источники запросов | Много однотипных IP и User-Agent | Реальные посетители |
| Реакция на отключение плагинов | Не помогает | Помогает |
| Ошибки в error log | Таймауты, нехватка процессов | Конкретная PHP-ошибка в файле |
| Метрика | Визитов почти не прибавилось | Визиты есть, но с отказами |

### Какие бывают атаки

Упрощённо атаки делят на два типа. Сетевые забивают канал связи и сервер «мусорными» пакетами — с ними справляется только провайдер или внешний сервис фильтрации. Атаки на уровне приложения (HTTP-флуд) выглядят как обычные запросы к страницам, но их очень много, и каждая заставляет PHP и базу данных работать. С ними можно бороться и на уровне сервера, и на уровне CMS.

Для владельца небольшого сайта второй тип встречается гораздо чаще. Именно поэтому базовые настройки сервера и движка так важны: они отсекают значительную часть «бытовых» атак без внешних сервисов.

## Защита сайта от DDoS-атак: три уровня

Надёжная схема строится снаружи внутрь. Чем раньше отсекается плохой трафик, тем меньше ресурсов тратит сервер.

### Уровень 1. Хостинг и сеть

Первое, что определяет устойчивость сайта, — площадка. У многих хостинг-провайдеров есть базовая фильтрация сетевых атак, у некоторых — отдельные тарифы с расширенной защитой. На виртуальном хостинге атака на соседний сайт может задеть и ваш, поэтому для магазинов и проектов с рекламой лучше VPS или выделенный сервер у провайдера, который прямо пишет о защите от DDoS в описании услуг.

Что спросить у хостинга:

1. Есть ли фильтрация DDoS-атак и на каком уровне: только сетевые атаки или HTTP тоже.
2. Что происходит с сайтом при атаке: фильтрация или временная блокировка IP-адреса.
3. Входит ли защита в тариф или подключается отдельно.
4. Как быстро отвечает поддержка и в каком канале.

Подробнее о выборе площадки — в статье о [хостинге для WordPress и 1С-Битрикс](https://chugunov.pro/hosting-dlya-wordpress-i-bitriks/).

### Уровень 2. Внешний сервис фильтрации трафика

Сервис защиты работает как прокси: DNS-записи домена направляют на него, он принимает весь трафик, отсеивает ботов и передаёт серверу только чистые запросы. Реальный IP-адрес сервера при этом скрыт. На рынке есть российские и зарубежные сервисы, часть из них совмещает защиту с CDN для ускорения статики.

При выборе смотрите на несколько вещей: есть ли точки присутствия в России, работает ли сервис с вашими платёжными и почтовыми сервисами, можно ли задать правила фильтрации самостоятельно, как устроена поддержка. Тарифы и условия меняются, поэтому актуальные цены смотрите на сайтах сервисов.

Важная деталь: после подключения прокси нужно закрыть прямой доступ к серверу по IP. Если старый адрес остался в DNS-записях поддоменов, в истории DNS или в заголовках писем, атакующий ударит в обход защиты. Поэтому при подключении защиты часто меняют IP-адрес сервера.

### Уровень 3. Веб-сервер и CMS

Даже за прокси-сервисом полезно ограничить частоту запросов на самом сервере и разгрузить движок. Это уровень, который целиком в руках владельца и разработчика, и о нём подробно дальше.

## Настройки сервера: что можно сделать своими руками

Если у вас VPS или выделенный сервер, базовые ограничения настраиваются в конфигурации веб-сервера. На виртуальном хостинге доступ к ним ограничен, и часть функций включают через панель или поддержку.

### Ограничение частоты запросов в nginx

В nginx есть модуль ограничения запросов. Зона задаётся в блоке http, а применяется в нужном location:

```
http {
limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
}

server {
location / {
limit_req zone=perip burst=20 nodelay;
}
}
```

Здесь с одного IP-адреса разрешено в среднем 10 запросов в секунду с запасом в 20 запросов на всплески. Значения подбирают под конкретный сайт: слишком жёсткие лимиты заблокируют реальных посетителей, особенно тех, кто сидит за общим IP мобильного оператора или офиса. Для страниц входа, поиска и форм лимиты обычно делают строже, чем для каталога.

### Отдача статики и кэш

Чем меньше запросов доходит до PHP, тем дольше сайт держится под нагрузкой. Статику — картинки, CSS, JS — должен отдавать nginx напрямую или CDN, а страницы — по возможности из кэша. В 1С-Битрикс для этого есть композитный сайт и кэширование компонентов, об этом — в статье про [кэш в 1С-Битрикс](https://chugunov.pro/kesh-v-bitriks/). В WordPress — плагины страничного кэша или серверный кэш на уровне хостинга.

### Блокировки по IP и странам

Если атака идёт из ограниченного набора подсетей, их блокируют на уровне сервера или прокси-сервиса. Блокировку целых стран применяют осторожно: под неё попадают реальные клиенты, путешественники и поисковые роботы. Разумнее включить для таких стран дополнительную проверку, а не полный запрет.

### Что обязательно проверить на сервере

- Актуальная версия PHP и настроенный пул процессов PHP-FPM, чтобы один тяжёлый запрос не занимал все процессы.
- Таймауты соединений: долгие «висящие» соединения съедают ресурсы.
- Журналы доступа и ошибок включены и хранятся хотя бы несколько дней.
- Мониторинг доступности с уведомлением в мессенджер или на почту.

## Защита на уровне WordPress и 1С-Битрикс

Атаки на уровне приложения бьют в самые тяжёлые места сайта. В CMS их легко найти, и их нужно укрепить в первую очередь.

### Самые уязвимые места движка

| Место | Почему нагружает | Что сделать |
| --- | --- | --- |
| Страница входа в админку | Перебор паролей, каждый запрос — обращение к базе | Лимит попыток, двухфакторная авторизация, защита по IP |
| Поиск по сайту | Сложные запросы к базе | Капча или лимит, кэш результатов |
| Фильтр каталога | Тысячи комбинаций параметров | Кэш фильтра, запрет индексации мусорных комбинаций |
| Формы | Спам, отправка писем | Капча, скрытые поля, лимиты |
| Корзина и оформление заказа | Не кэшируются | Ограничение частоты запросов |
| xmlrpc.php в WordPress | Массовые запросы и перебор паролей | Отключить, если не используется |

### WordPress

В WordPress чаще всего атакуют wp-login.php и xmlrpc.php. Если мобильное приложение WordPress и удалённая публикация не используются, xmlrpc.php закрывают на уровне сервера или плагином. Для страницы входа включают ограничение числа попыток, двухфакторную авторизацию и, если это возможно, доступ только с определённых IP-адресов.

Плагины безопасности умеют ограничивать частоту запросов и блокировать подозрительные IP, но работают внутри PHP. Когда запрос дошёл до плагина, сервер уже потратил ресурсы на его обработку. Поэтому плагин — это дополнительный слой, а не замена фильтрации на сервере или прокси.

### 1С-Битрикс

В 1С-Битрикс есть модуль «Проактивная защита». В нём есть проактивный фильтр (защита от типовых атак на уровне запросов), контроль активности, который ограничивает число запросов с одного адреса за интервал, блокировка IP-адресов и одноразовые пароли для администраторов. Настройки находятся в административном разделе «Настройки» → «Проактивная защита». Модуль полезен против бытового флуда и перебора паролей, но не защитит от мощной сетевой атаки.

Кроме того, в Битриксе тяжёлые места — умный фильтр каталога и поиск. Кэширование компонентов и композит снимают значительную часть нагрузки, а запрет индексации лишних комбинаций фильтра убирает «легальную» нагрузку от роботов.

### Формы и спам

Боты, которые массово отправляют формы, могут положить почту сайта и перегрузить сервер. Капча, скрытые поля-ловушки и проверка времени заполнения формы отсекают большую часть такого трафика. Варианты для обоих движков разобраны в статье о [капче на сайте](https://chugunov.pro/kapcha-na-sajt/).

## Аудит безопасности сайта перед атакой

Лучшее время готовиться к DDoS — когда его нет. Аудит безопасности сайта показывает, насколько сайт устойчив к нагрузке и взлому, и что нужно поправить в первую очередь.

### Что входит в проверку

1. Где размещён сайт, есть ли защита у хостинга, открыт ли реальный IP сервера.
2. DNS-записи: не «светят» ли поддомены и почта прямой IP-адрес.
3. Версии PHP, CMS, модулей и плагинов, наличие известных уязвимостей.
4. Настройки веб-сервера: лимиты, таймауты, отдача статики, кэш.
5. Страницы входа, поиск, формы и фильтр: есть ли защита от перебора и флуда.
6. Резервные копии: как часто делаются, где хранятся, проверялось ли восстановление.
7. Мониторинг: кто и как узнаёт о падении сайта.

### Нагрузочное тестирование

Иногда полезно проверить, сколько запросов выдерживает сайт. Такое тестирование проводят только на своём сайте, с согласия хостинга и в нерабочее время. Оно показывает самые медленные страницы и потолок нагрузки, после которого сайт начинает отдавать ошибки. Запускать «нагрузку» на чужие ресурсы нельзя ни при каких условиях.

### Резервные копии

DDoS сам по себе данные не удаляет, но атаки иногда совпадают со взломом или отвлекают внимание от него. Кроме того, во время аварийного переезда на другой сервер без свежей копии не обойтись. Как организовать копирование на обоих движках, написано в статье про [резервное копирование сайта](https://chugunov.pro/rezervnoe-kopirovanie-sajta/).

## План действий во время атаки

Когда сайт уже лежит, важна последовательность. Хаотичные действия — перезагрузка сервера каждые пять минут, отключение всех плагинов подряд — только затягивают простой.

### Пошагово

1. Проверьте, что сайт недоступен не только у вас: откройте его с мобильного интернета и через сервис проверки доступности.
2. Напишите в поддержку хостинга: они видят трафик на уровне сети и могут включить фильтрацию или подсказать источник.
3. Посмотрите журналы доступа: какие URL запрашивают, с каких IP и подсетей, какие User-Agent.
4. Если атака идёт на одну страницу или с небольшого числа адресов, временно закройте их на уровне сервера.
5. Если есть сервис фильтрации, включите в нём усиленный режим проверки посетителей.
6. Если сервиса нет, а атака мощная, подключите его: сменить DNS можно за короткое время, но обновление записей у провайдеров занимает часы.
7. Приостановите рекламные кампании, чтобы бюджет не уходил на недоступный сайт.
8. После атаки разберите, что сработало, и закрепите настройки.

### Что сказать клиентам

Если сайт недоступен долго, предупредите клиентов в соцсетях и мессенджерах, дайте телефон для заказов. Это сохранит часть продаж и доверие. Поисковые системы переносят кратковременную недоступность спокойно, а многодневная может сказаться на позициях.

## Сценарии: что нужно разным сайтам

Объём защиты зависит от того, насколько сайт важен для бизнеса и насколько вероятна атака.

### Сайт-визитка или небольшой корпоративный сайт

Достаточно надёжного хостинга с базовой фильтрацией, актуальных версий CMS, защиты входа и форм, резервных копий и мониторинга. Отдельный платный сервис фильтрации обычно не нужен, пока нет признаков целенаправленных атак.

### Интернет-магазин

Каждый час простоя — это потерянные заказы. Здесь нужен VPS или сервер у провайдера с защитой, кэш каталога, лимиты на поиск и фильтр, защита оформления заказа и, как правило, внешний сервис фильтрации. Мониторинг должен будить ответственного, а не присылать отчёт раз в сутки.

### Сайт в конкурентной нише

Сервисы экстренной помощи, юридические услуги, медицина, продажа билетов — ниши, где атаки заказывают конкуренты. Здесь стоит сразу подключить сервис фильтрации и скрыть реальный IP, а также заранее договориться с разработчиком о порядке действий.

## Типичные ошибки и на чём опасно экономить

Самые дорогие ошибки допускают не во время атаки, а задолго до неё.

- **Реальный IP-адрес «светится»**. Защиту подключили, но поддомен или почтовый сервер остался на старом IP. Атака идёт в обход.
- **Защита только плагином**. Плагин работает внутри PHP и сам тратит ресурсы на каждый запрос. Против серьёзного флуда он бесполезен.
- **Слишком жёсткие лимиты**. Блокируются реальные посетители, поисковые роботы и платёжные сервисы, которые присылают уведомления об оплате.
- **Блокировка поисковых роботов**. Правила по User-Agent и странам настраивают так, чтобы не задеть Яндекс и Google.
- **Нет журналов и мониторинга**. Без логов невозможно понять, что происходит, а без мониторинга о падении узнают от клиентов.
- **Старые версии CMS и PHP**. Устаревший движок и медленнее, и уязвимее: атака на отказ часто совмещается с попыткой взлома.
- **Экономия на хостинге**. Самый дешёвый тариф виртуального хостинга не выдержит даже умеренного наплыва ботов.

### Чек-лист защиты

- Хостинг с фильтрацией DDoS или внешний сервис защиты.
- Реальный IP сервера скрыт, прямой доступ по IP закрыт.
- Ограничение частоты запросов на сервере.
- Статика отдаётся сервером или CDN, страницы — из кэша.
- Защищены вход в админку, поиск, фильтр и формы.
- Актуальные версии PHP, CMS, модулей и плагинов.
- Резервные копии хранятся вне сервера, восстановление проверено.
- Мониторинг доступности с уведомлениями.
- Записан план действий и контакты поддержки хостинга.

## Частые вопросы

### Какие сайты защита от DDoS нужна в первую очередь?

Интернет-магазинам, сайтам с платной рекламой, сервисам с личным кабинетом и проектам в конкурентных нишах. Для визитки хватает базовой фильтрации хостинга и настроек CMS.

### Можно ли защитить сайт от DDoS бесплатно?

Базовый уровень — да: лимиты на сервере, кэш, защита входа и форм, актуальные версии. У некоторых сервисов фильтрации есть бесплатные тарифы с ограничениями. От мощных атак бесплатно не защититься.

### Защищает ли хостинг от DDoS автоматически?

Многие провайдеры фильтруют сетевые атаки, но атаки на уровне HTTP часто проходят. Уточните у поддержки, что именно входит в ваш тариф.

### Поможет ли плагин безопасности в WordPress?

Против перебора паролей и небольшого флуда — да. Против серьёзной атаки — нет, потому что запрос уже дошёл до PHP.

### Есть ли защита от атак в 1С-Битрикс?

Есть модуль «Проактивная защита» с фильтром запросов, контролем активности и блокировкой IP. Он закрывает типовые угрозы, но сетевую атаку отражает только провайдер или внешний сервис.

### Что делать, если сайт уже упал?

Написать в поддержку хостинга, проверить журналы доступа, заблокировать источники, включить усиленную проверку в сервисе фильтрации, приостановить рекламу. Подробный порядок — в разделе с планом действий выше.

### Повлияет ли атака на позиции в поиске?

Кратковременная недоступность обычно проходит без последствий. Если сайт лежит несколько дней, страницы могут временно выпасть из поиска.

### Что даёт аудит безопасности сайта?

Список уязвимых мест: открытый IP, устаревшие версии, незащищённые формы и вход, отсутствие копий и мониторинга. По нему видно, что исправить в первую очередь и какой уровень защиты нужен.

### Как часто проводить проверку?

После запуска, после крупных доработок и переезда на другой сервер, а также хотя бы раз в год. Если сайт уже атаковали — сразу после атаки.

### Замедлит ли сервис защиты работу сайта?

Хороший сервис с точками присутствия в России почти не добавляет задержки, а за счёт кэширования статики может даже ускорить сайт. Проверьте скорость до и после подключения.

## Итог

Защита сайта от DDoS-атак — это набор слоёв: хостинг с фильтрацией, внешний сервис для рискованных проектов, лимиты на сервере и укреплённые слабые места в WordPress или 1С-Битрикс. Каждый слой отсекает свою часть плохого трафика, и вместе они дают сайту шанс работать даже под атакой.

Начинать стоит с аудита: он покажет, где сайт уязвим и сколько стоит закрыть эти места. Большинство мер недорогие и настраиваются один раз, а экономят дни простоя и потерянные заказы.

Если сайт уже атакуют или вы хотите подготовиться заранее, я как частный разработчик на WordPress и 1С-Битрикс проведу аудит, настрою сервер, защиту движка и мониторинг, а при необходимости помогу подключить фильтрацию трафика. Работаю напрямую, без посредников — подробнее на странице [защиты и лечения сайта](https://chugunov.pro/uslugi/lechenie-sajta-ot-virusov/).

- 19.10.2026

## Связанное на сайте

- Справочник API [Справочник API 1С-Битрикс](https://chugunov.pro/api-bitrix/)
- Справочник API [Справочник API WordPress](https://chugunov.pro/api-wordpress/)

Автор статьи [Чугунов Алексей](https://chugunov.pro/about/) Fullstack-разработчик: 1С-Битрикс, WordPress, PHP
[Обо мне](https://chugunov.pro/about/)

Рубрики блога

- [Продажи](https://chugunov.pro/category/sales/) 17
- [Продвижение](https://chugunov.pro/category/prodvizhenie/) 22
- [Создание сайтов](https://chugunov.pro/category/sozdanie-sajtov/) 75
- [Интересное](https://chugunov.pro/category/interesnoe/) 13

Остались вопросы?

Отправьте сообщение, и я свяжусь с вами в ближайшее время

Или звоните, сразу обсудим детали.

[+7 (915) 016-99-88](tel:79150169988)