Разработка модуля защиты от спама для 1С-Битрикс

Разработка модуля защиты от спама 1С-Битрикс

Форма обратной связи начинает принимать 200–300 спам-заявок в сутки. Менеджеры перестают доверять данным из формы и начинают пропускать реальные заявки. Сайт теряет конверсию, а обработка мусора отнимает часы работы — реальность e-commerce. Битрикс предлагает встроенную Google reCAPTCHA v2 через компонент form, но боты давно умеют её обходить с помощью сервисов решения капч. На высоконагруженных формах нужна многоуровневая защита. Мы разрабатываем модули для Битрикс более 5 лет и реализовали свыше 50 проектов защиты от спама, поэтому знаем, какие комбинации методов эффективны в разных нагрузках. Свяжитесь с нами для бесплатного аудита текущей защиты — определим слабые места и подберём конфигурацию.

Почему один метод не работает

Каждый способ защиты от спама имеет слабые места:

Эффективная защита — многоуровневая, где каждый метод перекрывает слабости других. Модуль, построенный на honeypot + rate limit, эффективнее одной капчи примерно в 10 раз по соотношению цена/качество. Согласно отчёту Spamhaus, более 85% спама генерируется ботами.

Архитектура модуля

Слой 1 — Honeypot + таймер. Скрытое поле с именем website (ботам понравится) и поле form_fill_time. Если website заполнено или form_fill_time < 3 секунды — заявка от бота с вероятностью 99%.

Слой 2 — Анализ поведения. JavaScript пишет события мыши и нажатий клавиш в скрытое поле. При отправке сервер проверяет: было ли реальное движение мыши, была ли разумная скорость набора. Боты с имитацией человека тратят на это ресурсы и реже их используют для массовых атак.

Слой 3 — Rate limiting по IP и fingerprint. Не более N заявок с одного IP за M минут. Fingerprint строится из User-Agent, Accept-Language, Accept-Encoding — не из IP. Правила хранятся в myvendor_spam_rate:

CREATE TABLE myvendor_spam_rate (
    fingerprint VARCHAR(64) NOT NULL,
    form_id     VARCHAR(100),
    hits        INT DEFAULT 1,
    first_hit   TIMESTAMP DEFAULT NOW(),
    last_hit    TIMESTAMP DEFAULT NOW(),
    blocked     BOOLEAN DEFAULT false,
    PRIMARY KEY (fingerprint, form_id)
);

Слой 4 — Репутационные базы. Проверка IP отправителя через AbuseIPDB API или Spamhaus. При score выше порога — блокировка или повышенная сложность проверки. Результаты кешируются в myvendor_spam_ip_cache с TTL 24 часа, чтобы не долбить внешний API на каждый запрос.

Слой 5 — ML-классификатор текста. Для форм с текстовыми полями (сообщение, комментарий) — анализ содержимого. Простой наивный байесовский классификатор, обученный на исторических спам/не-спам данных конкретного сайта. Хранится в myvendor_spam_model, переобучается агентом раз в неделю.

Подробнее о honeypot можно прочитать в Wikipedia, а о репутационных базах — в документации AbuseIPDB.

Детально: интеграция с формами Битрикс

Перехват форм через событие OnWebFormResult_Add (модуль form):

AddEventHandler('form', 'OnWebFormResult_Add', function(&$arFields, &$arValues) {
    $verdict = \MyVendor\Spam\Analyzer::analyze(
        ip: $_SERVER['REMOTE_ADDR'],
        fingerprint: \MyVendor\Spam\Fingerprint::get(),
        formId: $arFields['FORM_ID'],
        fields: $arValues,
        fillTime: (int)($_POST['form_fill_time'] ?? 0)
    );

    if ($verdict->isSpam()) {
        $arFields['COMMENTS'] .= "\n[SPAM: {$verdict->getReason()}]";
        $arFields['STATUS'] = 'N';
    }
});

Важно: спам-заявки не удаляются, а помечаются. Это позволяет периодически просматривать помеченные заявки и исправлять ложные срабатывания — данные для улучшения классификатора.

Защита корзины и регистрации

Спам-боты атакуют не только формы связи, но и форму регистрации (создание мусорных аккаунтов) и корзину (тестирование украденных карт через мелкие платежи). Модуль расширяется на эти точки: для регистрации — те же honeypot + rate limit, для корзины — детектирование паттернов (много мелких заказов с разных карт за короткое время).

Как мы тестируем модуль?

Перед запуском прогоняем модуль на исторических данных вашего сайта (если есть лог спама) или на синтетическом трафике, имитирующем ботов. Измеряем процент ложных срабатываний и пропущенных спам-заявок. Настраиваем пороги так, чтобы минимизировать оба показателя. После внедрения модуль продолжает обучаться на новых данных.

Как проходит разработка?

1. Анализ угроз: изучаем типы спам-атак на вашем проекте.
2. Проектирование архитектуры: выбираем комбинацию слоёв под нагрузку.
3. Реализация: пишем код модуля с учётом ваших форм.
4. Тестирование: проверяем на исторических данных и синтетике.
5. Деплой и мониторинг: устанавливаем на боевой сервер, отслеживаем метрики.

Что входит в работу

• Техническое задание с выбором методов под вашу нагрузку.
• Разработка и настройка модуля под конкретные формы (обратная связь, регистрация, корзина).
• Документация по конфигурации и поддержке.
• Обучение администраторов (1–2 часа онлайн).
• Бесплатная поддержка в течение 1 месяца после запуска.

Сроки разработки

Прежде чем заказывать сложное решение, оцените масштаб проблемы: иногда достаточно honeypot + rate limit, и это решит 95% спама за 1 неделю. Для точной оценки вашего проекта свяжитесь с нами — мы бесплатно проанализируем текущую ситуацию и предложим оптимальную конфигурацию. Получите консультацию уже сегодня.

Разработка и настройка модулей 1С-Битрикс

Главная ловушка Битрикса — init.php. Сунул туда обработчик OnBeforeIBlockElementUpdate, потом ещё один — через год файл на 2000 строк, и при каждом хите весь этот ком выполняется. Мы переносим бизнес-логику в полноценные модули с D7 ORM, собственными таблицами и административным интерфейсом. Модуль можно отключить, перенести на другой проект, покрыть тестами — с init.php ничего из этого не получится. Опыт команды — 10+ лет в Битрикс, сертифицированные специалисты, гарантия на код 6 месяцев. Закажите консультацию — расскажем, как перевести legacy-код в модульную архитектуру.

Почему init.php — худшее место для бизнес-логики?

Init.php не поддерживает автозагрузку классов, не имеет изолированного пространства имён, не поддаётся модульному тестированию и не отключается без правки самого файла. Каждый обработчик, написанный там, срабатывает на каждом запросе, даже если он не нужен. В модуле вы регистрируете обработчика через EventManager, и он выполняется только при наступлении события. Разница в производительности — до 3 раз при 10+ обработчиках.

Стандартные модули: типовые проблемы и решения

Информационные блоки. Архитектура ИБ — первое, что мы ревьюим на любом проекте. Классическая ошибка: один инфоблок каталога с 80 свойствами, из которых 30 — множественные. Таблица b_iblock_element_property раздувается до миллионов строк, CIBlockElement::GetList на фильтрации по трём свойствам уходит в полное сканирование. Переносим справочники в Highload-блоки, убираем множественные свойства где можно, проектируем структуру с прицелом на то, что каталог вырастет в 5 раз.

Интернет-магазин (sale). Бизнес-правила корзины — отдельная история. Настраиваем приоритеты скидок, чтобы две акции не дали 60% вместо 30%, подключаем платёжные обработчики, прописываем кастомную валидацию через OnSaleOrderBeforeSaved.

Поиск. Встроенный модуль search с морфологией работает до 10–15 тысяч элементов. Дальше — Elasticsearch. Настраиваем через API модуля поиска Битрикс, индексируем через CSearchFullText или кастомные индексаторы.

Highload-блоки для справочников, логов, пользовательских данных — вместо раздутых ИБ. Прямые запросы через Bitrix\Highloadblock\HighloadBlockTable, собственные таблицы вместо EAV-структуры стандартных инфоблоков. Миллион записей — без деградации.

Почтовые события. Настройка — не только шаблоны в b_event_message. Главное — SPF, DKIM, DMARC на DNS, иначе транзакционные письма летят в спам. Проверяем доставляемость, настраиваем bounce-обработку.

Проектирование инфоблоков для производительности

Используем Highload-блоки для справочных данных (цвета, размеры, производители), которые не участвуют в сложных выборках. Для торговых предложений — отдельный инфоблок с привязкой через IBLOCK_ELEMENT_PROPERTY. Включаем INDEX_PROPERTY для часто фильтруемых свойств. Кэширование тегированное: при изменении элемента сбрасывается только связанный кеш. Highload-блоки обрабатывают до 10 раз быстрее, чем инфоблоки с множественными свойствами, на объёмах от 100 000 записей.

Разработка кастомных модулей

Каждый модуль — по структуре /local/modules/vendor.modulename/:

• install/index.php — класс установки, создание таблиц через $DB->RunSQLBatch()
• lib/ — классы D7 ORM, наследники Bitrix\Main\ORM\Data\DataManager
• admin/ — административные страницы через CAdminList, CAdminForm
• include.php — автозагрузка, регистрация обработчиков через EventManager::getInstance()->registerEventHandler()
• REST API endpoints через \Bitrix\Rest\RestManager

Модуль регистрируется в системе, появляется в списке «Установленные решения», имеет свои настройки в /bitrix/admin/settings.php?mid=vendor.modulename. Его можно включать, отключать, обновлять через UpdateSystem или свой механизм миграций.

Примеры реализованных задач:

• Управление акциями — визуальный конструктор условий через CAdminCalendar, таймеры через агенты (CAgent::AddAgent), аналитика эффективности в связке с модулем sale
• Калькулятор стоимости — React-виджет на фронте, REST API в модуле, формулы хранятся в Highload-блоке
• Система бронирования — real-time календарь, блокировка через $DB->StartTransaction() / $DB->Commit() при одновременных запросах, синхронизация с channel manager через webhook

Компоненты и композитный кэш

Кастомизация компонентов — через result_modifier.php и component_epilog.php, не через правку template.php стандартного шаблона. Так ядро обновляется безболезненно.

Композитный кэш (технология «Композитный сайт») — сервер отдаёт готовый HTML, минуя PHP-роутинг. Динамические зоны (корзина, авторизация) подгружаются через CBitrixComponent::setFrameMode(true) и AJAX. TTFB падает до 30–50 мс. Но есть нюансы: не все компоненты совместимы, $APPLICATION->ShowPanel() ломает композит, нужна аккуратная разметка <div id="bx-composite-...">.

Маркетплейс: аудит перед установкой

Перед установкой модуля с маркетплейса — обязательный аудит. Проверяем: SQL-запросы без подготовленных выражений (привет, SQL-инъекции), прямое обращение к $_REQUEST без фильтрации, использование устаревшего API старого ядра вместо D7, конфликты с модулем композитного кэширования. Модуль без обновлений больше года и с парой десятков установок — скорее всего, проблема на ближайшем обновлении PHP. Типичный случай: модуль вызывает CIBlockElement::GetList с несброшенным кешем — сайт падает при 5000 элементов.

Миграция на D7

При обновлении PHP или переходе на новую редакцию — рефакторинг устаревших вызовов:

• CIBlockElement::GetList() → Bitrix\Iblock\Elements\ElementTable::getList()
• CSaleOrder::GetList() → Bitrix\Sale\Order::getList()
• CModule::IncludeModule() → Bitrix\Main\Loader::includeModule() Тестирование на staging, откат через git при проблемах.

Согласно официальной документации 1С-Битрикс, D7 ORM является рекомендуемым средством для работы с данными, обеспечивая безопасность типов и автогенерацию запросов.

Сравнение подходов: Init.php vs Модуль

Стоимость и состав разработки модулей

Что входит в разработку модуля?

• Техническое задание и архитектурная схема
• Код с соблюдением PSR-4 и код-стайла Битрикс
• Unit-тесты (PHPUnit) на бизнес-логику
• Интеграционные тесты на события и REST API
• Документация по установке, настройке и API
• Передача доступов к репозиторию и документации
• Обучение администраторов работе с модулем
• Гарантийная поддержка 6 месяцев

Ориентировочные сроки и сложность:

Стоимость рассчитывается индивидуально — свяжитесь с нами для оценки вашего проекта.

Тестирование модулей

Unit-тесты через PHPUnit покрывают бизнес-логику: расчёт скидок, валидацию, формирование документов. Моки для Bitrix\Main\Application::getConnection() позволяют тестам не зависеть от БД. Интеграционные тесты проверяют обработчики событий на реальной базе — OnAfterIBlockElementAdd, OnSaleOrderSaved и другие. REST API endpoints тестируем через curl или PHPUnit HTTP-клиент. Критично для модулей, работающих с b_sale_order, b_catalog_price — где ошибка стоит денег.

Совместимость проверяется на PHP 7.4, 8.0, 8.1, 8.2 и редакциях: Стандарт, Малый бизнес, Бизнес. Проверяем конфликты с популярными модулями маркетплейса — они любят перехватывать те же события. Нагрузочное тестирование: замеры на 10K, 100K, 1M записей, профилирование через Xdebug на предмет утечек памяти и N+1 запросов.

Примеры из практики

Модуль акций для сети электроники. Штатные скидки модуля sale не покрывали сценарии «2+1», подарок при покупке от суммы, комбинированные условия. Собрали визуальный конструктор: маркетолог создаёт правила через drag-and-drop, без тикетов в разработку. Календарь акций, автодеактивация через агенты, аналитика в привязке к b_sale_order — конверсия, средний чек, количество применений. Время запуска новой акции упало с двух дней до получаса.

Калькулятор для строителей. Параметры (площадь, материалы, этажность) → формула → предварительная смета → заявка в CRM через CRest::call('crm.lead.add'). Региональные коэффициенты и сезонные наценки — из Highload-блока, цены материалов — из обмена с 1С. Количество целевых заявок выросло на треть: клиенты видят разбивку по статьям до звонка менеджеру.

Бронирование для сети отелей. Real-time доступность через AJAX-запросы к кастомной таблице vendor_booking_slots, расчёт тарифов по сезону, синхронизация с Booking.com через channel manager API. Блокировка номера при одновременном бронировании — через SELECT ... FOR UPDATE в транзакции. Таймзоны обрабатываются через \DateTimeZone — гость из Владивостока и менеджер из Москвы видят одну картину.

Оценим проект за 1 день. Пишите — расскажем, что входит в разработку под ключ. Свяжитесь с нами для консультации по вашему проекту. Закажите разработку модуля под ключ — получите готовое решение с документацией и поддержкой.