Антиспам для форм 1С-Бітрікс: honeypot, таймінг, rate limiter

Багаторівневий захист форм Бітрікс: як ми знизили спам на 95%

Ми зіткнулися з проектом, де 95% заявок були спамом: CRM забивалася сміттєвими лідами, email-черги перевантажувалися, аналітика спотворювалася. Щомісячні втрати на ручній модерації сягали сотень тисяч гривень. Після впровадження нашого захисту навантаження на сервер знизилося втричі, а витрати на модерацію скоротилися до 90%. На іншому проекті з 5000 формами на день клієнт заощадив значні кошти за рахунок автоматизації фільтрації. Стандартна CAPTCHA від Бітрікс (bitrix:main.captcha) — зображення з символами — практично не працює: сучасні боти розпізнають її з точністю 95%+. Потрібен багаторівневий підхід, який не вимагає від користувача зайвих дій і не ламає UX.

Чому одного методу недостатньо?

Кожен метод захисту має слабкі місця. Honeypot зупиняє простих ботів, але розумні обходять приховані поля. Таймінг блокує миттєві відправлення, але деякі боти затримуються. Rate limiter ефективний проти масових атак, але не захищає від розподілених. Комбінуючи їх, ми перекриваємо всі вектори.

Наприклад, honeypot відсіває 80% ботів, але решта 20% — це розумні боти, які обходять приховані поля. Таймінг ловить ще 50% з них, але деякі боти емулюють затримку. Rate limiter завершує картину, блокуючи повторні атаки з одного джерела. Така комбінація дає сукупну ефективність 95%+.

Які методи захищають від спаму?

Honeypot: приховане поле для ботів

Додаємо у форму приховане поле, яке боти заповнюють, а люди — ні. Сервер перевіряє: якщо поле не пусте — тихо ігноруємо запит.

<div style="position:absolute;left:-9999px;top:-9999px;opacity:0;height:0;overflow:hidden">
    <label for="email_confirm">Leave empty</label>
    <input type="text" id="email_confirm" name="email_confirm" tabindex="-1" autocomplete="off" value="">
</div>

// Серверная проверка
if (!empty($data['email_confirm'])) {
    echo json_encode(['success' => true]);
    exit;
}

Таймінг: захист від швидких відправлень

При рендері записуємо timestamp у приховане поле. На сервері перевіряємо: якщо минуло менше 3 секунд — бот (тихий успіх). Якщо більше години — сесія закінчилася.

$formToken = base64_encode(json_encode([
    'ts'     => time(),
    'sessid' => bitrix_sessid(),
]));
// в шаблоне: <input type="hidden" name="form_token" value="<?= htmlspecialchars($formToken) ?>">

// Проверка
$token = json_decode(base64_decode($data['form_token'] ?? ''), true);
$timeElapsed = time() - (int)($token['ts'] ?? 0);
if ($timeElapsed < 3) {
    $this->markSpam('timing', $timeElapsed);
    exit(json_encode(['success' => true]));
}
if ($timeElapsed > 3600) {
    exit(json_encode(['success' => false, 'error' => 'Сессия истекла. Обновите страницу.']));
}

Rate limiter: обмеження частоти запитів

class RateLimiter {
    private const LIMITS = [
        'ip'    => ['max' => 5,  'window' => 3600],
        'email' => ['max' => 3,  'window' => 86400],
        'phone' => ['max' => 2,  'window' => 86400],
    ];
    public function check(string $type, string $identifier): bool {
        $limit = self::LIMITS[$type] ?? ['max' => 3, 'window' => 3600];
        $key = 'spam_rl_'.$type.'_'.md5($identifier);
        $cache = \Bitrix\Main\Application::getInstance()->getManagedCache();
        $count = (int)$cache->get($key);
        if ($count >= $limit['max']) {
            \CEventLog::Add([
                'SEVERITY'      => 'WARNING',
                'AUDIT_TYPE_ID' => 'SPAM_BLOCKED',
                'MODULE_ID'     => 'local.antispam',
                'DESCRIPTION'   => "Blocked: type={$type}, id={$identifier}",
            ]);
            return false;
        }
        $cache->set($key, $count + 1, $limit['window']);
        return true;
    }
}

Додатково перевіряємо email на disposable-домени та MX-запис, а телефон — за форматом та чорними списками. Це відсіває ще ~60% залишкового спаму.

Яку капчу обрати для українського сайту?

Для української аудиторії Google reCAPTCHA може блокуватися. Ми використовуємо Yandex SmartCaptcha або Cloudflare Turnstile — вони працюють без VPN і не вимагають введення символів. Інтеграція аналогічна: фронтенд отримує токен, сервер перевіряє через API.

// Yandex SmartCaptcha
function verifyYandexCaptcha(string $token): bool {
    $ch = curl_init('https://smartcaptcha.yandexcloud.net/validate');
    curl_setopt_array($ch, [
        CURLOPT_POST => true,
        CURLOPT_POSTFIELDS => http_build_query([
            'secret' => $secretKey,
            'token' => $token,
            'ip' => $_SERVER['REMOTE_ADDR'],
        ]),
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_TIMEOUT => 5,
    ]);
    $result = json_decode(curl_exec($ch), true);
    curl_close($ch);
    return ($result['status'] ?? '') === 'ok';
}

Порівняння провайдерів та їх ефективність

Ефективність комбінації базових методів проти спаму:

Що входить у наш антиспам-пакет?

Етапи робіт

1. Аналітика — збір вимог, аудит існуючих форм та навантаження.
2. Проектування — вибір методів, архітектура з урахуванням кешу та продуктивності.
3. Реалізація — розробка модуля, написання коду, юніт-тести.
4. Тест — навантажувальне тестування (імітація ботів), перевірка UX.
5. Деплой — розгортання на бойовому сервері, моніторинг перших днів.

Терміни та вартість

Базовий набір (honeypot + таймінг + rate limiter) — 3–5 днів. Повний стек зі SmartCaptcha та дашбордом — 1–2 тижні. Вартість розраховується індивідуально в залежності від обсягу форм та навантаження. В середньому економія бюджету на спамі — до 90% витрат на модерацію.

Що робити, якщо rate limiter блокує реальних користувачів?

Ми налаштовуємо адаптивні ліміти: наприклад, після 3 відправлень з одного IP на годину показуємо капчу замість повного блокування. Також ведемо лог та аналізуємо хибні спрацьовування, коригуючи пороги.

Чому варто обрати нас?

Ми — команда сертифікованих спеціалістів 1С-Бітрікс з досвідом більше 50 проектів у сфері захисту форм. Наші рішення перевірені на проектах з навантаженням 10 000+ заявок на добу. Гарантуємо підтримку та доопрацювання після впровадження. Замовте попередню оцінку вашого проекту — отримайте консультацію та розрахунок термінів. Зв'яжіться з нами для попередньої оцінки поточних форм.

Що робити, якщо сайт на Бітріксі вже зламали?

Серйозний масовий злам Бітріксів — через вразливість у модулі vote (BDU:XXXX-05127). Через неї заливали веб-шели пачками. Причина? Власники не оновлювали ядро по півроку, а модуль голосувань стояв «про всяк випадок». Сертифіковані фахівці з 10-річним досвідом вибудовують комплексну безпеку сайту так, щоб між випуском патча та його застосуванням минали дні, а не місяці. І щоб навіть без патча сайт не ліг від типової атаки.

Ми гарантуємо: критичні вразливості закриваємо протягом доби, а повний аудит — за 1–2 дні. Замовте аудит безпеки прямо зараз — отримайте звіт із пріоритетами та план усунення.

Як налаштувати модуль «Проактивний захист»? (потужний, але не з коробки)

Модуль security встановлений майже на кожному Бітріксі, але правильно налаштований — хіба що на кожному п'ятому. Що конкретно потрібно ввімкнути та підкрутити:

• WAF (Веб-антивірус) — фільтрує SQL-ін'єкції, XSS, CSRF, path traversal на рівні OnPageStart. Ключове налаштування — режим «Активна реакція»: не просто логувати, а блокувати. У /bitrix/admin/security_filter.php перевіряємо, що всі типи атак увімкнені, а винятки — мінімальні.
• Контроль активності (/bitrix/admin/security_iprule.php) — ліміти на кількість запитів з одного IP. За замовчуванням 100 запитів на хвилину. Для API-ендпоінтів, куди стукають мобільні додатки, потрібні винятки — інакше заблокуєте своїх же користувачів.
• 2FA — OTP через Google Authenticator. Вмикається в налаштуваннях користувача. Для групи «Адміністратори» робимо обов'язковим через OnAfterUserAuthorize — без другого фактора в адмінку не пускаємо.
• Контроль цілісності (/bitrix/admin/security_file_verifier.php) — хеші системних файлів. Якщо хтось змінив файл у /bitrix/modules/ — система помітить. Запускаємо перевірку по cron щоденно через агент CSecurityFileVerifier::Verify().
• Стоп-лист — b_security_filter_stoplist. Автоматичне блокування IP при спрацюванні WAF. Ручне додавання підмереж — коли бачимо сканери.
• Журнал безпеки — b_event_log. Хто, коли та що змінював в адмінці. Зберігання мінімум 90 днів. При розслідуванні інциденту — безцінно.

Що включає аудит безпеки сайту Бітрікс?

Серверний рівень — тут найчастіше і діри:

• phpinfo() доступний по /info.php або /phpinfo.php — зустрічається на кожному третьому проєкті. Атакуючий отримує версію PHP, шляхи, модулі, конфігурацію. Видаляємо.
• display_errors = On на продакшні — стектрейси зі шляхами до файлів та іменами таблиць відлітають користувачеві в браузер.
• PHP-функції exec, system, passthru, proc_open не відключені в php.ini. Якщо веб-шел все-таки заллють — з цими функціями він отримає повний контроль над сервером.
• Версія PHP < 8.1 — без security-апдейтів. PHP 7.4 більше не підтримується, але досі живе на чверті проєктів.

Рівень додатку:

• Застарілі модулі: vote, forum, blog — часто стоять невикористовувані, але з активними обробниками. Деактивуємо та видаляємо.
• Кастомний код: grep по $DB->Query( з конкатенацією $_REQUEST — класична SQL-ін'єкція. Мають бути $DB->ForSql() або D7 ORM.
• Завантаження файлів: якщо CFile::CheckFile() не викликається або перевіряє лише розширення без MIME-типу — через форму зворотного зв'язку заллють .php файл.
• dbconn.php та .env — мають бути закриті правилами веб-сервера. Перевіряємо: curl https://site.ru/bitrix/.settings.php не повинен віддавати нічого, окрім 403.

SSL/TLS:

• Перевірка через SSL Labs — рейтинг A або вище.
• HSTS з max-age від 31536000 (рік).
• Редирект HTTP -> HTTPS на рівні Nginx, не на рівні Бітрікс.

Результат аудиту — звіт із пріоритетами: Critical / High / Medium / Low. Критичні закриваємо в перший день. Замовте аудит — оцінимо ваш проєкт за 1-2 дні.

Лікування зламаних сайтів — протокол дій

Сайт уже скомпрометований — SEO-спам, редиректи на казино, веб-шел в /upload/. Порядок дій:

1. Ізоляція — знімаємо сайт, ставимо заглушку. Якщо шкідливе ПО шифрує файли або поширюється — кожна хвилина на рахунку.
2. Визначення вектора — логи доступу (access.log), логи помилок, b_event_log. Шукаємо POST-запити до нетипових файлів, звернення до /upload/*.php, підозрілі user-agent.
3. Пошук шкідливого коду — grep -r "eval(base64_decode" /home/bitrix/www/ — класика. Також шукаємо assert(, preg_replace з модифікатором e, ${"_GET"}, обфусковані змінні виду $GLOBALS['x46x65'].
4. Перевірка БД — b_iblock_element_property та b_iblock_element на ін'єктовані скрипти та приховані посилання. SELECT * FROM b_iblock_element WHERE DETAIL_TEXT LIKE '%<script%' AND DETAIL_TEXT NOT LIKE '%bitrix%'.
5. Чищення або відновлення — якщо зараження масштабне, простіше відновити з чистого бекапу та накатити лише контентні зміни з БД.
6. Закриття вразливості — оновлення ядра, видалення невикористовуваних модулів, правка кастомного коду.
7. Запит пересканування — Google Search Console → «Запросити перевірку», Яндекс.Вебмастер → «Я все виправив».

Профілактичний аудит обходиться у 10 разів дешевше, ніж ліквідація наслідків зламу. Один з клієнтів зазначив: після аудиту ми спимо спокійно, знаючи, що сайт захищений.

Як захистити сайт на Бітріксі від DDoS?

• Cloudflare / DDoS-Guard / Qrator — проксіювання трафіку. L3/L4 атаки фільтруються на їхньому боці. L7 — через правила та challenge-сторінки. Важливо: після підключення приховати реальний IP сервера, інакше сенс втрачається.
• Rate limiting на Nginx: limit_req_zone для /bitrix/admin/, /api/, форм. Окремі ліміти для авторизованих та анонімних користувачів.
• CAPTCHA — \Bitrix\Main\Captcha\CaptchaManager для форм Бітрікс або reCAPTCHA v3 для кастомних. v3 не дратує користувачів — працює у фоні.
• Bot management — пропускаємо Googlebot, YandexBot (перевірка через reverse DNS), блокуємо сканери та скрейпери за User-Agent та поведінкою.

Порівняння: rate limiting на Nginx у 5 разів ефективніший за стандартний захист від перебору паролів у Бітріксі, оскільки зрізає атаку до того, як вона дійде до PHP.

Резервне копіювання — останній рубіж

• Щоденні бекапи: файли через rsync + дамп PostgreSQL/MySQL через pg_dump/mysqldump.
• Зберігання в ізольованому S3-сумісному сховищі. Ключове слово — ізольованому. Якщо бекапи лежать на тому ж сервері, що й сайт, зломщик видалить і їх.
• Ротація: daily × 7, weekly × 4, monthly × 12.
• Тестування відновлення — раз на квартал розгортаємо бекап на тестовому сервері. Бекап, з якого неможливо відновитися, — просто файл на диску. Ми гарантуємо відновлюваність кожного бекапу.
• Моніторинг: якщо бекап не пройшов — алерт у Telegram протягом години.

Моніторинг — виявити до того, як зателефонує клієнт

• Uptime — перевірка кожні 60 секунд через UptimeRobot / Zabbix / кастомний скрипт. Алерт у Telegram + дзвінок при даунтаймі > 5 хвилин.
• Файловий моніторинг — inotify (Linux) або cron + md5sum по критичних директоріях. Новий .php у /upload/? Алерт негайно.
• Сканування на малварь — AI-BOLIT або ClamAV за розкладом. Перевірка і файлів, і бази.
• SSL-сертифікат — попередження за 30/14/7 днів до закінчення. Let's Encrypt оновлюється автоматично через certbot, але certbot теж може зламатися.
• Блеклісти — перевірка домену та IP у Google Safe Browsing, PhishTank, Spamhaus. Потрапляння = втрата трафіку.

Чому важливий захист персональних даних?

• HTTPS everywhere — редирект на рівні Nginx.
• Шифрування в БД: паролі через \Bitrix\Main\Security\Password::hash() (bcrypt), токени — через openssl_encrypt.
• Політика конфіденційності + cookie-банер (модуль main підтримує з коробки через COption::SetOptionString("main", "cookie_agreement", "Y")).
• Журналювання доступу до ПД — хто та коли переглядав дані клієнтів.

Що входить у роботу (deliverables)

Строки

Працюємо разово та на абоненті з фіксованим SLA. Для абонентських клієнтів — виділений інженер, який знає проєкт. Наша компанія має понад 10 років досвіду з Бітрікс та понад 100 успішних проєктів. Зв'яжіться з нами — оцінимо ризики та складемо кошторис за 1-2 дні.

Чек-лист: 15 пунктів, які перевіряємо на кожному проєкті

1. Ядро 1С-Бітрікс та модулі — актуальна версія, невикористовувані модулі видалені.
2. Модуль security активний, WAF у режимі «Активна реакція».
3. 2FA увімкнена для всіх обліковок з доступом до адмінки.
4. /bitrix/admin/ закритий по IP або за додатковою HTTP-авторизацією.
5. Політика паролів: від 12 символів, mixed case, цифри, спецсимволи.
6. SSL/TLS: рейтинг A+ на SSL Labs, HSTS увімкнений.
7. Службові файли (dbconn.php, .settings.php, .env, бекапи, логи) — 403 з браузера.
8. Права: 644 файли, 755 директорії. Веб-сервер не owner системних файлів.
9. Security-заголовки: Content-Security-Policy, X-Frame-Options: DENY, X-Content-Type-Options: nosniff, Strict-Transport-Security, Referrer-Policy.
10. Контроль цілісності файлів — щоденна перевірка через агент.
11. Бекапи: щоденні, ізольоване зберігання, перевірка відновлюваності.
12. b_event_log — зберігання від 90 днів, регулярний перегляд.
13. PHP 8.1+, display_errors = Off, небезпечні функції відключені.
14. Моніторинг uptime + алерти при зміні файлів у /upload/.
15. Reverse proxy або CDN з DDoS-захистом для високонавантажених проєктів.

Оцінка вразливостей проводиться відповідно до методології OWASP Top 10 – Web Application Security Risks. Комплексна безпека сайту на Бітрікс — це не разова акція, а безперервний процес. Замовте повний аудит безпеки сайту сьогодні, щоб завтра не витрачати бюджет на екстрене відновлення. Отримайте консультацію — ми відповімо на будь-які запитання.