PTR = IP: как BotBlocker блокирует трафик с “пустыми” PTR-записями

В BotBlocker есть дополнительная функция: блокировка посетителей, у которых PTR (reverse DNS) — это просто копия IP-адреса. Такая ситуация часто указывает на подозрительный или плохо сконфигурированный источник трафика.

Что такое PTR, равный IP?

Когда PTR-запись на IP — это не доменное имя, а тот же IP, только в виде 1-2-3-4.provider.com, либо вообще в явном виде (например, 123.45.67.89), это говорит об отсутствии нормальной обратной DNS у отправителя. Такое встречается у дешёвых хостингов, массовых прокси, динамических пулов и в сетях, где обратную DNS не настраивают.

Нормально настроенный сервер или офисная сеть всегда имеют читаемое доменное имя в обратной записи, например mail.company.com. Если вместо этого PTR возвращает строку, которая просто повторяет цифры адреса, это признак того, что владелец адреса не потрудился настроить DNS должным образом. Для защиты сайта это важный сигнал, который стоит учитывать.

Как работает фильтрация PTR = IP в BotBlocker

Если эта опция включена, BotBlocker для каждого IP:

• Делает PTR-запрос.
• Если результат — это та же «маска» IP (например, 11-22-33-44.isp.net или просто 11.22.33.44), посетитель может быть заблокирован, получить капчу или попасть в лог (зависит от режима).

Эта фильтрация по умолчанию отключена, так как возможны ложные срабатывания — некоторые реальные провайдеры и мобильные сети используют такие PTR для всех клиентов.

Важно понимать, что сам по себе PTR-запрос — это стандартная операция в DNS. Запрашивается обратная запись для конкретного адреса, и если она не настроена или содержит только цифры адреса, система фиксирует это как потенциальный признак нежелательного трафика. Такой подход не нагружает сайт и работает на уровне проверки до того, как запрос попадает в приложение. Подробнее о принципах работы обратного DNS можно почитать на сайте Cloudflare.

Зачем блокировать такие PTR-записи

• Многие боты и автоматизированные атаки идут именно с адресов без «человеческой» PTR.
• Generic PTR — сильный тревожный сигнал, особенно если совпадает с другими подозрительными признаками (например, пустой User-Agent, прокси, VPN, Tor).
• Эта опция позволяет ещё сильнее очистить трафик на проектах с известной целевой аудиторией.

По данным исследований в области веб-безопасности, значительная часть вредоносного трафика исходит именно с адресов, у которых отсутствует корректная обратная запись DNS. Это не случайность: операторы ботнетов и спамеры намеренно используют дешёвые адреса без настроенной инфраструктуры. Подробнее об этом можно найти в материалах Spamhaus.

Когда функция полезна

• Для внутренних, корпоративных и локальных сайтов с известными пользователями.
• Для фильтрации массовых VPN, прокси, дешёвых VPS и ботов с нулевой настройкой DNS.
• Как часть мультифакторного анализа: например, блокировать только если PTR = IP и есть ещё признаки подозрительности.
• Для сайтов с платным контентом или личным кабинетом, где важно точно понимать, кто заходит на ресурс.

Когда использовать с осторожностью

• На публичных проектах, где часть пользователей может иметь такие PTR из-за провайдера.
• На международных и мобильных проектах.
• Если лояльность и доступность важнее, чем максимальная строгость — возможны ложные блокировки реальных посетителей.

Например, ряд крупных мобильных операторов в странах СНГ и Азии выдаёт своим абонентам адреса с автоматически сгенерированными обратными записями, которые внешне выглядят так же, как у ботов. В таком случае жёсткая блокировка по одному только признаку обратной записи может отрезать часть живой аудитории. Именно поэтому BotBlocker даёт возможность сначала включить режим наблюдения и оценить масштаб до принятия решения о блокировке.

Как включить

Опция доступна в расширенных настройках BotBlocker. Рекомендуется включать сначала в режиме логирования, чтобы понять, насколько часто встречается совпадение PTR = IP у вашей аудитории.

После нескольких дней наблюдения в журнале будет понятно, какой процент посетителей попадает под этот критерий. Если доля невелика и большинство из них действительно выглядят подозрительно по совокупности признаков, можно переключать в режим блокировки или капчи. Это снижает риск отсечь реальных клиентов.

FAQ

Будут ли заблокированы все без PTR?

Нет, только те, у кого PTR буквально совпадает с IP (например, 1-2-3-4.provider.com). Адреса без обратной записи вообще обрабатываются отдельно и под эту опцию не подпадают.

Включено ли по умолчанию?

Нет, это отключено по умолчанию.

Как избежать блокировки реальных пользователей?

Сначала используйте режим логирования или комбинируйте с другими фильтрами. Это позволяет настроить точность фильтрации под конкретный проект, не рискуя потерять часть аудитории на старте.