Потужна перевірка відвідувачів для максимального захисту
BotBlocker містить спеціальний API що забезпечує глибоку, програмовану та дуже гнучку перевірку всіх вхідних відвідувачів. Цей API дає змогу розробникам і досвідченим користувачам інтегрувати логіку безпеки BotBlocker у зовнішні системи, власні робочі процеси, зворотні проксі, балансувальники навантаження та спеціалізовані конвеєри автоматизації. Використовуючи API, ви можете запускати перевірки в реальному часі, застосовувати додаткову фільтрацію та впроваджувати правила безпеки задовго до того, як запит дійде до WordPress.
Можливості
Серверна перевірка
API виконує повну серверну валідацію відвідувача, включаючи внутрішні шари виявлення BotBlocker, як-от аналіз IP, перевірка DNS, PTR-перевірки, запити ASN, user agent профілювання та фільтрацію на основі поведінки. Це гарантує узгоджені результати навіть тоді, коли запити обходять браузер або намагаються підробити параметри.
Більшість інструментів захисту покладаються на клієнтські сигнали, які можна підробити або повністю пропустити. У BotBlocker API виконує всі перевірки на сервері, тобто процес перевірки не залежить від виконання JavaScript чи поведінки браузера. Незалежно від того, чи відвідувач є реальним користувачем, скриптом або автоматизованим інструментом, результат ґрунтується на твердих даних, зібраних на мережевому та прикладному рівнях.
Інтеграція із зовнішніми системами
Ви можете інтегрувати API з міжмережевими екранами, шарами переписування NGINX або Apache, Cloudflare Workers, балансувальниками навантаження, проксі чи зовнішніми SaaS-платформами. Це дає змогу застосовувати правила безпеки WordPress на рівнях інфраструктури поза самим WordPress.
Така інтеграція особливо корисна, коли ваша інфраструктура включає кілька рівнів обробки трафіку. Замість застосування правил безпеки лише на рівні WordPress ви можете винести цю логіку на периферію мережі. Запит можна оцінити й заблокувати ще до того, як він торкнеться сервера застосунків, що зменшує непотрібне навантаження й робить ваш стек чистішим.
Уніфікована логіка безпеки
Усі перевірки, що виконуються через API, повністю відповідають логіці, яка використовується всередині WordPress. Це означає, що ви можете застосовувати той самий високорівневий захист будь-де: на віддалених серверах, у фонових завданнях або в зовнішніх застосунках, які попередньо перевіряють відвідувачів.
Уніфікована логіка на всіх точках входу усуває прогалини в покритті захисту. Коли ті самі правила діють незалежно від того, чи перевірка ініційована зсередини WordPress, чи із зовнішнього проксі, немає ризику неузгодженості. Відвідувач, якого було б заблоковано всередині WordPress, також буде заблокований, коли API викликають з будь-якої іншої системи у вашій конфігурації.
Типові сценарії використання
Попередня фільтрація трафіку на зворотних проксі
Великі інсталяції можуть викликати API зі зворотного проксі, щоб блокувати небажаний трафік до того, як він дійде до WordPress, зменшуючи використання ресурсів і покращуючи продуктивність.
Коли ви керуєте сайтом з високим трафіком, навіть обробка поганих запитів на рівні WordPress потребує часу й серверних ресурсів. Перенісши перевірку на рівень проксі та викликаючи там API, ви зупиняєте небажаних відвідувачів значно раніше в життєвому циклі запиту. Цей підхід особливо ефективний проти скраперів, інструментів підстановки облікових даних та іншого автоматизованого трафіку, який масово надходить на ваш сайт.
Централізована перевірка для багатосайтових і багатосерверних конфігурацій
Якщо ви керуєте мережею сайтів, можете централізувати всю перевірку трафіку на одному екземплярі BotBlocker і використовувати його API з кожного вузла.
Керувати безпекою багатьох окремих інсталяцій WordPress складно, коли кожна з них працює за власними правилами незалежно. У централізованій конфігурації всі вузли вашої мережі надсилають запити на перевірку в одну точку. Це забезпечує послідовний захист у всій мережі та спрощує оновлення правил, перегляд журналів і реагування на загрози з одного місця, а не окремо для кожного сайту.
Автоматизація безпеки та власні тригери
API можна використовувати в завданнях cron, робочих процесах n8n, конвеєрах CI/CD або власних скриптах, щоб запускати перевірки IP, перевіряти підозрілих відвідувачів чи автоматично оновлювати списки блокування.
Автоматизація - одна з найвагоміших причин використовувати API у вашій системі безпеки. Замість того щоб чекати, поки людина помітить підозрілу активність, ви можете створити робочі процеси, які виявляють шаблони й реагують миттєво. Наприклад, якщо ваша система моніторингу фіксує сплеск невдалих спроб входу з певного діапазону IP, власний скрипт може звернутися до API, підтвердити загрозу й додати ці адреси до списку блокування без будь-яких ручних дій.
Вивід API
Узгоджені структуровані відповіді
API повертає уніфіковані відповіді JSON, які містять статус відвідувача, детальні результати перевірок і поля для дій: allowed, blocked, suspicious, reason, джерело правила та додаткові метадані. Це дає змогу вашим зовнішнім системам надійно інтерпретувати результати й ухвалювати автоматизовані рішення.
Структурований формат кожної відповіді дає змогу просто будувати логіку навколо виводу. Вашим системам не потрібно розбирати довільний текст чи мати справу з непередбачуваними структурами даних. Кожна відповідь відповідає тій самій схемі, тож код інтеграції можна написати один раз і бути впевненим, що він працюватиме послідовно незалежно від того, що ініціювало перевірку та яким був результат.
Поля відповіді та їхній вміст
Кожна відповідь API містить кілька полів, які охоплюють різні аспекти результату перевірки. Поле статусу повідомляє головний результат для відвідувача. Поле причини пояснює, що спричинило цей результат. Поле джерела правила показує, який шар виявлення BotBlocker відповідав за нього. Додаткові поля метаданих можуть містити інформацію про ASN, країну походження, результат PTR-запису та класифікацію user agent.
Такий рівень деталізації корисний не лише для ухвалення рішень про блокування в реальному часі, а й для журналювання та аналізу. Ви можете зберігати повну відповідь для кожного запиту й згодом переглядати шаблони, виявляти повторювані загрози чи точно налаштовувати правила безпеки на основі фактичних даних вашого трафіку.
Готовність до великомасштабних середовищ
API легкий, швидкий та оптимізований для високої пропускної здатності, тому підходить для трафіку корпоративного рівня та сценаріїв пакетної обробки.
Продуктивність важлива, коли кожен вхідний запит проходить етап перевірки. Повільний або ресурсомісткий API створював би вузькі місця й погіршував досвід користувачів. API BotBlocker побудований так, щоб обробляти великі обсяги запитів без помітної затримки. Незалежно від того, чи ви керуєте одним завантаженим сайтом, чи пропускаєте трафік усієї мережі через одну точку перевірки, API витримує навантаження.
Як почати користуватися API
Автентифікація та доступ
Доступ до API контролюється токенами автентифікації, які ви генеруєте в BotBlocker. Кожен токен прив’язаний до вашої інсталяції та може бути обмежений за областю дії або змінений за потреби. Це зберігає вашу точку перевірки захищеною та гарантує, що перевірки можуть запускати лише ваші авторизовані системи.
Налаштування автентифікації просте. Отримавши токен, ви додаєте його в заголовок запиту під час виклику API. Ваша зовнішня система надсилає дані відвідувача разом із токеном, і API обробляє запит, використовуючи повний стек виявлення BotBlocker.
Надсилання запитів
Типовий виклик API містить IP-адресу відвідувача та user agent як мінімально потрібні поля. Залежно від конфігурації ви також можете передавати додаткові сигнали, як-от заголовки запиту, дані реферера чи власні ідентифікатори. Чим більше контексту ви надаєте, тим точнішим буде результат перевірки.
Запити надсилаються через стандартний HTTPS, а API приймає дані у форматі JSON. Це робить його сумісним практично з будь-якою мовою програмування чи платформою, здатною виконувати HTTP-запити, від скриптів Python до сервісів Node.js і низькорівневих shell-скриптів, що працюють на проксі-сервері.
Обробка відповіді у вашій системі
Щойно ваша система отримує відповідь JSON від API, наступний крок - діяти за результатом. Більшість інтеграцій працюють за простою схемою: якщо статус allowed, запит продовжується звичайним чином. Якщо статус blocked або suspicious, система виконує визначену дію: повертає сторінку помилки, перенаправляє відвідувача або реєструє подію для подальшого розгляду.
Ви також можете побудувати гнучкішу обробку на основі полів причини та джерела правила. Наприклад, відвідувачів, позначених як suspicious, а не повністю заблокованих, можна спрямувати на додатковий етап перевірки, як-от сторінку виклику, перш ніж дозволити їм продовжити. Це дає вам контроль над тим, наскільки суворою чи м’якою буде реакція для різних категорій відвідувачів.
Варіанти розгортання
Пряма інтеграція з NGINX або Apache
Один із найпоширеніших сценаріїв розгортання - виклик API з конфігурації NGINX або Apache через правило переписування чи модуль авторизаційних запитів. Це дає змогу веб-серверу звертатися до BotBlocker перед передаванням запиту в WordPress. Якщо API повертає статус блокировки, веб-сервер може негайно відхилити запит, взагалі не залучаючи PHP чи стек WordPress.
Використання API у Cloudflare Workers
Cloudflare Workers працюють на периферії, ще до того, як трафік дійде до вашого сервера. Викликаючи API з Worker, ви можете застосовувати логіку перевірки BotBlocker на рівні CDN. Це означає, що поганий трафік можна зупиняти на периферії глобальної мережі - у найранішій можливій точці шляху запиту та найефективнішому місці для блокування в масштабі.
Інтеграція з балансувальниками навантаження
Якщо ваша конфігурація використовує балансувальник навантаження для розподілу трафіку між кількома бекенд-серверами, API можна викликати на рівні балансувальника. Так перевірка відбувається один раз на запит незалежно від того, на який бекенд його буде спрямовано. Результат визначає, чи запит буде передано на будь-який бекенд, чи негайно відкинуто.