Как выбрать сервис защиты от ботов: чек-лист вопросов

Заявленная точность распознавания — бесполезный критерий. Её никто не проверяет, методики измерения не публикуются, а число 99,9% встречается у всех.

Полезнее спрашивать о другом: что происходит, когда сервис ошибается.

Можно ли посмотреть, кого он заблокирует, до включения?

Самый важный вопрос. Правильный ответ: да, есть режим наблюдения, в котором сервис считает и показывает решения, но не применяет их.

Без такого режима вы включаете защиту вслепую и узнаёте о проблемах от покупателей — если они вообще напишут. Обычно человек, наткнувшийся на блокировку, просто уходит.

Уточните, обязателен ли этот режим. Если его можно пропустить, его пропустят — и в первый же день кто-нибудь потеряет заявки.

Видно ли, почему принято решение?

По каждому заблокированному визиту должно быть видно, какие признаки сработали и сколько добавил каждый.

Если сервис показывает только вердикт, разобраться в ошибке невозможно. Вы не поймёте, надо ли менять настройки или это разовый случай.

Что произойдёт, если сервис ляжет?

Единственный правильный ответ: сайт продолжит работать без защиты.

Если модуль при недоступности сервиса блокирует посетителей или ждёт ответа неограниченно долго — вы поставили себе точку отказа. Их авария станет вашей.

Уточните конкретику: какой таймаут, что происходит после него, есть ли предохранитель, который перестаёт дёргать сеть после серии неудач.

Можно ли отключить защиту, если сервис недоступен?

Аварийный выключатель, не зависящий от них. У BotBan это пустой файл рядом с модулем: создали — защита выключилась, даже если до личного кабинета не достучаться.

Если единственный способ отключиться — кнопка в их кабинете, то при их аварии вы останетесь без обоих вариантов.

Блокирует ли он адреса мобильных операторов?

За одним адресом оператора связи через общий выход сидят тысячи абонентов. Жёсткая блокировка такого адреса выключает сайт для района.

Спросите прямо: есть ли запрет на жёсткую блокировку таких сетей и как он реализован — как настройка или как правило движка, которое нельзя отключить.

Как он проверяет поисковых роботов?

Единственный надёжный способ — обратный DNS с прямой перепроверкой. Если сервис определяет робота по строке User-Agent, то либо он блокирует настоящих поисковиков, либо пропускает всех, кто их именем прикрылся. Оба варианта плохи.

Что будет, если правило начнёт резать живых?

Хорошие сервисы умеют откатываться сами: доля блокировок скакнула — защита вернулась в наблюдение, владельцу ушло письмо.

Без этого неудачное правило работает столько, сколько вы его не заметите. Ночью — до утра.

Где физически лежат данные?

Для российского бизнеса это ещё и вопрос закона: обработка персональных данных граждан РФ должна вестись на серверах в России. Адрес посетителя персональными данными считается в ряде трактовок.

Сколько времени добавляет модуль?

Спрашивайте не среднее, а что происходит в худшем случае и как настроить потолок ожидания.

Чего не спрашивать

«Сколько процентов ботов вы ловите» — ответ будет красивый и непроверяемый. Ловля ботов — это всегда компромисс между пропущенными ботами и заблокированными людьми, и сдвинуть его в любую сторону можно одной настройкой.

Правильный вопрос: какой ценой достигается заявленная точность и кто платит, когда система ошибается.