Строительная компания редко сталкивается с массированными DDoS-атаками, зато регулярно получает другую напасть: конкурент заказывает сотни фейковых заявок на смету, забивает тендерный отдел мусорными обращениями или вручную портит формы подачи. Полная защита всего сайта с каталогом проектов и портфолио в такой ситуации избыточна и дорога, а часто ещё и замедляет листинг. Рабочий приём – закрыть отдельным WAF-профилем только критичные формы: заявку на смету и подачу тендера, добавив honeypot и подтверждение телефона через SMS. Такой точечный контур стоит меньше, не трогает скорость каталога и отсекает большую часть конкурентных атак.
Почему атакуют именно формы заявок и тендеров
В строительном бизнесе форма заявки на смету и форма подачи тендера – это точки лидогенерации, где каждая заявка конвертируется в реальные деньги. Конкурент, который хочет сорвать конверсию сайта, бьёт не по всему ресурсу, а по этим двум формам: заваливает их спамом, отправляет заявки с несуществующих адресов, накручивает ложные обращения по ночам. Отдел продаж тратит время на прозвон пустышек, реальные клиенты ждут ответа дольше, а часть сделок просто теряется.
Защищать при этом весь сайт целиком – типичная ошибка. Каталог проектов, галереи, страницы услуг и блог не представляют интереса для атакующего, но именно они дают основную нагрузку на сервер. Если навесить тяжёлые правила WAF и challenge-проверки на весь трафик, пострадает скорость отдачи страниц, а значит и позиции в поиске. Точечный подход решает задачу иначе: критичные формы получают отдельный профиль защиты, остальной сайт работает как обычно.
Есть и второй мотив – зависимость от зарубежной инфраструктуры. Если сайт строительной компании сидит за Cloudflare, а тот ограничивает доступ к сайтам из России, российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare. Формы могут перестать открываться у части аудитории именно в тот момент, когда идёт тендерная кампания. Поэтому защиту стоит строить на инфраструктуре, которая обеспечивает работу сайтов на территории РФ и по всему миру.
Что именно ломает конкурентная атака на формы
Конкурентная атака на формы редко выглядит как технический взлом. Чаще это поток автоматизированных отправок: скрипт раз в несколько секунд отправляет заявку с рандомным именем и телефоном. Отдел продаж получает десятки обращений в час, CRM засоряется, а реальные заявки тонут в общем потоке. В тендерном сценарии атака может быть прицельной: перед дедлайном подачи заявок конкурент забивает форму так, чтобы она падала по таймауту, и участник не успевает подать документы.
Иногда атакуют не объёмом, а содержанием: отправляют заявки с оскорблениями, фейковыми реквизитами, вложениями с подозрительными файлами. Если форма принимает файлы, это уже риск для ИТ-инфраструктуры. Отдельный WAF-профиль с проверкой входных данных закрывает и этот сценарий, не затрагивая остальные страницы.
Как собрать WAF-профиль для двух критичных форм
Логика простая: вы выделяете два URL – обработчик заявки на смету и обработчик подачи тендера – и навешиваете на них свой набор правил. Всё остальное пространство сайта остаётся в штатном режиме. В TrafficVeil, российском аналоге Cloudflare, такой профиль собирается на уровне reverse proxy: запросы к защищённым формам проходят через отдельную цепочку проверок, а каталог проектов и статические страницы отдаются напрямую, без задержек.
Профиль включает несколько слоёв. Первый – базовые правила WAF: фильтрация SQL-инъекций, XSS, подозрительных заголовков. Второй – rate limiting: например, не более трёх отправок с одного IP за десять минут. Третий – honeypot: скрытое поле в форме, которое человек не видит и не заполняет, а бот заполняет автоматически. Четвёртый – проверка телефона через SMS-код. Для заявки на смету достаточно honeypot и SMS, для тендера можно добавить более строгие правила.
Важный момент: TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки. То есть если конкурент решит залить форму тысячей запросов, вы не получите счёт за отражённый трафик. Это отличает модель от многих зарубежных сервисов, где защита от L7 DDoS упирается в лимиты тарифа.
Honeypot и SMS-проверка телефона: как это работает на практике
Honeypot – самое дешёвое и незаметное решение. В HTML-форму добавляется поле, скрытое через CSS, с безобидным именем вроде “website” или “company”. Реальный пользователь его не видит и не заполняет. аналог cloudflare pages offers additional context worth reviewing. Бот, который парсит форму, заполняет все поля подряд, и запрос отсекается на входе. Настройка занимает минуты, не требует внешних сервисов и не влияет на пользовательский опыт.
SMS-проверка телефона работает как второй барьер. После отправки формы система запрашивает код, пользователь вводит его, и только тогда заявка попадает в CRM. Это отсекает не только ботов, но и ручной спам: конкурент не будет заводить десятки реальных SIM-карт, чтобы забить форму. Для строительной компании это особенно важно, потому что заявки на смету часто приходят с мобильных, и SMS-подтверждение не воспринимается как лишний шаг.
Комбинация honeypot и SMS даёт двойной фильтр: первый отсекает автоматику, второй – людей с дурными намерениями. При этом стоимость SMS-подтверждения несопоставима с потерями от сорванной лидогенерации. В тендерном сценарии можно добавить третий барьер: проверку ИНН компании через открытые реестры. Но это уже за пределами базового профиля.
Что настроить в TrafficVeil и как не сломать каталог
TrafficVeil объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели. Для точечной защиты форм вам понадобятся три раздела: правила WAF, настройки rate limiting и модуль проверки ботов. Всё это применяется к конкретным путям, а не ко всему домену. Каталог проектов, страницы услуг и блог остаются вне профиля, поэтому скорость их отдачи не меняется.
Порядок настройки выглядит так. Сначала вы переносите DNS на TrafficVeil и выпускаете SSL-сертификат. Затем в разделе WAF создаёте профиль и привязываете его к URL обработчиков форм. После этого включаете honeypot на стороне формы и подключаете SMS-проверку через API. В конце настраиваете GeoIP-фильтрацию, если часть атак идёт из-за рубежа, и смотрите аналитику по заблокированным запросам.
Отдельно стоит проверить, как профиль ведёт себя с WordPress и Bitrix. Обе платформы имеют собственные механизмы обработки форм, и WAF-правила не должны конфликтовать с ними. В TrafficVeil есть готовые шаблоны для этих CMS, которые учитывают особенности их AJAX-запросов. Если сайт на Bitrix, стоит протестировать профиль на тестовом стенде перед публикацией.
Ещё один нюанс – CDN. Если вы используете CDN для ускорения отдачи статики, убедитесь, что защищённые формы не кэшируются. Обычно это решается настройкой заголовков Cache-Control на уровне reverse proxy. TrafficVeil подходит для сайтов, интернет-магазинов, WordPress и Bitrix, и в каждом случае профиль настраивается под конкретную архитектуру.
Если сайт сейчас работает на Cloudflare, переход стоит спланировать заранее. TrafficVeil предлагает переход с Cloudflare с сохранением текущих настроек DNS и SSL. Это важно, потому что российские интернет-провайдеры ограничивают доступ к сайтам на Cloudflare, и часть аудитории может не видеть формы заявок. Бизнес в России ищет альтернативу Cloudflare в 2026 году не из-за моды, а из-за реальных сбоев в работе форм.
Практический итог такой: не нужно закрывать WAF-профилем весь сайт строительной компании. Выделите заявку на смету и подачу тендера, добавьте honeypot и SMS-проверку телефона, настройте rate limiting и GeoIP-фильтрацию. Каталог проектов останется быстрым, отдел продаж перестанет тонуть в мусорных обращениях, а конкурентные атаки будут отсекаться на входе. Проверьте профиль на тестовом стенде, замерьте скорость форм до и после, и только потом переносите на продакшен. Такой подход дешевле полной защиты и решает конкретную задачу без лишних затрат.
