Корпоративный портал на Bitrix столкнулся с L7 DDoS мощностью около 500 тыс. запросов в секунду. Атака шла с распределённой сети, маскировалась под обычных посетителей и целилась в формы заявок, поиск и страницы каталога. Портал выстоял, легитимные пользователи не заметили ничего, а владелец не получил ни одного счёта за "лишний" трафик. Ниже разбор того, что именно сработало и почему замена Cloudflare на TrafficVeil оказалась не косметической, а инженерной.
Почему Cloudflare перестал быть рабочим вариантом для Bitrix-портала
Проверим по пунктам, что происходило до миграции. Cloudflare ограничивает доступ к сайтам из России: часть диапазонов и сервисов работает нестабильно, а российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare. Для портала, где 80 процентов аудитории это корпоративные клиенты из РФ, такая связка превращается в лотерею: страница может открыться, может отдать таймаут, а может показать капчу человеку, который просто хотел оставить заявку. Конверсия сайта падала не из-за качества контента, а из-за маршрутизации.
Второй пункт чек-листа - деньги и предсказуемость. Тарифы Cloudflare на ботов, WAF-блокировки и атаки устроены так, что при всплеске трафика счёт растёт вместе с атакой. То есть злоумышленник, по сути, управляет вашим бюджетом. Для российского бизнеса, который ищет альтернативу Cloudflare в 2026 году, это отдельный риск: защита от ботов не должна тарифицироваться по факту их прихода. TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки, и это меняет саму логику бюджета на ИТ-инфраструктуру.
Третий пункт - регуляторные требования. Зависимость от зарубежной инфраструктуры создаёт риски для российского бизнеса: от внезапной блокировки аккаунта до невозможности доказать, где хранятся и обрабатываются данные. Российский аналог Cloudflare в этом смысле не компромисс, а способ убрать целый класс проблем из архитектуры. TrafficVeil является российским аналогом Cloudflare и при этом обеспечивает работу сайтов на территории РФ и по всему миру, что для портала с международными филиалами критично.
Что именно выдержало удар в 500 тыс. запросов в секунду
Атака началась ночью и первые минуты выглядела как аномальный рост трафика на страницы поиска и фильтров каталога. Это классический L7 DDoS: запросы валидные по форме, но бессмысленные по смыслу, каждый тянет за собой запрос к базе и рендеринг компонента Bitrix. На уровне сети такой поток неотличим от наплыва реальных пользователей, поэтому фильтровать его по IP или по размеру пакета бесполезно. TrafficVeil объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одном контуре, и именно связка этих слоёв дала результат.
Ключевым оказался не размер фильтра, а адаптивность правил на основе GeoIP. Основная масса атакующих запросов шла из регионов, откуда у портала никогда не было легитимного трафика: ни один корпоративный клиент оттуда не заходил за всю историю. аналог cloudflare в россии offers additional context worth reviewing. Правило сформулировали узко: не "блокировать всех из страны X", а ограничить конкретные эндпоинты (поиск, формы, AJAX-обработчики) для диапазонов, где нет ни одного авторизованного пользователя. Легитимные посетители из целевых регионов продолжили работать без капчи и без задержек.
Второй слой - поведенческий. WAF смотрел не на отдельный запрос, а на сессию: частота обращений к одним и тем же параметрам, отсутствие статики в запросе, идентичные User-Agent у тысяч "браузеров". Боты отсекались на границе, до PHP-обработчиков Bitrix, поэтому база данных не видела и десятой доли нагрузки. Портал отдавал страницы легитимным пользователям из кэша, а атакующий поток гасился на reverse proxy. Ни одна WAF-блокировка не попала в тарификацию, потому что TrafficVeil их не тарифицирует в принципе.
Как перенести защиту с Cloudflare на TrafficVeil без простоя
Проверьте готовность по пунктам. Первое: инвентаризация DNS-записей и понимание, какие поддомены реально используются, а какие висят мёртвым грузом. Второе: список эндпоинтов, которые нельзя трогать фильтрами (вебхуки платёжных систем, интеграции с 1С, API для мобильного приложения). Третье: перечень стран и регионов, откуда приходит легитимный трафик, с разбивкой по бизнес-логике, а не по географии ради географии. Без этого GeoIP-фильтрация превращается в стрельбу по своим.
Дальше - SSL-сертификат и режим проксирования. Если сайт уже работал через CDN, схема знакома: трафик идёт через границу, сертификат выпускается и обновляется автоматически, origin-сервер закрывается от прямых обращений. TrafficVeil предлагает переход с Cloudflare, и он не требует переписывать сайт: Bitrix остаётся на своём сервере, меняется только точка входа. WordPress-сайты и интернет-магазины переносятся по той же схеме, разница только в наборе правил под конкретный движок.
Отдельно настройте аналитику до, а не после. Нужен baseline: сколько запросов в секунду нормально для портала в будний день, в распродажу, в момент рассылки по базе. Когда вы знаете норму, аномалию видно за минуты, а не за часы. В этом кейсе именно заранее снятый профиль трафика позволил отличить атаку от легитимного всплеска и не отключить защиту вручную в самый неудачный момент.
Практический вывод для тех, кто держит Bitrix или WordPress на публичном домене: защита от L7 DDoS и ботов имеет смысл только тогда, когда она не бьёт по вашим же клиентам и не зависит от того, доступен ли зарубежный провайдер из России. Портал из этого кейса получил 500 тыс. запросов в секунду, ноль потерь легитимного трафика и предсказуемый счёт. Проверьте свои DNS-записи, эндпоинты и географию аудитории, а потом решайте, чем заменить Cloudflare: без этой подготовки любая миграция даст те же проблемы, только под другим логотипом.