Многоуровневая защита форм Битрикс: как мы снизили спам на 95%
Мы столкнулись с проектом, где 95% заявок были спамом: CRM забивалась мусорными лидами, email-очереди перегружались, аналитика искажалась. Ежемесячные потери на ручной модерации достигали сотен тысяч рублей. После внедрения нашей защиты нагрузка на сервер снизилась втрое, а расходы на модерацию сократились до 90%. На другом проекте с 5000 форм в день клиент сэкономил значительные средства за счёт автоматизации фильтрации. Стандартная CAPTCHA от Битрикс (bitrix:main.captcha) — изображение с символами — практически не работает: современные боты распознают её с точностью 95%+. Нужен многоуровневый подход, который не требует от пользователя лишних действий и не ломает UX.
Почему одного метода недостаточно?
Каждый метод защиты имеет слабые места. Honeypot останавливает простых ботов, но умные обходят скрытые поля. Тайминг блокирует мгновенные отправки, но некоторые боты задерживаются. Rate limiter эффективен против массовых атак, но не защищает от распределённых. Комбинируя их, мы перекрываем все векторы.
Например, honeypot отсеивает 80% ботов, но оставшиеся 20% — это умные боты, которые обходят скрытые поля. Тайминг ловит ещё 50% из них, но некоторые боты эмулируют задержку. Rate limiter завершает картину, блокируя повторные атаки с одного источника. Такая комбинация даёт совокупную эффективность 95%+.
Какие методы защищают от спама?
Honeypot: скрытое поле для ботов
Добавляем в форму скрытое поле, которое боты заполняют, а люди — нет. Сервер проверяет: если поле не пустое — тихо игнорируем запрос.
<div style="position:absolute;left:-9999px;top:-9999px;opacity:0;height:0;overflow:hidden"> <label for="email_confirm">Leave empty</label> <input type="text" id="email_confirm" name="email_confirm" tabindex="-1" autocomplete="off" value=""> </div> // Серверная проверка if (!empty($data['email_confirm'])) { echo json_encode(['success' => true]); exit; } Тайминг: защита от быстрых отправок
При рендере записываем timestamp в скрытое поле. На сервере проверяем: если прошло меньше 3 секунд — бот (тихий успех). Если больше часа — сессия истекла.
$formToken = base64_encode(json_encode([ 'ts' => time(), 'sessid' => bitrix_sessid(), ])); // в шаблоне: <input type="hidden" name="form_token" value="<?= htmlspecialchars($formToken) ?>"> // Проверка $token = json_decode(base64_decode($data['form_token'] ?? ''), true); $timeElapsed = time() - (int)($token['ts'] ?? 0); if ($timeElapsed < 3) { $this->markSpam('timing', $timeElapsed); exit(json_encode(['success' => true])); } if ($timeElapsed > 3600) { exit(json_encode(['success' => false, 'error' => 'Сессия истекла. Обновите страницу.'])); } Rate limiter: ограничение частоты запросов
Развёрнутый пример класса RateLimiter
Ограничиваем количество заявок с одного IP, email или телефона за период. Используем кеш Битрикс или Redis.
class RateLimiter { private const LIMITS = [ 'ip' => ['max' => 5, 'window' => 3600], 'email' => ['max' => 3, 'window' => 86400], 'phone' => ['max' => 2, 'window' => 86400], ]; public function check(string $type, string $identifier): bool { $limit = self::LIMITS[$type] ?? ['max' => 3, 'window' => 3600]; $key = 'spam_rl_'.$type.'_'.md5($identifier); $cache = \Bitrix\Main\Application::getInstance()->getManagedCache(); $count = (int)$cache->get($key); if ($count >= $limit['max']) { \CEventLog::Add([ 'SEVERITY' => 'WARNING', 'AUDIT_TYPE_ID' => 'SPAM_BLOCKED', 'MODULE_ID' => 'local.antispam', 'DESCRIPTION' => "Blocked: type={$type}, id={$identifier}", ]); return false; } $cache->set($key, $count + 1, $limit['window']); return true; } } В журнале событий Битрикс (CEventLog) фиксируется: тип атаки, идентификатор, IP, время. Это помогает анализировать паттерны и корректировать лимиты.
Дополнительно проверяем email на disposable-домены и MX-запись, а телефон — по формату и чёрным спискам. Это отсеивает ещё ~60% остаточного спама.
Какую капчу выбрать для российского сайта?
Для российской аудитории Google reCAPTCHA может блокироваться. Мы используем Yandex SmartCaptcha или Cloudflare Turnstile — они работают без VPN и не требуют ввода символов. Интеграция аналогична: фронтенд получает токен, сервер проверяет через API.
// Yandex SmartCaptcha function verifyYandexCaptcha(string $token): bool { $ch = curl_init('https://smartcaptcha.yandexcloud.net/validate'); curl_setopt_array($ch, [ CURLOPT_POST => true, CURLOPT_POSTFIELDS => http_build_query([ 'secret' => $secretKey, 'token' => $token, 'ip' => $_SERVER['REMOTE_ADDR'], ]), CURLOPT_RETURNTRANSFER => true, CURLOPT_TIMEOUT => 5, ]); $result = json_decode(curl_exec($ch), true); curl_close($ch); return ($result['status'] ?? '') === 'ok'; } Сравнение провайдеров и их эффективность
| Провайдер | Тип проверки | Доступность в РФ | UX | Эффективность |
|---|---|---|---|---|
| reCAPTCHA v3 | Безкапчевая (оценка) | Нестабильно | Высокий | 90–95% |
| Yandex SmartCaptcha | Безкапчевая / кнопка | Стабильно | Высокий | 90–95% |
| Cloudflare Turnstile | Безкапчевая | Стабильно | Высокий | 85–90% |
Эффективность комбинации базовых методов против спама:
| Метод | Описание | Эффективность |
|---|---|---|
| Honeypot | Скрытое поле для ботов | ~80% спама |
| Тайминг | Отправка быстрее 3с = бот | ~50% ботов |
| Rate limiter | Лимит отправок с одного IP | ~70% массовых атак |
| reCAPTCHA v3 / Turnstile | Безкапчевая проверка | 90–95% |
| Проверка email/телефона | MX-запись, disposable-домены, чёрные списки | ~60% остаточного |
Что входит в наш антиспам-пакет?
Этапы работ
- Аналитика — сбор требований, аудит существующих форм и нагрузки.
- Проектирование — выбор методов, архитектура с учётом кеша и производительности.
- Реализация — разработка модуля, написание кода, юнит-тесты.
- Тест — нагрузочное тестирование (имитация ботов), проверка UX.
- Деплой — развёртывание на боевом сервере, мониторинг первых дней.
Сроки и стоимость
Базовый набор (honeypot + тайминг + rate limiter) — 3–5 дней. Полный стек со SmartCaptcha и дашбордом — 1–2 недели. Стоимость рассчитывается индивидуально в зависимости от объёма форм и нагрузки. В среднем экономия бюджета на спаме — до 90% затрат на модерацию.
Что делать, если rate limiter блокирует реальных пользователей?
Мы настраиваем адаптивные лимиты: например, после 3 отправок с одного IP в час показываем капчу вместо полной блокировки. Также ведём лог и анализируем ложные срабатывания, корректируя пороги.
Почему стоит выбрать нас?
Мы — команда сертифицированных специалистов 1С-Битрикс с опытом более 50 проектов в области защиты форм. Наши решения проверены на проектах с нагрузкой 10 000+ заявок в сутки. Гарантируем поддержку и доработки после внедрения. Закажите предварительную оценку вашего проекта — получите консультацию и расчёт сроков. Свяжитесь с нами для предварительной оценки текущих форм.