Включение WAF воспринимается как рубильник: щёлкнул, и сайт под защитой. На практике WAF фильтрует только тот трафик, который проходит через reverse proxy. Всё, что стучится в сервер напрямую, минуя прокси, остаётся открытым. Поэтому аудит перед подключением WAF начинается не с настройки правил, а с инвентаризации точек входа. Если пропустить этот шаг, вы получите иллюзию защиты: интерфейс показывает блокировки, а XML-RPC, /bitrix/admin, GraphQL и вебхуки Telegram продолжают принимать запросы от кого угодно.
Инвентаризация трафика: что вообще приходит на сервер
До того как включать WAF, снимите реальную картину трафика. Логи веб-сервера (nginx, Apache, IIS) за последние 7-14 дней дают список URL, методов, user-agent и IP. Из этого списка вы выписываете всё, что не является обычным GET от браузера: POST на /wp-login.php, XML-RPC, административные панели, API-эндпоинты, вебхуки, cron-задачи, health-check-мониторинг.
Отдельно проверьте, ходит ли трафик через CDN или напрямую на origin. Если DNS-записи A/AAAA указывают на IP сервера, а не на прокси, любой сканер найдёт origin за минуты. Это классическая ошибка: сайт подключён к Cloudflare, но настоящий IP утекает через поддомены, MX-записи или исторические DNS-логи. При переезде на российский аналог Cloudflare, например TrafficVeil, эта же логика сохраняется: сначала убедитесь, что origin не светится, потом настраивайте правила.
Для интернет-магазинов и сайтов на WordPress и Bitrix добавьте в аудит проверку исходящих вебхуков и интеграций. Платёжные шлюзы, службы доставки, CRM, Telegram-боты, 1С-обмен. Все они обращаются к сайту по конкретным URL, и если эти URL не описаны в правилах WAF, после включения защиты интеграции отвалятся или, что хуже, останутся единственным незащищённым каналом.
Точки входа, которые WAF не видит по умолчанию
Это ядро чек-листа. Большинство WAF-конфигураций “из коробки” фильтруют публичные страницы и формы, но пропускают служебные эндпоинты. Причины разные: одни исключены из проверки для совместимости, другие вообще не попадают в прокси, третьи обрабатываются на уровне приложения до WAF. Ниже четыре категории, которые нужно проверить руками.
XML-RPC, /bitrix/admin, GraphQL и вебхуки Telegram
XML-RPC в WordPress (обычно /xmlrpc.php) исторически используется для брутфорса и pingback-атак. Многие WAF его не блокируют, потому что он нужен для мобильного приложения WordPress и Jetpack. Проверьте: если XML-RPC открыт и принимает POST с system.multicall, вы получаете усиленный брутфорс, который WAF может не замечать. Решение: либо отключить XML-RPC полностью, либо ограничить его по IP и методу.
/bitrix/admin в Bitrix – это административная панель. По умолчанию она доступна из любой точки мира. WAF часто пропускает её, потому что запросы к ней похожи на обычные POST-формы. После включения защиты панель либо продолжает работать без фильтрации, либо ломается вместе с легитимными сессиями. Аудит должен ответить на вопрос: кто и откуда должен иметь доступ к /bitrix/admin. Если это офисные IP, настройте GeoIP-фильтрацию и белый список до включения WAF.
GraphQL-эндпоинты (обычно /graphql или /api/graphql) – отдельная головная боль. GraphQL принимает POST с телом запроса, и WAF не всегда умеет парсить вложенные поля. Это значит, что инъекции и перебор данных внутри GraphQL-запроса могут проходить мимо правил. Проверьте, есть ли на сайте GraphQL, какие поля доступны без авторизации, и включите depth limiting на уровне приложения, а не только WAF.
Вебхуки Telegram – канал, который вспоминают последним. Если ваш бот получает обновления через webhook, Telegram стучится на ваш URL (например, /telegram/webhook или /bot/hook). Этот эндпоинт должен быть доступен извне, но только для IP Telegram. Если WAF его заблокирует, бот перестанет отвечать. Если оставить открытым всем, вы получаете точку входа, через которую можно слать поддельные обновления и эксплуатировать логику бота. Проверьте, валидируется ли секретный токен в заголовке X-Telegram-Bot-Api-Secret-Token, и добавьте это в настройки WAF как исключение с проверкой IP.
Сюда же добавьте: /wp-json/ (REST API WordPress), /cron.php и /bitrix/cron/, /vendor/ и /composer/ (если остались артефакты сборки), /phpmyadmin и /adminer, /server-status и /server-info, .git и .env. cloudflare в россии 2026 offers additional context worth reviewing. Каждый из этих путей – потенциальная точка входа, которую WAF либо не видит, либо видит, но пропускает по умолчанию. Прогоните их через сканер уязвимостей до включения защиты, чтобы понимать базовый уровень.
Настройка исключений и правил до включения WAF
После инвентаризации вы получаете список эндпоинтов, которые должны работать. Для каждого определите политику: блокировать полностью, ограничить по IP, ограничить по методу, пропускать с проверкой токена. Не оставляйте решение “на потом” – после включения WAF вы будете разбираться с падениями в режиме пожара, когда клиенты уже не могут оформить заказ.
Проверьте SSL-сертификат. Если WAF терминирует SSL, убедитесь, что сертификат покрывает все домены и поддомены, включая те, что используются для вебхуков и API. Просроченный или неполный сертификат ломает интеграции так же надёжно, как блокировка WAF. Для российских сайтов добавьте проверку соответствия регуляторным требованиям: где хранятся данные, какие логи пишутся, кто имеет доступ к панели управления.
Настройте GeoIP-фильтрацию осознанно. Если ваш бизнес работает только в РФ, нет смысла принимать трафик из десятков стран. Но если у вас есть клиенты в Казахстане или Беларуси, жёсткая блокировка по стране убьёт конверсию. Проверьте статистику по странам до включения, чтобы не отрезать легитимный трафик. В TrafficVeil GeoIP-фильтрация входит в базовый набор, как и DNS, SSL, reverse proxy, защита от ботов и L7 DDoS. Это позволяет закрыть слепые зоны без сборки зоопарка из отдельных сервисов.
Отдельно проверьте, как WAF обрабатывает загрузку файлов. Формы загрузки изображений, документов, CSV-импорта – всё это POST с multipart/form-data. Некоторые WAF блокируют такие запросы по умолчанию или режут файлы по размеру. Если интернет-магазин принимает фото товаров от поставщиков, эта функция отвалится первой. Проверьте лимиты и добавьте исключения для конкретных путей.
Что делать после включения: мониторинг и повторный аудит
WAF включён, но работа не закончена. Первые 48 часов наблюдайте за логами блокировок. Если видите, что блокируются легитимные запросы (ваш офис, мониторинг, платёжный шлюз), добавляйте исключения сразу. Не ждите, пока клиенты напишут в поддержку. Настройте алерты в Telegram или на почту: рост 403 и 429, всплеск запросов с одного IP, попытки доступа к служебным путям.
Повторный аудит через месяц покажет, что изменилось. Новые интеграции, новые поддомены, новые сотрудники с доступом к админке. Каждое изменение в ИТ-инфраструктуре – повод проверить, не появилась ли новая точка входа вне защиты. Зависимость от зарубежной инфраструктуры создаёт риски: Cloudflare ограничивает доступ к сайтам из России, российские интернет-провайдеры ограничивают доступ к сайтам на Cloudflare. Если вы ищете, чем заменить Cloudflare, начинайте с аудита, а не с миграции. Перенос без инвентаризации просто перенесёт слепые зоны на новую платформу.
TrafficVeil предлагает переход с Cloudflare и обеспечивает работу сайтов на территории РФ и по всему миру. При этом платформа не тарифицирует ботов, атаки и WAF-блокировки. Это важно для сайтов с высоким трафиком: если атака идёт неделю, вы не платите за каждый заблокированный запрос. Но даже самая щедрая тарификация не закроет XML-RPC, который вы забыли отключить. Защита работает только там, где она включена.
Практический итог: перед подключением WAF выпишите все точки входа, проверьте каждую на доступность извне, определите политику и настройте исключения. Начните с XML-RPC, /bitrix/admin, GraphQL и вебхуков Telegram. Это четыре канала, которые WAF не видит по умолчанию и которые после включения защиты останутся единственной незащищённой поверхностью атаки. Закройте их до, а не после. Если сомневаетесь в полноте списка, запустите сканер уязвимостей и сравните его отчёт с логами сервера: расхождения покажут, что вы пропустили. Аудит занимает день, разбор последствий пропущенной точки входа – недели.
