Что такое WAF?
WAF (Web Application Firewall) — это фильтр между сайтом и внешним интернетом, который проверяет каждый входящий запрос и отсекает вредоносные, не пропуская их до кода приложения.
WAF расшифровывается как Web Application Firewall — «межсетевой экран для веб-приложений». Простыми словами, это охранник на входе в сайт: он смотрит на запросы посетителей, ботов и хакеров и решает, кого пустить внутрь. Бизнесу он нужен, чтобы сайт не положили, не украли базу клиентов и не подменили страницы, — но при этом важно не перекрыть доступ поисковым системам, иначе сайт потеряет трафик.
Как работает WAF
WAF ставится на одном из трёх уровней: облачный сервис перед сайтом, модуль на веб-сервере (например, ModSecurity) или встроенная защита у хостинга и CDN. Запрос от браузера сначала попадает в фильтр, проходит проверку и только потом доходит до сервера.
Работают такие фильтры двумя способами. Сигнатурный — сравнивает запрос с базой известных атак: SQL-инъекции, XSS, попытки чтения системных файлов, подбор паролей. Поведенческий — ищет аномалии: слишком много запросов с одного IP, странные заголовки, нетипичный user-agent. Современные решения совмещают оба подхода и добавляют репутационные базы IP-адресов.
Что именно проверяет фильтр:
- параметры URL и тела POST-запросов;
- HTTP-заголовки, cookie и user-agent;
- частоту обращений с одного адреса (rate limiting);
- географию и репутацию IP.
Зачем WAF нужен бизнесу
Даже небольшой корпоративный сайт с формой обратной связи ежедневно получает сотни автоматических атак: сканеры ищут уязвимости, боты подбирают пароли в админку, спамеры заливают сообщения через формы. WAF отсекает большую часть этого ещё до того, как запрос дойдёт до кода сайта, и заодно снижает нагрузку на сервер.
Отдельная история — веб-сервисы: у API нет браузера и привычных проверок, поэтому именно туда чаще всего бьют. Плюс требования платёжных систем: для страниц с оплатой PCI DSS прямо предписывает наличие WAF.
WAF и поисковые боты: где чаще всего ломается SEO
Главная практическая проблема: фильтр блокирует не только хакеров, но и легитимных поисковых ботов. Типичные причины — слишком жёсткий rate limiting, блокировка по user-agent или целым IP-диапазонам, JavaScript-проверка, которую робот не проходит, запрет на целые страны.
Если Яндексбот или Googlebot получает ответ 403, последствия видны не сразу: снижается частота обхода, новые страницы не индексируются, из поисковой выдачи постепенно выпадают сниппеты. Симптом — рост ошибок доступа в Search Console и Яндекс.Вебмастере при неизменном контенте и падающий трафик.
К 2026 году добавился ещё один слой — ИИ-краулеры. Если вы хотите попадать в ответы ИИ-поиска, их тоже нужно пропускать, а не рубить на входе. И проверять их следует по официальным IP-диапазонам, а не только по строке user-agent, которую подделать элементарно.
Как настроить защиту без вреда для трафика
- Включите режим обучения на одну-две недели и посмотрите в логах, кого фильтр блокирует.
- Внесите в белый список официальные адреса поисковых систем и ИИ-краулеров, проверяя обратный DNS, а не только заголовок.
- Разведите правила: строгие — для админки, форм и API, мягкие — для роботов чтения.
- Исключите из лимитов карту сайта, robots.txt и страницы каталога.
- Настройте оповещения о росте ответов 403 и 429 для ботов.
- Следите за задержкой: если фильтр тормозит отдачу страниц, это отражается на Core Web Vitals.
Самая частая ошибка — включить «максимальный уровень защиты» по умолчанию и забыть о нём. Второй по популярности провал — правки в конфигурации без проверки: после каждого изменения стоит вручную запрашивать страницы с нужными user-agent и смотреть код ответа.
Вывод
WAF — обязательный слой защиты современного сайта, но одновременно и частая причина потери поискового трафика. Рабочая логика простая: жёсткие правила для админки и API, проверенные белые списки для поисковых и ИИ-ботов, регулярный мониторинг логов и ошибок обхода. Тогда защита помогает, а не мешает росту.
