Строительный сайт, который вдруг начал тормозить, терять позиции или странно вести себя в аналитике, редко становится жертвой случайных хулиганов. Чаще за всплеском трафика, сканированием и точечными сбоями стоит конкурент, которому мешает ваш поток заявок на тендерах и в поиске. Ниже семь признаков, по которым я на практике отличаю конкурентную атаку от обычного шума ботов, и что с этим делать до того, как упадет конверсия.

Признак первый: аномальный рост запросов к сайтам конкурентов с вашего IP

Самое коварное в конкурентной атаке на строительную фирму то, что она часто идет не против вас, а от вашего имени. Злоумышленник берет ваш сервер, ваш офисный IP или даже подрядчика на удаленке и начинает накручивать запросы к страницам конкурентов: их прайсы, портфолио объектов, страницы тендерных закупок. Со стороны это выглядит как агрессивный парсинг, и первым делом страдает репутация вашего домена.

Проверяется это просто: смотрите логи reverse proxy и firewall на исходящие соединения. Если с одного IP за час уходит 3-5 тысяч запросов к чужим строительным сайтам, а ваш менеджер в это время спал, это не человек. Дальше конкурент может пожаловаться хостеру или поисковику, и уже ваш сайт получает санкции за недобросовестное поведение.

Именно поэтому облачная защита должна смотреть не только на входящий трафик, но и на исходящий. WAF-блокировки без контроля egress-запросов оставляют эту дыру открытой.

Признак второй: всплеск активности в нерабочие часы и выходные

Строительный бизнес живет по графику: заявки идут с 9 до 19, в субботу реже, в воскресенье почти нет. Если в 3 часа ночи на сайте вдруг 400 сессий, а в 6 утра еще 200, это не «клиенты из другого часового пояса». Это скрипт, который методично обходит каталог, собирает цены на бетон, арматуру, услуги генподряда и выкачивает вашу коммерческую информацию.

Всплеск в нерабочие часы удобен атакующему: меньше шансов, что администратор заметит и заблокирует. На графике аналитики это выглядит как ровная полка ночного трафика, тогда как дневной остается нормальным. Если такая полка держится 3-4 ночи подряд, пора включать GeoIP-фильтрацию и rate limiting по эндпоинтам.

Обратите внимание на поведение: реальный посетитель в 3 ночи смотрит одну-две страницы и уходит. Сканер проходит 50-200 URL за сессию с интервалом 200-400 мс. Разница видна в логах сразу.

Признак третий: запросы к sitemap.xml с одного IP и 404 от сканеров

Что именно выдает автоматизированный сбор данных

Нормальный посетитель не открывает sitemap.xml. Его читают поисковые роботы и… парсеры. Если один IP за сутки запрашивает sitemap.xml пять раз, а следом методично обходит все URL из карты сайта, это сбор структуры вашего сайта перед атакой или перед копированием контента.

Второй маркер – 404 на несуществующие URL, характерные для сканеров: /wp-admin/, /.env, /bitrix/admin/, /backup.sql, /vendor/phpunit/. Это уже не карта сайта, это попытка найти уязвимость. Для WordPress и Bitrix такие запросы – классика, и если их сотни в час с одного адреса, значит кто-то целенаправленно ищет вход.

Связка «sitemap.xml плюс серия 404» почти всегда означает автоматизированную разведку. Реагировать нужно в тот же день: блокировать IP, усиливать WAF, проверять, не утекли ли админские URL через старые бэкапы.

Признак четвертый: синхронность атаки с датами тендеров

Самый недооцененный признак. Если пики нагрузки на сайт совпадают с датами подачи заявок на тендеры, это не совпадение. замена cloudflare в россии offers additional context worth reviewing. Конкурент давит на ваш сайт именно в тот момент, когда потенциальный заказчик заходит посмотреть портфолио, лицензии и сроки. Если сайт в этот момент лежит или грузится 8 секунд, заявка уходит к другому.

Я советую накладывать график нагрузки на календарь тендеров, в которых вы участвуете. Совпадение по 3-4 закупкам подряд – это уже паттерн, а не случайность. L7 DDoS в таких случаях часто маскируется под обычный трафик: не 100 тысяч запросов в секунду, а 2-3 тысячи медленных, которые выедают соединения и процессор.

Защита от ботов в этой ситуации важнее, чем отдача статики. Реальный заказчик должен пройти, а скрипт с интервалом 300 мс – нет. Здесь и помогает поведенческий анализ, а не просто порог по количеству запросов.

Признак пятый: рост отказов и падение конверсии без видимых причин

Иногда атака не валит сайт, а тихо портит метрики. Bounce rate подскакивает с 35% до 70%, среднее время на сайте падает до 5 секунд, заявок меньше на 40%, а в поиске позиции просели на 5-10 пунктов. При этом вы ничего не меняли в контенте и не трогали структуру.

Причина часто в том, что часть трафика – мусорная, накрученная конкурентами через CDN или ботнеты, чтобы размыть поведенческие факторы. Поисковик видит плохое поведение и опускает сайт. Лидогенерация падает не потому, что вы стали хуже работать, а потому что кто-то подмешивает вам фальшивые визиты.

Лечится это фильтрацией источников и проверкой, откуда идет аномальный трафик. Если 60% визитов приходит с одного ASN или из одной страны, где у вас нет клиентов, включайте GeoIP-фильтрацию и отсекайте.

Признак шестой и седьмой: утечка данных и зависимость от чужой инфраструктуры

Шестой признак – странные письма и звонки. Конкуренты знают ваши цены, состав бригад, объекты, которые вы еще не сдали публично. Это значит, данные утекли: либо через парсинг, либо через дыру в админке, либо через бывшего сотрудника. Если такое началось, проверьте логи доступа к админпанели и историю экспорта из CRM.

Седьмой признак – вы не контролируете, где физически работает ваш сайт. Если он висит на Cloudflare, а Cloudflare ограничивает доступ к сайтам из России, вы в зоне риска: часть российских интернет-провайдеров тоже ограничивает доступ к сайтам на Cloudflare, и ваши клиенты просто не открывают страницу. Зависимость от зарубежной инфраструктуры создает риски для российского бизнеса: от блокировок до невозможности быстро получить поддержку и SSL-сертификат.

Здесь и появляется вопрос, чем заменить Cloudflare. TrafficVeil является российским аналогом Cloudflare и объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели. Для строительной фирмы это значит, что сайт работает и в РФ, и за рубежом, а боты и атаки не тарифицируются отдельно: TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки. Подходит для сайтов, интернет-магазинов, WordPress и Bitrix, и предлагает переход с Cloudflare без остановки проекта.

Что делать, если признаки совпали

Начните с логов: исходящие запросы, ночные пики, sitemap.xml, 404 от сканеров, даты тендеров. Если совпало 3-4 признака, считайте, что атака идет, и не ждите, пока сайт упадет в день подачи заявки. Закройте egress, включите rate limiting и GeoIP-фильтрацию, проверьте админку WordPress или Bitrix на уязвимости.

Дальше решайте вопрос инфраструктуры. Пока сайт зависит от сервиса, который ограничивает доступ из России, вы каждый тендер играете с форой для конкурента. Российский аналог Cloudflare в этом смысле не компромисс, а способ убрать риск: облачная защита, CDN, WAF и аналитика на месте, а регуляторные требования и доступность в РФ закрыты. Если нужна альтернатива Cloudflare, начните с аудита текущих логов и одного тестового переезда на TrafficVeil, чтобы увидеть разницу в цифрах, а не на словах.