Как защитить сайт от DDoS-атак
Базовый уровень, который ничего не стоит
Поставить CDN/reverse-proxy перед основным сервером — бесплатный тариф Cloudflare — типичный вариант по умолчанию — поглощает огромную долю базовых атак ещё до того, как они доходят до вашего реального хостинга, потому что сеть CDN рассчитана на всплески трафика, с которыми ваш собственный сервер не справится.
Rate limiting (ограничение числа запросов с одного IP в минуту) и набор правил веб-файрвола (WAF) отлавливают большую часть автоматизированного, не очень изощрённого потока трафика, без необходимости отдельного анти-DDoS продукта.
Когда платить за выделенную защиту
Сайтам с интернет-магазином, обработкой платежей или в конкурентной/агрессивной нише (гемблинг, крипта, всё, где есть активные конкуренты, способные вас атаковать) стоит закладывать реальный бюджет на анти-DDoS — платные тарифы Cloudflare, AWS Shield или специализированный провайдер, в зависимости от масштаба.
Сигнал, что пора платить: бесплатный тариф CDN начинает показывать в дашборде атакующий трафик, который он всё же поглощает (хороший знак, что защита работает), но вы при этом видите реальные простои или деградацию производительности в такие всплески (знак, что лимиты бесплатного тарифа пробиваются).
Помимо DDoS: базовая безопасность сайта
HTTPS везде (не только на странице входа), актуальные версии CMS/плагинов и базовые security-заголовки (Content-Security-Policy, X-Frame-Options) закрывают самые частые, автоматизированные векторы атак — большинство взломов сайтов — это оппортунистическое сканирование, находящее устаревший плагин, а не целевая атака.
Ничего из этого не опционально, как только у сайта появляется реальный трафик: атакующему не нужна причина целиться именно в вас — и DDoS-потоки, и рутинное сканирование на уязвимости работают постоянно, автоматически, практически против любого публичного IP в интернете.
А ваш контент готов к историям вроде этих?
Запустите бесплатную проверку AI Readiness — retrieval, extractability, сигналы schema.org и приоритизированное ТЗ на правки, оценённые так, как страницу реально читает ИИ-ассистент.