DDoS на маленький сайт: как защититься без Cloudflare

DDoS от простой медленной работы отличают по логам: при атаке нагрузка на процессор растёт в 10-30 раз, а в логе видны тысячи запросов с узкого набора адресов. Первые 15 минут уходят не на защиту, а на диагностику. Платная защита начинается от 1990 рублей в месяц.

Cloudflare долгое время был ответом по умолчанию: бесплатный план, защита от DDoS, кеширование, всё в один клик. С 2024 года на территории России доступ к Cloudflare работает с перебоями, и часть моих клиентов на нём уже теряли посетителей. Альтернативы есть, и для маленького сайта их даже больше, чем казалось.

DDoS на сайт малого бизнеса в 2026 году это не редкость и не фантастика. Атаки бывают трёх типов: случайные (вы попали в общий ботнет, который сканирует все подряд), мстительные (поставщик, конкурент, недовольный клиент) и шантажные (письмо с требованием выкупа). У меня в практике все три типа были, и решались по-разному. Ниже разложу, что делать каждым типом, в каком порядке и сколько это стоит.

Как понять, что идёт DDoS, а не просто медленно

Признаки настоящей атаки:

1. Сайт лежит или сильно тормозит, при этом раньше всё было хорошо.
2. В логах сотни запросов в секунду с одних и тех же endpoint (/, /wp-login.php, /index.php?s=...).
3. CPU хостинга в потолке, в панели хостинга красные индикаторы.
4. Хостер прислал письмо «превышение лимита нагрузки».
5. География ботов разная или, наоборот, подозрительно одинаковая (все из одной страны или AS).

Что НЕ DDoS:

• Сайт медленный сам по себе всегда. Это плохая оптимизация, не атака.
• Хостинг периодически отваливается. Это или плохой провайдер, или ваш WordPress перегружает базу.
• В выдаче Яндекса упали позиции. Это SEO-проблема.

Если попало под атаку, дальше действуем по плану.

Первые 15 минут

Что я делаю, когда клиент пишет «сайт лежит, на главной 502».

Шаг 1. Подтвердить нагрузку. Открываю SSH в хостинге и смотрю:

tail -f /home/cr43080/.logs/saitfix.ru.access.log

Если в секунду пробегает по 50-100 строк это атака.

Шаг 2. Включить «sleep mode». Многие хостеры в России (Timeweb, Beget, Reg.ru) имеют кнопку «защита от DDoS» в панели управления. Включаем сразу. Часть атаки уходит на хостер.

Шаг 3. Поставить заглушку. Если хостер не может защитить сам, я меняю index.html на простую страницу-заглушку «технические работы, простите, мы вернёмся через час». Заодно можно дать посетителям альтернативный канал связи: телефон, Telegram, WhatsApp, email. Сайт лежит, но клиенты доходят.

Шаг 4. Узнать рисунок атаки. В логе смотрим топ User-Agent, топ IP, топ URL.

awk -F'"' '{print $6}' access.log | sort | uniq -c | sort -rn | head -20
awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20
awk -F'"' '{print $2}' access.log | sort | uniq -c | sort -rn | head -20

Если атака с 5-10 IP закрываем их в .htaccess, и всё. Если с 5000 IP это серьёзная атака, нужно подключать большую защиту.

Защита уровня 1: бесплатная и встроенная

Защита от хостера

Большинство больших российских хостеров имеют встроенную защиту от DDoS:

• Timeweb есть на VPS, часть тарифов shared. Включается в панели.
• Beget базовая защита включена по умолчанию, кнопка усиления в панели.
• Reg.ru кнопка в панели «защита от DDoS» бесплатно для обычной нагрузки.
• FirstVDS включена для всех VPS.

Уровень защиты обычно 1-3 уровня OSI (сеть и транспорт). От SYN-flood, амплификации DNS, простых TCP-атак отбивает. От L7 (атака на HTTP-уровне) часто не отбивает.

Если ваш хостер не предлагает встроенную защиту, или она слаба, переходим дальше.

.htaccess: rate-limit и блокировка

Базовые правила, которые отбивают самые тупые атаки.

Блокировка по User-Agent. Если атака идёт с явно ботовых User-Agent (часто там Python, Go-http-client, или вообще пусто), режем:

RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} (python-requests|go-http-client|libwww|java/) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^$
RewriteRule .* - [F,L]

Блокировка по IP. Топ IP из лога вписываем напрямую:

<RequireAll>
    Require all granted
    Require not ip 1.2.3.0/24
    Require not ip 5.6.7.0/24
</RequireAll>

Блокировка по стране через GeoIP (если у хостера есть mod_geoip). Если атака идёт из конкретной страны:

RewriteCond %{ENV:GEOIP_COUNTRY_CODE} ^(CN|VN|PH)$
RewriteRule .* - [F,L]

Все эти правила работают быстро, потому что Apache применяет их до запуска PHP. Это разгружает сайт.

Кеширование агрессивнее обычного

Если атака идёт на главную, кешируем главную целиком. На WordPress подойдёт LiteSpeed Cache, WP Super Cache или WP Rocket. Включаем Cache for everyone и Cache for logged-in users (на время атаки можно).

Главная отдаётся как статика без обращения к PHP и базе. CPU падает в 10-30 раз. Большая часть атаки утыкается в кеш и не доходит до движка.

Защита уровня 2: платный CDN и DDoS-провайдер

Если бесплатные меры не справляются, нужно подключать сервис, специализирующийся на защите.

Качок (DDoS-Guard, Stormwall, Curator)

Российские провайдеры защиты от DDoS, работают в РФ без перебоев.

DDoS-Guard. Базовый тариф от 1990 рублей в месяц. Защита L3, L4, L7. Подключается через смену DNS A-записи на их IP. Они проксируют трафик через свои серверы, фильтруют, передают вам только чистое.

Stormwall. От 4900 рублей в месяц. Похожая модель, акцент на защиту от L7. Хорошо отбивает медленные атаки, в которых одиночные запросы выглядят как нормальные.

Curator (бывший Qrator). Корпоративный сегмент, от 25 тысяч рублей в месяц. Реально серьёзная защита, нагрузки в гигабиты в секунду. Для маленького сайта избыточно.

Подключение похоже на Cloudflare: меняешь DNS, отдаёшь сертификат (или они выпустят свой), весь трафик идёт через них. Минус только в цене и в небольшой латентности (10-30 мс).

Зарубежные альтернативы Cloudflare

BunnyCDN. CDN с базовой DDoS-защитой. От 1 доллара за гигабайт трафика. Из России работает стабильно. Защита от L3-L4 включена, L7 за отдельные деньги.

Fastly. Дороже, но качественнее. От 50 долларов в месяц. Из России доступен, но иногда тормозит.

KeyCDN. Простой как палка. От 0.04 доллара за гигабайт. DDoS-защиты толком нет, но ускорение даёт.

Все эти варианты работают через DNS-проксирование. Основные данные сайта остаются у вашего хостера, через CDN идёт только публичный трафик.

Альтернативный путь: хостер с защитой

Можно мигрировать на хостинг, у которого защита от DDoS включена в тарифе.

• DDoS-Guard Hosting есть свой хостинг с включённой защитой. От 990 рублей.
• Selectel Anti-DDoS на VPS включается переключателем, от 0 рублей сверху для базового уровня.
• Aeza хостинг с пакетным анти-DDoS, акценты на VPS.

Иногда быстрее переехать к защищённому хостеру, чем подключать сторонний сервис.

Защита уровня 3: своя инфраструктура

Если у вас VPS и есть root-доступ, можно сделать многое самому.

iptables / nftables

Простой rate-limit на уровне ядра:

iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT --reject-with tcp-reset
iptables -I INPUT -p tcp --dport 443 -m connlimit --connlimit-above 50 -j REJECT --reject-with tcp-reset

Это: не больше 50 одновременных соединений с одного IP. Блокирует SYN-flood и слабые атаки. Сильные атаки забивают канал ещё до того, как пакеты дойдут до iptables.

nginx с лимитами

Если у вас nginx, добавляем rate-limit прямо в его конфигурации:

limit_req_zone $binary_remote_addr zone=mainzone:10m rate=10r/s;

server {
    ...
    location / {
        limit_req zone=mainzone burst=20 nodelay;
        ...
    }
}

Это: 10 запросов в секунду с одного IP, всплеск до 20, дальше 503. Большинство ботов спотыкаются.

fail2ban для Apache

Парсим access.log и блокируем тех, кто делает больше 200 запросов в минуту:

[apache-flood]
enabled = true
filter = apache-flood
logpath = /var/log/apache2/saitfix.ru-access.log
maxretry = 200
findtime = 60
bantime = 3600
action = iptables-multiport[name=floods, port="http,https"]

С фильтром, пропускающим всё:

[Definition]
failregex = ^<HOST>
ignoreregex =

Это режет любые IP, которые превышают порог. Работает на уровне сетевого ядра, не нагружает Apache.

Что делать с шантажом

Отдельная категория DDoS: атака с письмом «заплатите 0.01 BTC, и мы уйдём».

Никогда не платите. После оплаты вы попадаете в список «платящих» и атаки начинаются регулярнее. Заплатить раз это подписаться на абонентскую плату.

Сохраните письмо. Это может пригодиться при обращении в полицию или в Центр кибербезопасности банка, если шантаж серьёзный.

Подключите защиту и переждите. Большинство шантажистов накатывают 1-2 раза, видят, что не работает, и уходят. Серьёзные группировки маленькие сайты не атакуют, им невыгодно.

Не отвечайте на письмо. Любой ответ это подтверждение, что email живой и читается.

Когда без денег не обойтись

Реалистичная оценка: для маленького сайта услуг малого бизнеса в 2026 году бюджет на защиту от DDoS это:

• 0 рублей базовая защита хостера + грамотный .htaccess + кеширование. Отбивает 90 процентов атак.
• 1990 рублей в месяц DDoS-Guard стандартный тариф. Отбивает 99 процентов.
• 5-10 тысяч рублей в месяц Stormwall или DDoS-Guard продвинутый. Отбивает 99.5 процентов.
• 25+ тысяч рублей в месяц Curator или похожий энтерпрайз. Только если у вас бизнес зависит от непрерывного аптайма.

Большинство моих клиентов остаются на бесплатном уровне годами. К платной защите подключаемся, только если случилась реальная атака и базовых мер не хватило.

Профилактика

Что снижает шанс попасть под атаку.

Не светить IP сервера. Если вы светите свой IP в DNS как A-запись, атакующему дано всё. Защита перед сайтом (CDN или DDoS-провайдер) скрывает реальный IP, и удар идёт на их сеть, а не на ваш сервер.

Закрыть админку для внешнего мира. Половина DDoS-атак идёт на login-страницы. Если /wp-login.php закрыт по IP или по basic-auth, атаковать просто нечего.

Иметь актуальный бэкап. Если атака сопровождается дефейсом или взломом, готовый бэкап позволяет быстро восстановиться. Подробно про бэкапы я писал в материале о ретенции.

Держать запас по тарифу хостинга. Если ваш сайт обычно использует 50 процентов квоты CPU, у вас есть запас на пиковые нагрузки. Если 95 процентов любая лишняя нагрузка ломает сайт.

Иметь план Б. Заранее знать, куда мигрировать, если текущий хостер не справится. Иметь под рукой пароль от регистратора домена для быстрой смены DNS.

Чек-лист «у меня DDoS, что делать»

В порядке приоритета.

1. Подтвердил нагрузку через логи и панель хостера.
2. Включил защиту от DDoS у хостера (если есть кнопка).
3. Поставил заглушку «технические работы» с альтернативными каналами связи.
4. Посмотрел рисунок атаки: User-Agent, IP, страны, URL.
5. Заблокировал в .htaccess то, что блокируется (узкие User-Agent, конкретные IP, страны).
6. Включил агрессивное кеширование на главную и популярные страницы.
7. Если не помогло за 30 минут подключил DDoS-Guard или аналог по экспресс-схеме.
8. Записал атаку в журнал инцидентов: дата, рисунок, что помогло.
9. Через сутки разобрал, что можно улучшить на постоянной основе.

Куда дальше

Связанные материалы: Файл .htaccess против ботов и парсеров, Как ограничить число попыток входа в админку, CDN для российского сайта в 2026.

Если вы не хотите ни ловить атаки самостоятельно, ни выбирать DDoS-провайдера, у меня в годовом тарифе абонентского обслуживания этот сценарий разобран: договорённости с провайдером, рабочий .htaccess, мониторинг 24 на 7, дежурные действия в первые 15 минут. Подключиться через форму на главной.

Частые вопросы

Как понять, что это DDoS, а не просто тормоза

Посмотреть нагрузку и лог доступа. При атаке процессор загружен в разы сильнее обычного, а в логе тысячи однотипных запросов к одному адресу с ограниченного набора IP. Обычные тормоза так не выглядят.

Что делать в первые 15 минут

Снять картину: нагрузка, лог, какие адреса и какие URL. Потом включить самое дешёвое: ограничение частоты запросов, блокировку по подсетям и кэш для анонимных посетителей. Только после этого думать про платную защиту.

Сколько стоит защита от DDoS

Базовые тарифы российских провайдеров от 1990 рублей в месяц, более серьёзные от 4900. Для маленького сайта часто хватает встроенных средств хостинга и правил на уровне сервера.

Что делать при вымогательстве

Не платить и не отвечать. Оплата гарантирует повторение через месяц. Зафиксировать переписку, включить защиту и, если ущерб значимый, писать заявление.