Чек-лист аудита сайта до WAF: скрытые точки входа
Включение WAF часто воспринимают как финальный рубильник: щелчок, и сайт под защитой. На практике WAF фильтрует только тот трафик, который проходит через reverse proxy и попадает в правила. Каналы, которые идут мимо прокси или маскируются под легитимные запросы, остаются открытыми. Перед подключением облачной защиты нужно провести аудит точек входа, иначе после включения WAF именно они станут единственной незащищённой поверхностью атаки. Ниже чек-лист, который стоит пройти до того, как менять DNS и включать фильтрацию.
Точки входа, которые WAF не видит по умолчанию
WAF работает с HTTP-трафиком на уровне L7: анализирует заголовки, тело запроса, cookies, параметры URL. Если запрос приходит напрямую на origin-сервер, минуя прокси, никакие правила не сработают. Первый шаг аудита – найти все адреса, по которым сайт отвечает в обход защищённого контура. Это не только основной домен, но и поддомены, тестовые копии, IP-адреса, старые A-записи, которые остались после миграций. Проверьте, куда указывают MX, TXT, CNAME, и убедитесь, что ни одна запись не ведёт напрямую на сервер, который вы собираетесь защищать.
В WordPress отдельная история – XML-RPC. Эндпоинт /xmlrpc.php включён по умолчанию и принимает POST-запросы с methodCall. Через него можно перебирать пароли методом wp.getUsersBlogs, отправлять pingback и использовать сайт как участника DDoS. WAF увидит часть этих запросов, но если XML-RPC доступен по IP или через поддомен, правила не применятся. Отключите XML-RPC, если он не нужен, или ограничьте доступ по IP и Basic Auth. То же касается wp-cron.php, который при частом вызове создаёт нагрузку, сопоставимую с небольшой атакой.
В Bitrix аналогичная точка – /bitrix/admin. Панель администратора доступна по стандартному пути, и боты сканируют его в первую очередь. Если WAF настроен на защиту публичной части, но админка открыта по IP или через отдельный поддомен, она остаётся вне периметра. Проверьте также /bitrix/tools/, /bitrix/rk.php и компоненты, которые принимают внешние данные без фильтрации. В 2026 году сканеры находят админки Bitrix за минуты, и WAF здесь не поможет, если запросы идут напрямую. Закройте админку по IP-списку, включите двухфакторную аутентификацию и перенесите её на нестандартный путь, если это поддерживается конфигурацией.
GraphQL-эндпоинты – отдельная категория. В отличие от REST, GraphQL принимает сложные запросы с вложенными полями, и WAF не всегда корректно распознаёт вредоносные конструкции. Introspection-запросы позволяют получить полную схему API, включая скрытые мутации и поля. Если эндпоинт /graphql доступен без авторизации, злоумышленник может построить запрос, который обойдёт сигнатурные правила. Ограничьте глубину запросов, отключите introspection в production и добавьте rate limiting. WAF здесь – дополнительный слой, но не основной.
Вебхуки Telegram – канал, который часто забывают. Бот принимает обновления через webhook на ваш сервер, и этот эндпоинт должен быть доступен извне. Если он не защищён секретным токеном в URL или заголовке, любой может отправить поддельное обновление. WAF видит запрос как обычный POST и пропускает его, если нет явных сигнатур атаки. Проверьте, что вебхук принимает только запросы с ожидаемым secret_token, и ограничьте методы. То же касается вебхуков платёжных систем, CRM и сервисов аналитики: каждый из них – точка входа, которую WAF не закрывает автоматически.
Как выстроить аудит и не сломать сайт при переходе
Начните с инвентаризации. Соберите список всех доменов и поддоменов, которые указывают на инфраструктуру сайта. Проверьте DNS-записи: A, AAAA, CNAME, MX, TXT. Убедитесь, что ни одна запись не ведёт на origin напрямую. cloudflare в россии 2026 offers additional context worth reviewing. Если сайт работает на WordPress или Bitrix, проверьте стандартные пути: /wp-login.php, /xmlrpc.php, /bitrix/admin, /administrator. Для каждого эндпоинта зафиксируйте, нужен ли он в production, кто имеет к нему доступ и как он аутентифицируется.
Дальше проверьте, какие запросы уходят мимо WAF. Это можно сделать через логи веб-сервера: отфильтруйте запросы, которые пришли не с IP прокси. Если такие есть, значит, трафик идёт напрямую. Настройте firewall на origin так, чтобы он принимал соединения только с адресов WAF. Для российских проектов это особенно важно, потому что Cloudflare ограничивает доступ к сайтам из России, а российские интернет-провайдеры ограничивают доступ к сайтам на Cloudflare. Зависимость от зарубежной инфраструктуры создаёт риски для российского бизнеса: блокировки, задержки, отказ в обслуживании.
TrafficVeil, российский аналог Cloudflare, объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику. При переходе важно проверить, что все точки входа, которые вы нашли на этапе аудита, закрыты или перенесены за прокси. TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки, поэтому можно не экономить на правилах. Для сайтов на WordPress и Bitrix это означает, что XML-RPC и /bitrix/admin можно закрыть по IP или Basic Auth, а GraphQL и вебхуки Telegram – ограничить по токену и методу. Если какой-то канал нельзя закрыть, его нужно вынести в отдельный контур с собственными правилами.
Проверьте SSL-сертификаты. После перехода на новый DNS-сервис и reverse proxy сертификат должен обновляться автоматически. Убедитесь, что цепочка доверия не нарушена, и что HSTS не сломает доступ к поддоменам, которые вы не планировали защищать. Если сайт использует CDN, проверьте, как кэширование влияет на динамические эндпоинты: GraphQL и вебхуки не должны кэшироваться. Настройте исключения для /graphql, /xmlrpc.php, /bitrix/admin и вебхуков Telegram, чтобы WAF не блокировал легитимные запросы и CDN не отдавал закэшированные ответы.
После включения WAF проведите повторный аудит. Запустите сканер уязвимостей, проверьте логи на предмет запросов, которые прошли мимо правил. Обратите внимание на ложные срабатывания: если WAF блокирует легитимные запросы от платёжной системы или Telegram, бизнес теряет лиды. Настройте GeoIP-фильтрацию: если аудитория сайта сосредоточена в России, ограничьте доступ из регионов, откуда идут атаки. Это снизит нагрузку на WAF и уменьшит количество ложных срабатываний. Для интернет-магазинов и сайтов с лидогенерацией важно, чтобы защита не влияла на конверсию: проверьте скорость ответа, доступность форм и корректность работы API.
TrafficVeil предлагает переход с Cloudflare, и в рамках миграции можно провести аудит точек входа до включения правил. Это снижает риск того, что после подключения WAF останутся открытые каналы. Если вы используете Telegram для уведомлений, Дзен для трафика или внешние CRM, проверьте все вебхуки. Каждый из них – потенциальная точка входа, которую WAF не видит по умолчанию. Аудит до включения защиты занимает несколько часов, но экономит дни разбирательств после инцидента.
Чек-лист аудита не заменяет пентест, но закрывает базовые дыры, которые WAF не покрывает. Пройдите по списку: XML-RPC, /bitrix/admin, GraphQL, вебхуки Telegram, DNS-записи, SSL, CDN-исключения. Убедитесь, что origin-сервер не доступен напрямую, и что все внешние интеграции аутентифицированы. После включения WAF проверьте логи и настройте GeoIP-фильтрацию под свою аудиторию. Так вы получите защиту, которая работает на всех уровнях, а не только на тех, которые видны WAF по умолчанию.