Новости / 18.10.2026
Сайт под DDoS-атакой: что делать прямо сейчас
План на первые полчаса атаки: как понять, что это DDoS, а не поломка, что сделать на сервере и как подключить защиту, не дожидаясь конца атаки.
Сайт перестал открываться, сервер перегружен, а хостер пишет про атаку. Ниже план на первые полчаса: что проверить, что сделать на сервере и как подключить защиту прямо во время атаки.
Это точно атака
Признаки DDoS:
- в логах веб-сервера резко выросло число запросов;
- много запросов к одной странице или с одинаковым User-Agent;
- сервер перегружен, хотя живых посетителей в аналитике столько же, сколько обычно;
- хостер сообщает о блокировке адреса.
Исключите и обычные причины: кончилось место на диске, упала база данных, сломалось последнее обновление. Если в логе nginx тысячи запросов в секунду с разных адресов, это атака.
Первые 15 минут
- Не перезагружайте сервер по кругу: атака продолжится, а вы потеряете логи.
- Сохраните кусок лога. По нему потом будет понятно, какие страницы били и откуда.
- Если бьют по страницам (L7), включите лимиты в nginx и временно закройте тяжёлые страницы вроде поиска и фильтров.
- Если забит канал или хостер отключил адрес, на сервере уже ничего не сделать: трафик нужно принимать в другом месте.
Подключить защиту во время атаки
Переносить сайт не нужно, он остаётся на вашем сервере.
- Добавьте домен в панели и укажите адрес сервера.
- Поменяйте A-запись на адрес защиты или перенесите NS домена к нам. Если TTL записи короткий, трафик перейдёт за минуты.
- Включите режим «Проверка»: каждый новый посетитель проходит проверку браузера, а боты остаются на узлах.
- Закройте сервер от прямых подключений: 80 и 443 только с адресов узлов защиты. Если атакующий знает адрес, смените IP сервера. Почему это важно, рассказываем в статье «Как скрыть IP-адрес сервера».
Даже в пассивном режиме мы сами включаем проверку браузера для новых посетителей на время атаки, так что сайт не останется без защиты, если вы не успели переключить режим.
После атаки
Верните режим «Стандарт» и посмотрите в журнале, откуда шла атака и по каким путям била. По этим данным можно добавить правила: заблокировать страны, сети или отпечатки, ограничить частоту запросов к нужным страницам. Подробно о подключении — в документации.