Вы открываете Яндекс Метрику, смотрите отчёт по географии – и видите странную картину: Сингапурские боты гуляют по вашему сайту, Время на сайте – 0:00, отказы – 98%, прямые заходы. При этом у вас нет клиентов в Азии, вы не запускали рекламу. Что происходит?
Сингапурские боты атакуют сайт. Это не сбой счётчика и не ошибка аналитики. Это автоматизированные программы с IP-адресов сингапурских дата-центров, которые имитируют живых посетителей. Их цель – накрутить поведенческие факторы (ПФ) или, наоборот, убить ваше SEO, создав массу отказов. Нашествие спам ботов из сингапура та ещё «радость».
В этой статье разберём:
кто такие сингапурские боты и почему их стало так много;
как они разрушают позиции сайта в поиске;
3 ручных способа блокировки (через .htaccess, Nginx и GeoIP) и их скрытые минусы;
почему прокси-сервер с фильтрацией трафика — единственное надёжное решение.
Важно: игнорирование ботов из Сингапура приводит к падению позиций, санкциям Яндекса и перегрузке хостинга. Действовать нужно сейчас.
Кто такие сингапурские боты и почему их нашествие набирает обороты
Сингапур – крупнейший цифровой хаб Юго-Восточной Азии. Там расположены дата-центры Google Cloud, Amazon AWS, Microsoft Azure и десятков других провайдеров. Аренда мощностей здесь дешевле, чем в Европе или России, а каналы связи – сверхскоростные.
Ниже предоставлю пример таких ботов, IP-сеть в метрике отображается как IPv4 address block not managed by the RIPE NCC — заходы с ОС Linux, а так же OC Windows. Прямые заходы, нулевая активность с отказами + Разрешение экрана — даёт понять очевидно, что это бот-трафик.
Для злоумышленников это идеальная база:
Чистые IP-адреса – они не в чёрных списках, потому что ранее не использовались для атак.
Низкая стоимость – можно арендовать тысячи виртуальных серверов и гонять ботов 24/7.
Сложная блокировка – из-за доверенной инфраструктуры Яндекс и Google не банят эти IP автоматически.
По данным отчёта Cloudflare о глобальных источниках бот-трафика, страны Юго-Восточной Азии входят в топ-3 по генерации вредоносных ботов.
Чем Сингапурские боты отличаются от обычных парсеров?
Примитивные парсеры просто грузят HTML-код, не исполняют JavaScript и не видны в Метрике. А вот сингапурские поведенческие боты – это эволюция. Они:
запускают полноценный браузер (Puppeteer, Playwright);
двигают мышью, скроллят страницы;
имитируют задержки перед кликами;
подменяют User-Agent на реальные (Chrome, Safari, Edge).
Яндекс видит такие визиты как обычные пользовательские сессии. И если таких «посетителей» сотни тысяч с отказами – алгоритм делает вывод: сайт неинтересен. Результат – планомерное понижение в выдаче.
Как трафик из Сингапура разрушает ваше SEO
Поведенческие факторы: массовые отказы — Яндекс понижает сайт
Поведенческие факторы – один из ключевых ранжиров в Яндексе. Если пользователь заходит на страницу и сразу уходит (отказ), система считает, что контент не релевантен.
Когда сингапурские боты атакуют сайт тысячами таких сессий, ваш показатель отказов взлетает до 90-100%. Для Яндекса это сигнал: «Сайт плохой, поднимать его в выдаче нельзя». Результат – падение позиций по всем коммерческим запросам.
Перегрузка хостинга и косвенное падение ранжирования
Даже если вы не верите во влияние ПФ, есть объективный фактор – скорость загрузки. Боты потребляют ресурсы сервера:
забивают соединения;
грузят CPU и память;
создают лишние запросы к базе данных.
Хостинг начинает тормозить. Реальные пользователи ждут по 5–10 секунд и уходят. А скорость загрузки – прямой фактор ранжирования (и у Яндекса, и у Google). Так боты косвенно добивают ваш трафик.
Искажение аналитики — вы не видите реальную картину
Представьте: вы запустили рекламную кампанию. Метрика показывает всплеск визитов, но конверсия нулевая. Вы думаете: «Реклама не работает, отключаю». А на самом деле 80% трафика – это боты из Сингапура.
Без чистого трафика вы принимаете ошибочные бизнес-решения. Теряете бюджет, теряете клиентов, теряете время.
Можно ли отбиться своими силами? Три способа и их подводные камни
Многие вебмастеры пытаются заблокировать сингапурских ботов вручную. Давайте разберём три популярных метода — и честно скажем, почему они не работают
Блокировка через .htaccess (Apache) — просто, но медленно и малоэффективно
Если у вас обычный хостинг на Apache, первая мысль – прописать правила в .htaccess:
- Нужно найти бот заход в access.log вашего сайта, сопоставить нужный заход с метрикой
- Пробить айпи через сервис 2IP
- Получить ASN сеть (если это хостинг — блокировать полностью) — для примера: айпи 47.128.57.35 ASN 16509 — 2IP 16509
ASN16509 Amazon.com, Inc.
Пример одного их з ботов Mozilla/5.0 (Linux; Android 5.0) AppleWebKit/537.36 (KHTML, like Gecko) Mobile Safari/537.36 (compatible; Bytespider; spider-feedback@bytedance.com)
Bytespider — это веб-краулер (бот), используемый компанией ByteDance для сбора данных с сайтов. Он автоматически посещает страницы и загружает их содержимое для анализа и обучения алгоритмов. Бот функционирует аналогично поисковым краулерам, таким как Googlebot. В некоторых случаях он может создавать значительную нагрузку на сервер из-за большого количества запросов. Несмотря на это, Bytespider не является вредоносным, но его часто ограничивают или блокируют для защиты ресурсов сайта.
4. Получить все диапазоны только этой сети и заблокировать их
Блокировка через Require (Apache 2.4, современный синтаксис)
<RequireAll>
Require all granted
Require not ip 1.44.96.0/24
Require not ip 1.118.3.0/24
Require not ip 1.178.1.0/24
Require not ip 1.178.7.0/24
Require not ip 1.178.8.0/24
Require not ip 1.178.9.0/24
Require not ip 1.178.10.0/24
Require not ip 1.178.11.0/24
Require not ip 1.178.12.0/22
Require not ip 1.178.17.0/24
Require not ip 1.178.18.0/24
Require not ip 1.178.19.0/24
Require not ip 1.178.20.0/24
Require not ip 1.178.21.0/24
Require not ip 1.178.22.0/24
и так все
</RequireAll>
Плюс: не нужно платить за дополнительный сервис.
Минусы (критические):
Огромный файл. Чёрный список сингапурских подсетей содержит тысячи строк. Проверка выполняется при каждом заходе посетителя на сайт, то есть если айпи в блоке есть или нет, то система пройдет все строки блокировки и нагрузит сервер.
Боты меняют IP. Сегодня они с одной подсети, завтра с другой. Вы будете вечно догонять.
Умные боты игнорируют блокировку – они используют прокси с IP других стран.
.htaccess – это «заплатка» на пару дней. Для серьёзной защиты не годится
Настройка Nginx на VPS — гибко, но высок риск «положить» сервер
Давайте начистоту, если вы читаете данное руководство — то скорее всего вы не администрируете VPS сервер или опыт минимальный.
Можно настроить фильтрацию на уровне Nginx: модуль ngx_http_map_module, геоблокировка через GeoIP2, лимиты на соединения.
Плюс: выше производительность, чем у .htaccess.
Минусы (очень серьёзные):
Требуется глубокое знание Nginx. Одна опечатка в конфиге – и сайт выдаёт 502 ошибку. Вы «положили» сервер.
Нужно постоянно обновлять базы IP и правила. Без автоматизации вы сойдёте с ума.
- Можете заблокировать SEO сервисы что вы используете: нужно узнать их айпи и добавить в исключения, могут быть в этой сети
Предупреждение: настройка Nginx для борьбы с ботами — это путь для системных администраторов с опытом. Обычному вебмастеру лучше даже не начинать.
Вы можете настроить блокировку по диапазонам айпи, на Nginx это проще и не вызывает такой нагрузки как в apache .htaccess. Правила загружаются в ядро при запуске системы и фильтруют трафик.
GeoIP-блокировка по стране – отсекает и реальных посетителей, боты обходят
Самый рабочий вариант – закрыть весь Сингапур на уровне хостинга или через базу GeoIP 2 Lite.
- Вы отсечёте реальных клиентов, если они заходят через сингапурский VPN или живут в Азии.
- Боты легко меняют IP на другую страну (Вьетнам, Индонезия, Германия) – и снова атакуют.
- Поведенческие боты часто используют резидентские прокси, которые сложно отличить от обычных пользователей.
Почему ручная защита проигрывает сингапурским ботам?
Потому что боты эволюционируют быстрее, чем вы пишете правила. Сегодня они подменяют User-Agent. Завтра – ротируют IP через тысячи прокси. Послезавтра – эмулируют движения мыши и нажатия клавиш.
Вы можете потратить неделю на написание сложных конфигов Nginx. А боты просто перейдут на новую ферму – и вся работа насмарку.
Кроме того, риск ошибки слишком высок. Неправильная блокировка может:
закрыть доступ поисковым роботам (Яндекс перестанет индексировать сайт);
заблокировать реальных пользователей;
создать бесконечную переадресацию или 500-ю ошибку.
Единственный надёжный способ — вынести фильтрацию на отдельный слой, который не касается вашего сервера.
Профессиональное решение — фильтрация трафика через прокси-сервер
Как это работает (схема: бот — прокси-сервер — чистый трафик)
Вы ставите между посетителями и своим сайтом обратный прокси-сервер (reverse proxy). Весь трафик – и хороший, и плохой – сначала идёт на этот прокси. Там происходит глубокая проверка:
анализ заголовков и цифровых отпечатков (fingerprint);
проверка на поведение бота (скорость кликов, движение мыши);
сверка с базами вредоносных IP и ASN;
анти-DDoS фильтрация на уровнях L3/L4/L7.
Только чистые, верифицированные запросы передаются на ваш сайт. Плохие боты (включая сингапурских) отсекаются ещё до того, как коснутся вашего хостинга.
Изображение
Что вы получаете: скрытие IP, Anti-DDoS, защиту ПФ, аналитику блокировок
Подключая профессиональный сервис eByeBots, вы получаете комплекс:
Скрытие реального IP сайта – боты не могут атаковать вас напрямую.
Защита от DDoS – даже мощная атака ложится на прокси, а ваш сервер работает штатно.
Блокировка парсеров и накрутчиков ПФ – сингапурские боты отсекаются автоматически.
Умная проверка линиями – выявляет самых продвинутых ботов, которые имитируют людей.
Веб-панель аналитики – вы видите, кого заблокировали и почему.
Интеграция с Яндекс Метрикой – отображение IP и fingerprint прямо в отчётах.
Настройка под ключ — вы не трогаете конфиги
Главное преимущество – вам не нужно ничего настраивать самостоятельно.
Анализируем ваш текущий трафик (гостевой доступ к Метрике).
Подбираем оптимальный VPS (вы оплачиваете его хостеру, от 480 руб/мес).
Настраивают прокси-сервер индивидуально под особенности вашего сайта (CMS, хостинг, регион).
Даем инструкцию по смене DNS (меняете A-запись на IP прокси).
Помогаем установить SSL-сертификат.
Подключение занимает 1 день. Подключение к готовому прокси-серверу — 20 минут.
Вы не рискуете «положить» сайт – потому что ничего не трогаете на своём сервере.
Ваш сервер получает только чистый трафик. Поведенческие факторы – реальные. SEO – защищено.
Пошаговый план: стоп сингапурские боты за 1 день
Проверьте Метрику. Откройте отчёт «География» за последние 7 дней. Если видите Сингапур с отказами >90% – боты атакуют.
Не тратьте время на .htaccess. Это временное решение, которое только отвлечёт.
Выберите готовую защиту. Перейдите на страницу сервиса eByeBots. Для среднего сайта хватит тарифа «Стандарт» (2000 ₽/мес + разовая настройка 900 ₽).
Свяжитесь с поддержкой.
Оплатите VPS. Специалисты подберут ближайший к вашему хостингу сервер (Москва или СПб). Вы платите хостеру ~210–500 ₽/мес напрямую.
Дождитесь настройки. Обычно 1-2 часа.
Смените DNS. В панели управления доменом замените A-запись на IP прокси-сервера.
Установите SSL. Прокси-сервер уже имеет сертификат Let’s Encrypt, но нужно добавить второй уровень – инструкция предоставляется.
После этого сингапурские боты исчезнут из Метрики в течение 24 часов. Вы увидите только реальных пользователей.
Сингапурские боты атакуют сайты тысячами малых и средних ресурсов ежедневно. Они портят поведенческие факторы, искажают аналитику, перегружают хостинг и в итоге роняют позиции в выдаче.
Ручная борьба через .htaccess или Nginx — это бег по кругу. Боты меняются быстрее, чем вы пишете правила. К тому же вы рискуете ошибиться и положить сервер.
