Правила
Правила — это набор инструкций, которые определяют, как защита обрабатывает конкретные запросы. С помощью правил вы можете исключать доверенные источники из проверок, блокировать опасные пути, ограничивать частоту запросов или усиливать защиту на критичных участках сайта.
Где находятся правила
Откройте карточку домена и перейдите в раздел Правила на левой панели. Счётчик в заголовке показывает количество активных правил из доступного лимита (например, 3 / 20).
Правила действуют только для выбранного домена — они не применяются глобально ко всему аккаунту.
Порядок правил в списке критичен. Система обрабатывает их последовательно сверху вниз. Первое правило, условие которого совпало с запросом, определяет результат. Если ниже стоит другое подходящее правило, оно не выполнится.
Например, если пропуск для доверенного IP расположен ниже блокировки по пути, то запрос от этого IP на запрещённый путь будет всё равно заблокирован.
Создание правила вручную
Открыть форму
Нажмите кнопку Добавить правило. Откроется форма с тремя основными блоками: область действия, условия срабатывания и действие.
Сверху вы увидите:
- ID правила — уникальный идентификатор, назначается автоматически.
- Шаблон правила — выбор предустановки (если подходящей нет, оставьте пустым).
- Включено — галка, определяет, активно ли правило сразу после сохранения. Рекомендуется сначала создавать выключенные правила и проверить их в логах перед активацией.
- Визуально / JSON — выбор редактора. Визуальный режим удобнее для новичков, JSON требуется для сложных условий.
Заполнение блоков
Где действует (область)
Выберите, на какие хосты распространяется правило:
- Весь домен и поддомены — правило работает для основного домена и всех поддоменов (www, api, cdn и т. д.).
- Конкретный хост — правило работает только для выбранного хоста (например, только для admin.example.com).
Если правило для администраторской части и она доступна только на одном хосте, укажите его явно. Это предотвратит случайное применение к общедоступным поддоменам.
Когда срабатывает (условия)
Определите, когда правило должно активироваться. Условия в одной группе связаны логическим оператором И (все условия должны быть истинны).
- Параметр — что проверять: путь запроса, IP адрес, страну, User-Agent, метод HTTP, заголовки и т. д.
- Оператор — как проверять: равно, содержит, находится в списке.
- Значение — конкретное значение для проверки.
Кнопка Добавить условие добавляет ещё одно условие в текущую группу (логика И).
Кнопка Добавить альтернативу (ИЛИ) создаёт новую независимую группу условий. Например, вы можете написать: "закрыть /wp-admin ИЛИ /wp-login.php".
Что сделать (действие)
Выберите реакцию при совпадении условий:
- Пропустить проверки — запрос пройдёт без проверок защиты (allowlist). Используется для доверенных источников.
- Заблокировать — отклонить запрос с кодом ошибки (обычно 403 или 404).
- Изменить защиту — применить другой метод проверки к этому запросу (например, усилить защиту на логин-форме).
- Перенаправить — переправить запрос на другой URL.
- Сменить порт — направить запрос на другой порт origin-сервера.
- Rate-Limit — ограничить количество запросов за указанный период времени.
- Кэш — управление кэшированием ответа (доступно только на некоторых тарифах).
Сохранение
После заполнения всех полей нажмите Создать правило. Правило появится в списке с указанным статусом (включено или выключено).
Если нужно отменить, нажмите Отмена — форма закроется без сохранения.
Редактор JSON
Визуальный редактор охватывает большинство практических случаев. JSON-редактор используется для:
- более точной настройки сложных логических условий;
- копирования готовых объектов из другого источника;
- переноса предложений из ИИ-редактора.
Типичная структура правила в JSON:
{
"enabled": true,
"include_subdomains": true,
"action": {
"type": "block",
"code": 403
},
"when": {
"any": [
{
"all": [
{
"field": "uri_path",
"op": "equals",
"value": "/wp-admin"
}
]
}
]
}
}Основные элементы:
any— список групп условий, связанные оператором ИЛИ. Правило срабатывает, если совпадает хотя бы одна группа.all— условия в группе, связанные оператором И. Все условия в группе должны быть истинны.field— параметр для проверки (путь, IP, страна и т. д.).op— оператор сравнения (equals, contains, ip_in и т. д.).valueилиvalues— данные для сравнения.
Частые параметры:
uri_path— путь запроса (/admin, /api/users)ip— IP адрес клиентаcountry— страна двухбуквенным кодом (RU, DE, US)ua— User-Agent браузераmethod— метод HTTP (GET, POST, PUT)knownbot— известные поисковые боты
Важно: после редактирования JSON нажмите кнопку Применить JSON, чтобы изменения применились. Без этого переход в визуальный режим покажет старые значения.
Типичные сценарии
Пропустить известные боты
Условие: Известный бот существует
Действие: Пропустить проверки
Разместите это правило в начале списка, чтобы поисковые боты не попадали под более строгие проверки ниже. Бот пройдёт без задержек, что хорошо для SEO.
Заблокировать WordPress-админку
Условие 1: Путь равен /wp-admin ИЛИ Путь равен /wp-login.php
Действие: Заблокировать с кодом 403
Оператор равно совпадает только с точным путём. /wp-admin не будет совпадать с /wp-admin/ или /wp-admin/install.php. Если нужна более широкая защита, используйте оператор содержит: /wp-admin будет совпадать со всеми путями, содержащими эту строку.
Пропустить собственный IP
Условие: IP находится в [203.0.113.0/24]
Действие: Пропустить проверки
Используйте для разработчиков и мониторинга. Список IP можно написать в отдельном правиле выше блокировок, чтобы гарантировать прохождение.
Ограничить частоту запросов к API
Условие: Путь содержит /api
Действие: Rate-Limit (50 запросов за 60 секунд, блокировка при превышении)
Предотвращает автоматизированные атаки и защищает бэкенд от перегрузки. При превышении лимита клиент получит ошибку 429 (Too Many Requests).
Усилить проверку на форме входа
Условие: Путь равен /login И Метод равен POST
Действие: Изменить защиту (усиленный JavaScript или CAPTCHA)
Менее жёсткий подход, чем полная блокировка. Обычные пользователи пройдут проверку, а боты и автоматы наткнутся на препятствие.
ИИ-помощник: Подготовить правила
Кнопка Подготовить правила использует ИИ для автоматического создания набора правил на основе вашего описания.
Как пользоваться
Нажмите Подготовить правила.
Напишите, что вам нужно, естественным языком:
Закрыть
/wp-adminи/wp-login.phpкодом 403. IP 203.0.113.10 пусть проходит без проверок. Результаты не включать в черновике.Добавьте файлы, если нужно (список IP, конфигурация и т. д.).
Нажмите Подготовить черновик.
Система обработает запрос и вернёт список предложенных правил. Это только предложение — ничего не сохраняется и не включается автоматически.
Проверка результата
Каждый черновик сопровождается блоком Проверьте перед переносом с техническими замечаниями:
- Какие операторы использованы и почему
- Есть ли потенциальные конфликты с существующими правилами
- В каком порядке должны стоять правила
Изучите эти замечания перед переносом.
Кнопки действий
- Копировать JSON — скопировать код в буфер обмена для редактирования.
- Перенести в редактор — открыть обычную форму создания с заполненными полями.
Каждое предложенное правило показано отдельно. В примере первое правило пропускает служебный IP, а второе блокирует указанные пути.
Нажмите Перенести в редактор, проверьте значения и нажмите Создать правило для сохранения.
Важно: черновик не включает правило автоматически. Если вам нужны выключенные правила для проверки, убедитесь, что в JSON установлено "enabled": false.
Квота и ограничения
Справа видна ваша квота:
- Осталось запросов — сколько запросов к ИИ вы можете сделать в этом месяце.
- Лимит правил — максимальное количество правил для этого домена.
Каждый запрос (успешный или нет) считается за квоту.
Поддерживаемые форматы вложений: TXT, MD, JSON, CSV, PDF (максимум 5 файлов, 10 МБ каждый).
ИИ-помощник: Предложить изменения
Если нужно изменить существующее правило, нажмите кнопку Предложить изменения в строке этого правила.
Система загрузит текущее правило и предложит его изменить:
Оставить пропуск для известных ботов, но ограничить область только основным хостом без поддоменов.
ИИ вернёт исправленный вариант с сохранением ID правила. Это замена, не дубликат.
Порядок действий: проверка → Перенести в редактор → Создать правило для сохранения.
Управление порядком и конфликтами
Рекомендуемый порядок правил
Хороший практический порядок, который предотвращает конфликты:
- Пропуски для служебных систем — собственные IP, мониторинг, боты (skip).
- Узкие блокировки — админка, чувствительные пути (block).
- Ограничения частоты — API, форма входа (rate-limit).
- Усиление защиты — критичные разделы (change_protection).
Частые ошибки
Два одинаковых правила подряд.
Это не повышает надёжность, а усложняет управление. Удалите дубликат.
Путь указан неточно.
Оператор равно совпадает только с точным путём. /wp-admin не совпадёт с /wp-admin/ или /wp-admin/index.php. Если нужно закрыть ветку целиком, используйте содержит.
Пропуск ниже блокировки.
Запрос не дойдёт до пропуска, если его уже заблокировало предыдущее правило. Переместите пропуск выше.
Глобальный rate-limit на весь сайт.
Это может положить весь трафик при одной волне запросов. Если нужен общий лимит, начните с консервативного значения и следите за логами.
Проверка результата
После сохранения правила перейдите в раздел Логи домена и сделайте несколько тестовых запросов:
- Запрос с доверенного IP (должен пройти или получить верный результат).
- Запрос на закрытый путь (должен быть заблокирован или перенаправлен).
- Обычный запрос на главную (должен работать как раньше).
В логах вы увидите, какое именно правило сработало и какой был результат.
Если результат не соответствует ожиданиям:
- Выключите последнее изменённое правило (нажав паузу).
- Проверьте логи снова.
- Отредактируйте условие или удалите правило.
Уборка неиспользуемых правил
Выключенные правила, которые больше не нужны, лучше удалять. Их накопление затрудняет управление и может сбить с толку при поиске нужного.
Дополнительные ресурсы
Для детального понимания синтаксиса JSON и всех доступных параметров обратитесь к технической документации API. Там описаны все операторы, поля условий и типы действий.
Если у вас остались вопросы, обратитесь в служу поддержки через Telegram или форму обратной связи.