Коротка відповідь
DDoS (Distributed Denial of Service) — це атака, коли на сервер одночасно надсилають величезну кількість запитів із багатьох джерел, щоб вичерпати його ресурси й зробити недоступним для звичайних відвідувачів. Cloudflare, увімкнений перед сервером, фільтрує основну масу такого трафіку ще до того, як він дійде до сайту, — але це не універсальний щит від абсолютно всього.
Ознаки, які дійсно вказують на DDoS
- Різкий стрибок запитів без відповідного джерела трафіку — у Google Analytics чи GA4 немає сплеску реальних відвідувачів, а в логах сервера — тисячі звернень за хвилину.
- Запити з великої кількості різних IP-адрес одночасно — на відміну від одного «повільного» користувача чи бота-парсера з однієї адреси.
- Однотипні запити до однієї й тієї ж сторінки чи ендпоінта, часто до найважчих для сервера — пошук по сайту, форми, кошик.
- Сервер перестає відповідати повністю, а не просто «гальмує» — на відміну від типового перевищення ліміту ресурсів через органічне навантаження.
Якщо ж трафік росте поступово, є в аналітиці як реальні сесії, і сайт саме «гальмує», а не падає повністю, — швидше за все, це не атака, а звичайне навантаження, з яким тариф не справляється. Як перевірити це за 20 хвилин — у статті чому сайт повільний, а що робити з конкретною помилкою ліміту ресурсів — у статті «перевищено ліміт ресурсів».
Що конкретно робить Cloudflare
Cloudflare працює як проксі перед сервером: увесь трафік до сайту спочатку йде через мережу Cloudflare, і вже звідти — на реальний сервер. Це дає кілька практичних ефектів:
- Реальна IP-адреса сервера прихована — зловмиснику складніше атакувати сервер напряму, обходячи захист.
- Фільтрація очевидно шкідливого трафіку — боти, автоматичні скани й типові патерни DDoS відсіюються ще до сервера.
- Кешування статичного контенту — частина сторінок віддається з мережі Cloudflare, не навантажуючи сервер узагалі, що саме по собі підвищує стійкість до сплесків.
- Challenge-сторінки при підозрілій активності — механізм перевірки (наприклад, JS challenge), який відсіює прості боти, не заважаючи живим відвідувачам.
На що Cloudflare не розрахований
Чесно: жоден інструмент, включно з Cloudflare, не дає стовідсоткової гарантії проти будь-якої атаки. Дуже цілеспрямована й дорога для зловмисника атака теоретично може створити проблеми навіть із захистом. Але для переважної більшості сайтів малого й середнього бізнесу базовий захист Cloudflare закриває основний ризик — випадкові чи типові автоматизовані атаки, які трапляються найчастіше.
Що робити, якщо підозрюєте DDoS прямо зараз
- Перевірити аналітику (GA4) — чи є реальний сплеск сесій, чи ні.
- Перевірити логи сервера чи панель Cloudflare на кількість і джерела запитів.
- Написати в підтримку хостингу з фактами: коли почалося, які симптоми, що показує аналітика.
- Не перезавантажувати сервер багато разів поспіль «навмання» — це не допомагає і ускладнює діагностику.
Профілактика краще за реакцію
Cloudflare і фаєрвол на рівні сервера входять у інфраструктуру Meridaro за замовчуванням — вмикати додатково нічого не треба. Але базова гігієна теж важлива: актуальні версії CMS і плагінів, складні паролі, обмежений доступ до адмінки. Що ще варто перевірити регулярно — у чек-листі безпеки сайту за 15 хвилин.
Різновиди DDoS-атак: коротко про технічну суть
Не всі DDoS-атаки однакові, і розуміння різниці допомагає краще оцінити ризик:
- Атаки на мережевому рівні (L3/L4) — намагаються забити канал зв'язку сервера "сміттєвим" трафіком, не звертаючи уваги на сам сайт. Це найпоширеніший і найдешевший для зловмисника тип атаки, і саме проти нього найефективніший захист Cloudflare на рівні мережі.
- Атаки на рівні застосунку (L7) — імітують поведінку реальних відвідувачів, надсилаючи запити, які виглядають як звичайні (наприклад, повторні пошукові запити чи завантаження важких сторінок), але в аномальній кількості. Такі атаки складніше відрізнити від органічного навантаження, і саме тут допомагають правила фільтрації й challenge-сторінки.
- Атаки на форми і API — цілеспрямоване перевантаження конкретної функції сайту (форма пошуку, кошик, API-ендпоінт), яка споживає багато ресурсів сервера навіть при відносно невеликій кількості запитів.
Наскільки часто малий і середній бізнес стикається з DDoS насправді
Важливо зберігати пропорції: для переважної більшості сайтів малого й середнього бізнесу цілеспрямована DDoS-атака — рідкісна подія. Набагато частіше "схожі на атаку" симптоми виявляються звичайним перевищенням ліміту ресурсів через органічний сплеск трафіку або агресивних пошукових ботів і парсерів, які скановують сайт без злого умислу, але створюють суттєве навантаження. Тому перш ніж робити висновок про атаку, варто спочатку виключити прозаїчніші причини — вони трапляються значно частіше.
Чому зловмисники взагалі атакують невеликі сайти
Логічне питання: навіщо комусь DDoS-атака на сайт малого чи середнього бізнесу, а не тільки на великі відомі компанії? Причин кілька: конкурентний саботаж (рідко, але трапляється — намагання зашкодити конкуренту напередодні важливого періоду продажів), тестування ботнету на менш захищених цілях перед атакою на більші, чи просто автоматизовані сканування вразливостей, які потрапляють на будь-який сайт без розбору масштабу. Тобто розмір бізнесу не є надійним захистом сам по собі — базовий рівень захисту потрібен незалежно від того, наскільки відомий бренд.
Роль аналітики в діагностиці: на що дивитись у GA4
Google Analytics (GA4) — перше місце, куди варто зазирнути при підозрі на атаку. Реальний трафік зазвичай має природну структуру: розподіл за джерелами (пошук, реклама, прямі заходи), географію, що відповідає цільовій аудиторії, розумну поведінку на сторінці (час на сайті, перегляд кількох сторінок). Трафік DDoS-атаки в GA4 часто взагалі не відображається — боти рідко виконують JavaScript-код лічильника аналітики повністю, тож розбіжність між величезним навантаженням на сервер і майже відсутнім сплеском у GA4 — сильний непрямий доказ атаки, а не органічного напливу.
Робота з панеллю Cloudflare під час атаки
Якщо Cloudflare вже підключений, у його власній панелі аналітики видно розподіл трафіку на "легітимний" і "відфільтрований" — це дає набагато точнішу картину, ніж просто спостереження за поведінкою сайту ззовні. Під час підозрілої активності варто зазирнути саме туди: різке зростання показника заблокованих запитів при відносно стабільному показнику дозволеного трафіку — чіткий індикатор того, що захист вже працює і відбиває атаку, поки видима частина сайту функціонує нормально.
Різниця між атакою на сайт і атакою на пошту чи інші сервіси домену
DDoS-атака може бути спрямована не тільки на сам сайт, а й на інші сервіси, пов'язані з доменом, — поштовий сервер, наприклад. Симптоми схожі (сервіс стає недоступним чи дуже повільним), але захист і діагностика відрізняються: Cloudflare, увімкнений для сайту, не обов'язково захищає поштовий сервіс, якщо той працює на іншій адресі чи в іншому сервісі. Якщо одночасно "лягли" і сайт, і пошта, варто перевіряти обидва напрямки окремо, а не припускати, що причина обов'язково одна на двох.
Що робити, якщо атака триває довго і базового захисту не вистачає
Для рідкісних випадків справді масштабної й наполегливої атаки, коли стандартного рівня захисту Cloudflare замало, є додаткові кроки: посилення правил фаєрвола під конкретний патерн атаки, тимчасове увімкнення режиму підвищеної безпеки ("I'm Under Attack" у термінології Cloudflare), який додає додаткову перевірку для всіх відвідувачів. Це рішення не для постійного використання (воно уповільнює доступ для звичайних користувачів), а саме для гострої фази атаки, і застосовується разом із підтримкою хостингу.