Kötü Amaçlı Bot Engelleme

Web scraper’lar, agresif AI tarayıcılar ve kötü niyetli botlar bant genişliği tüketir, içerik çalar ve origin’i yavaşlatır.

Temel Kurallar

# Yüksek bot skoru olan tüm istekleri engelle
IF   waf.bot_score ge 80
THEN block

# Orta bot skoru için CAPTCHA
IF   waf.bot_score ge 60
THEN captcha

# Arama/SEO botlarına izin ver, diğer tüm botları engelle
IF   waf.client.bot == on
AND  waf.client.bot_category not_in search, seo, monitoring
THEN block

Konsolda bu seçimlerle:

Yüksek bot skorunu engelle — Alan Bot Skoru (0–100) · Operatör büyük eşittir · Değer 80 → Aksiyon Engelle
Orta bot skoruna CAPTCHA — Alan Bot Skoru (0–100) · Operatör büyük eşittir · Değer 60 → Aksiyon CAPTCHA
Diğer botları engelle — Alan Bilinen Bot · Operatör eşittir · Değer Evet VE Alan Bot Kategorisi · Operatör listede değil · Değer search, seo, monitoring → Aksiyon Engelle

waf.bot_score, her istek için 0–100 arasında bir güven skoru döndürür; 100’e yaklaştıkça botun tespiti kesinleşir. 80 ve üzerindeki istekleri doğrudan engellemek, gerçek kullanıcıları yanlışlıkla etkileme riskini minimumda tutar.

Orta aralıktaki (60–79) istekler için CAPTCHA tercih edin. Bazı otomasyon araçları zayıf imzalar bırakır; CAPTCHA bu gri alandaki trafiği doğrular, meşru kullanıcıyı engellemez.

Bot Kategorisi → listede değil → search, seo, monitoring koşulu, bilinen arama motoru tarayıcılarını ve izleme servislerini açıkça kapsam dışı bırakır. Bu sayede sitenizin dizinlenmesi veya uptime takibiniz sekteye uğramaz.

Gelişmiş Varyant

# AI tarayıcıları /api path'inde engelle ama diğer path'lerde izin ver
IF   waf.client.bot_category == ai_crawler
AND  http.request.base_uri has_prefix /api
THEN block

# Hosting IP'lerinden gelen bot olmayan istekleri CAPTCHA'ya yönlendir
IF   waf.client.ip_type == hosting
AND  waf.client.bot == off
AND  waf.bot_score ge 40
THEN captcha

Konsolda bu seçimlerle:

AI tarayıcıyı API’de engelle — Alan Bot Kategorisi · Operatör eşittir · Değer ai_crawler VE Alan Path (sorgusuz) · Operatör ile başlar · Değer /api → Aksiyon Engelle
Hosting’den şüpheli trafiğe CAPTCHA — Alan IP Altyapı Tipi · Operatör eşittir · Değer hosting VE Alan Bilinen Bot · Operatör eşittir · Değer Hayır VE Alan Bot Skoru (0–100) · Operatör büyük eşittir · Değer 40 → Aksiyon CAPTCHA

AI tarayıcılar genellikle ham veri toplamak için API uç noktalarını hedefler. Bu kural, AI sınıfındaki botları yalnızca /api prefix’i altında engeller; statik içerik veya blog sayfalarında aynı kategorideki botlara izin vermeye devam eder.

İkinci kural, veri merkezi veya bulut hosting IP’lerinden gelen ve bot imzası taşımayan ama orta düzeyde şüpheli görünen trafiği yakalar. Gerçek bir kullanıcı yine de CAPTCHA’yı çözebilir; otomatize araçlar genellikle çözemez.

İpuçları

Arama motoru botlarına her zaman izin verin — Bot Kategorisi → listede → search, seo koşulu + İzin Ver aksiyonu; arama sıralamanızı korur
Önce Log (yalnızca izle) aksiyonuyla test edin, eşikleri izledikten sonra Engelle’ye geçin
Googlebot’u ada göre muaf tutabilirsiniz: Bot Adı → eşittir → googlebot → Aksiyon İzin Ver