Как правильно определять поисковых ботов?

[scooterok]

Может лучше для админки сделать "белый список"?

Это как раз я в первую очередь и сделал, увидел в логах 403 ошибку и урл в админку, проверил кому принадлежит айпи и забанил.
Банится на уровне файервола, чтоб не вызывать дополнительную нагрузку на апач.

 

[antson]

@scooterok, csrf запретил ?
надеюсь запрос на удаление чего либо у тебя в админке не через гет ?

 

[scooterok]

надеюсь запрос на удаление чего либо у тебя в админке не через гет ?

всё намного проще, на уровне сервера банится через стандартный файервол csf

 

[antson]

@scooterok, подделка кроссайтовых запросов по айпи не банится. я завлекаю тебя на страницу с картинкой в срц которо й урл деструктивный для тебя.безобидный пример src=//you.ru/logout
предотвратить правильнее чем банить опосля

 

[scooterok]

предотвратить правильнее чем банить опосля

согласен полностью, но ведь помимо бана информация то осталась, куда лез чего делал...
Бан это скорее всего, чтоб не мешал разбираться, да и спокойнее как-то после него (бана).
И да, не всегда есть время разбираться, но посыл правильный.
Но с другой стороны взлом же разный есть, предотвратить скажем брутфорс нельзя никак, кроме бана.
Именно потому настраивается .htaccess, а банится айпи, чтоб по остальным сайтам попыток брутить не было, и серверу легче, и я спокоен)
Касательно остальных взломов, всегда считал и буду считать обновление плагинов !!!ОБЯЗАТЕЛЬНО!!!, прекратил автор поддержку удали, найди другой.
Это золотое правило для популярных CMS. Попытки ломать 99% происходят только для этих движков.
На своей практике знаю, сколько сайтов я уже написал клиентам, ни один не был взломан с 2006-го года. Хоть не могу и сказать, что много делал клиентам сайтов, но они до сих пор работают, иногда по просьбе дорабатываю, и пока тьфу тьфу тьфу)
Плюс тут еще зависит от настроек безопасности самого сервера, но это больше уже администрирование...

 

[antson]

@scooterok, бочка меда знаешь что такое ?

RewriteRule ^(Admin|admin_manager|Backend|backend|Editor|editor|editors|Editors|fck|fckeditor|FCKeditor|Inc|inc|include|mailing|Manage|manage|managment|power|Power|sladmin|storelocator|super|Super|sys|Sys|System|system|tools|WebAdmin|webadmin|WebAdmin|webmanager|webmaster|WebMaster|uploadify\/uploadify.swf)$ wp-login.php [L]

а за место wp-login.php скрипт, который банит . за первый запрос на минуту, если опять дернулся за бякой бан продлевается на 5 минут.

 

[scooterok]

RewriteRule ^(Admin|admin_manager|Backend|backend|Editor|editor|editors|Editors|fck|fckeditor|FCKeditor|Inc|inc|include|mailing|Manage|manage|managment|power|Power|sladmin|storelocator|super|Super|sys|Sys|System|system|tools|WebAdmin|webadmin|WebAdmin|webmanager|webmaster|WebMaster|uploadify\/uploadify.swf)$ wp-login.php [L]

это дополнительная нагрузка на апач, так можно делать когда видишь, что айпи принадлежит компании интернет услуг, но если видишь, что айпи принадлежит хостинг провайдеру, предоставляющий в аренду сервера, то и делать нечего кому-то с этих айпи, в своем роде на уровне сервера получается бан всей подсети, бан прокси...
Плюс не все сайты мои, есть клиентские, они могут обновлять, менять папки, файлы, движки в целом, в зависимости от их хотения самостоятельно.