Защита сайта от ботов: как найти их в Метрике и что включить

Как защитить сайт от ботов, источники сводят к 3 уровням: очистить отчёты Яндекс Метрики, ограничить доступ на сервере или через защитный сервис и закрыть формы капчей. Капчу называют 5 из 8 ИИ-ответов Алисы и Google, а роботность Метрики — оценка счётчика, а не число ботов. Данные — на 5 октября 2026 года.

Факты на 5 октября 2026 (по данным PF-Rating):

• 8 ИИ-ответов Алисы и Google по 4 запросам этой выдачи: капчу называют 5, блокировку на уровне сервера — 5, Cloudflare — 4, режим Метрики «по строгим правилам и по поведению» — 4;
• режим фильтрации роботов «по поведению» необратим: так пишут 2 ответа Алисы, monster-marketing.ru и maryproject.ru со ссылкой на справку Метрики, а Яндекс советует включать его только при работе с Logs API;
• нормы роботности Яндекс не публикует: Алиса называет 3–5% для коммерческих сайтов, BotHunt — пороги 5% и 15%, и это ориентиры авторов, а не правила поиска;
• в кейсе maryproject.ru роботность интернет-магазина снизилась примерно с 40% до 12% за несколько недель — после закрытия служебных страниц от обхода, а не после блокировок;
• 2 из 74 сайтов реестра PF-Rating прямо продают инструменты против конкурентов: скликивание рекламы в Директе (Monstro) и «клики на конкурентов для уменьшения их позиций» (WebVisitor);
• собственный замер антибот-сервисов PF-Rating не проводил — на проверке, поэтому сервисы ниже названы как примеры из источников, а не как рекомендация.

Как защитить сайт от ботов: 3 уровня защиты

Защита сайта от ботов в собранных PF-Rating источниках строится на 3 уровнях, и каждый решает свою задачу: Метрика очищает отчёты, сервер или защитный сервис не пускает ботов на сайт, капча и проверки закрывают формы. Фильтр Метрики не мешает боту зайти, а блокировка на сервере не чистит уже собранную статистику. Чаще всего ИИ-ответы советуют капчу — 5 из 8, или 62,5%, а Cloudflare называют 4 из 8.

Порядок защиты от ботов у 2 авторов ТОП-10, hozyindachi.ru и maryproject.ru, одинаковый: сначала аналитика, потом источник потока и только в конце сервер. Первый объясняет это тем, что блокировки наугад регулярно создают новые проблемы, а maryproject.ru советует сначала найти источник, затем 7–14 дней смотреть динамику после мягких ограничений и только потом ужесточать правила.

Универсального метода не предлагает ни один из 8 ИИ-ответов: Алиса прямо пишет, что не существует способа заблокировать всех роботов, не задев реальных пользователей. Полезных ботов — поисковых роботов Яндекса и Google — блокировать нельзя: без них страницы выпадут из индекса.

Какие боты приходят на сайт и чем они вредят

Боты на сайте делятся на 3 группы по классификации brandevo.ru: полезные краулеры поисковых систем, SEO-краулеры вроде Ahrefs и Semrush и «серый» трафик — накрутчики, парсеры, фейковые рефералы и простые headless-браузеры. В Метрике как обычные визиты видна в основном третья группа, первые 2 решают на уровне сервера и robots.txt. Поток «серых» ботов дешёвый: ботами работают 12 из 15 сервисов общего рейтинга PF-Rating, а визит бота стоит от 0,2 до 7 ₽, медиана — 0,5 ₽.

Скачок трафика на 30% без новых заявок brandevo.ru называет типичным признаком того, что пришли роботы. Главный риск автор видит не в нагрузке, а в рекламе: автостратегии Директа учатся на том, что им дали, и начинают оптимизироваться под ботов.

Парсинг каталога конкурентом hozyindachi.ru считает запаздывающим ударом: заявки сегодня идут, а потеря маржи на ценах наступает через месяц. Maryproject.ru насчитывает 12 типичных причин роста роботности — от парсинга и клик-фрода до открытых служебных страниц и неправильных редиректов, то есть часть ботов приводит сам сайт.

Как увидеть ботов в Яндекс Метрике и Вебмастере

Боты в Яндекс Метрике видны в 6 местах, которые повторяются у авторов ТОП-10 и в ИИ-ответах: отчёт «Роботы», сравнение «с роботами / без роботов», источники, технологии, цели и Вебвизор. Седьмой, независимый источник — Вебмастер: он считает клики из поиска на своей стороне и о счётчике ничего не знает.

Отчёт «Роботы» в Метрике, по monster-marketing.ru, показывает только то, что счётчик классифицировал: маскирующиеся боты по умолчанию остаются в основной статистике. Признак, который Алиса приводит для бот-ферм, — лидерство старой версии браузера, например Chrome 68, а сегмент «глубина от 3 страниц и время до 30 секунд» она советует просмотреть в Вебвизоре.

Вебмастер нужен как контрольная линия: hozyindachi.ru пишет, что если органика в Вебмастере на месте, а визитов из поиска в Метрике стало меньше, вы не убрали ботов, а перестали видеть часть живых людей. Признаки накрутки в «Поисковых запросах» — рост CTR при той же позиции и показы со 2–5 страниц — разобраны в статье о распознавании накрутки.

Признаки ботов brandevo.ru перечисляет конкретно: отказы 95–100% по отдельным источникам, время на сайте ровно 0:00 или 0:15 у целой когорты визитов, сотни визитов с разных IP с одним путём и всплеск прямых заходов без рекламы. Один признак ничего не доказывает: короткий визит, по maryproject.ru, бывает и у человека, который быстро нашёл телефон.

Роботность в Метрике: что это и как её уменьшить

Роботность в Яндекс Метрике — оценка счётчика, какая доля визитов похожа на роботов; участники форума searchengines.guru в ветке 1047195 называют её эвристической оценкой «человекообразности» визита, а не точным числом ботов. Поэтому уменьшить роботность можно 2 разными способами: убрать ботов из отчётов или реально снизить их поток на сайт.

Фильтрация роботов в настройках счётчика устроена в 2 уровня, по monster-marketing.ru: строгие правила по IP и User-Agent включены по умолчанию, а опция «Фильтровать роботов по поведению» включается отдельно. ИИ-ответы до сих пор описывают 3 режима, но автор называет такие инструкции устаревшими и советует не копировать их.

Режим фильтрации роботов «по поведению» отменить нельзя, и исторические данные не пересчитаются: это пишут monster-marketing.ru и maryproject.ru со ссылкой на справку и 2 ответа Алисы. Яндекс рекомендует включать этот режим только при работе с Logs API, а для ежедневной работы достаточно переключателя в отчётах. Hozyindachi.ru добавляет: какой бы режим вы ни выбрали, запишите дату и не переключайте его год, иначе сравнение периодов станет недостоверным.

Норма роботности в Метрике официально не опубликована. Алиса называет 3–5% для коммерческих проектов и до 5–10% для информационных, BotHunt — пороги «больше 5% — много, больше 15% — атака», но monster-marketing.ru подчёркивает, что это внутренние ориентиры сервисов, а не пороги Яндекса. Ant-team.ru в материале 2024 года считает признаком накрутки в нише роботность выше 10% в поисковых переходах.

Кейс снижения роботности maryproject.ru — единственный в данных с цифрами до и после у агентства: интернет-магазин держал около 40%, а через несколько недель после правок вышел примерно на 12%. Помогли закрытие от обхода служебных страниц фильтров и сортировок, удаление пустых посадочных, редиректы и обновлённый sitemap.xml, а не один фильтр. Похожие цифры у KillBot — с 35–45% до 8–9% после установки кода, — это заявление продавца защиты.

Свести роботность к нулю нельзя: hozyindachi.ru, maryproject.ru и Алиса сходятся, что поисковые краулеры, мониторинги и предпросмотры ссылок в мессенджерах — фон, который есть у всех. Hozyindachi.ru отличает уровень от события: 30% месяцами — свойство сайта, интересного парсерам, а скачок с 3% до 12% за неделю — событие с конкретной причиной. Подробнее о термине — в глоссарии.

Меры защиты на сервере и в формах

Меры защиты сайта от ботов на сервере hozyindachi.ru сравнивает по 6 вариантам, и без риска для живых посетителей из них работают 2, или 33%: ограничение частоты запросов с одного адреса и robots.txt, который ловит только «вежливых» ботов. Остальные 4 либо ловят мало, либо рискуют отрезать клиентов, поэтому каждую блокировку автор советует вводить на неделю и сверять число обращений.

Защитный слой перед сайтом в ИИ-ответах и сниппетах выдачи представлен 8 названиями: Cloudflare, G-Core Labs, Yandex Smart Web Security, StormWall, BotFAQtor, Kaspersky Fraud Prevention, DDoS-Guard и Qrator. Такие сервисы, по описанию ddos-guard.ru, присваивают запросу bot score — вероятность того, что запрос сделал бот, а антибот-проверка, по travelpayouts.com, занимает у посетителя 1–3 секунды. PF-Rating эти сервисы не тестировал — их цены и качество на проверке.

Формы защищают 5 способами в порядке, который предлагает hozyindachi.ru: скрытое поле-ловушка, проверка времени заполнения (быстрее пары секунд — не человек), ограничение частоты отправок с адреса и номера телефона, серверная проверка полей и только потом капча. Капчу автор ставит последней, потому что внешние проверки утяжеляют страницу и добавляют отказов среди живых посетителей.

Капчу на формах Алиса и ИИ-ответ Google советуют делать «умной»: Google reCAPTCHA v3, hCaptcha, Cloudflare Turnstile или Smart Captcha от Яндекса показывают проверку только при подозрительной активности. Robots.txt защитой не считается ни в одном из 3 ИИ-ответов, где он упомянут: файл управляет индексацией, а парсеры его игнорируют.

Скликивание рекламы: почему Метрика не защищает бюджет

Скликивание рекламы в Директе и роботы в Метрике — 2 разные системы: monster-marketing.ru подчёркивает, что у Метрики и Директа разные алгоритмы определения роботов, и антифрод Директа не зависит от настроек роботности в счётчике. Чистая Метрика не означает чистый рекламный бюджет.

Защиту бюджета Директа hozyindachi.ru начинает с 5 действий без разработчика: разделить поиск и сети в разные кампании, построить сегмент роботов по площадкам сети, отключить инвентарь мобильных приложений для услуг, проверить партнёрские и мотивированные источники, сузить географию и часы показа. Обычно, по опыту автора, основную долю потока дают несколько площадок, и после их отключения доля роботов возвращается к прежней за несколько дней.

Поле isRobotPro, по monster-marketing.ru, доступно с 19 апреля 2025 года на счётчиках Метрики Про в Logs API: оно учитывает данные антифрода Директа и поведение на сайте, но его логика отличается от стандартных отчётов. В кейсе с vc.ru заходы ботов на новый сайт прекратились после отключения рекламы в Директе для этой страницы.

Инструменты против конкурентов продают открыто: из 74 сайтов реестра PF-Rating это прямо пишут 2 — Monstro предлагает «слить бюджет конкурента в директе», а WebVisitor в функциях программы указывает «клики на конкурентов для уменьшения их позиций». PF-Rating приводит эти данные как предупреждение для владельца сайта, а не как совет: скликивание — атака на чужой бизнес.

Боты и поведенческие факторы: атака конкурентов

Боты бьют по поведенческим факторам сайта при негативной накрутке: по ИИ-ответу Google, конкуренты нагоняют ботов, которые сразу закрывают страницу, время на сайте падает до 1–5 секунд, а отказы растут до 80–90%. Ant-team.ru описывает бота конкурента, который проводит на сайте меньше 15 секунд и уходит к другому сайту.

Признаки атаки integrostudio.ru сводит к 3: резкий рост доли роботности в Метрике, всплеск отказов по конкретной группе запросов и падение позиций без изменений на сайте. Диагностика — отчёт по источникам с сегментом роботности и запросы в Вебмастере; защиту, по совету автора, лучше настроить до того, как позиции просели.

Роботность сама по себе позиции не понижает: hozyindachi.ru пишет, что метка визита в системе аналитики не сигнал ранжирования, а maryproject.ru — что поиск не берёт процент роботности из Метрики напрямую. Косвенный вред один: парсеры нагружают сервер, он отдаёт ошибки, и страдает обход сайта поисковым роботом.

Санкции за чужую накрутку в данных PF-Rating описаны в 2 кейсах: в кейсе siteclinic.ru с сайта, который сам не накручивал, санкции сняли через 3,5 месяца, а автор wpnew.ru пишет о фильтре 2014 года из-за конкурентов и выводе 3 сайтов за 1 месяц. Ppc.world советует жертве писать в поддержку и параллельно блокировать ботов; порядок действий разобран в статье о накрутке конкурентами, а сроки фильтров — в разборе санкций.

Что делать при подозрении на атаку ботов: 7 шагов

Атаку ботов разбирают в 7 шагов, и первый — зафиксировать исходные цифры: hozyindachi.ru снимает базовую линию за полчаса по 7 срезам за 4 недели, потому что данные задним числом не пересчитываются. Без точки отсчёта через месяц не доказать даже себе, что меры сработали.

Проверка ложного срабатывания — самый недооценённый шаг: hozyindachi.ru советует построить сегмент роботных визитов с достигнутой целью до любой блокировки. Отправленные формы, по которым вы реально перезванивали, означают, что классификатор помечает живых людей, и блокировка на сервере ударит по клиентам.

Контрольные метрики через 1 месяц важнее самой роботности: число обращений от людей, переходы из поиска в Вебмастере, выручка и сделки не должны просесть. Hozyindachi.ru прямо пишет, что падение роботности вместе с обращениями означает работу во вред, и правки надо откатывать.

Письмо в поддержку Вебмастера ИИ-ответ Google советует строить на 3 вещах: дата начала атаки, скриншоты всплеска отказов или прямых заходов из Метрики и указание, что это умышленное занижение третьими лицами. Обещание, что поддержка «сделает пометку в алгоритмах», PF-Rating подтвердить не может — на форуме searchengines.guru поддержка на вопросы о просадке отвечает «фильтров нет».

Ошибки, которые сводят защиту на нет

Ошибки защиты от ботов PF-Rating свёл в 6 пунктов из материалов hozyindachi.ru, monster-marketing.ru и maryproject.ru. Самая частая — стремление к нулевой роботности: hozyindachi.ru, maryproject.ru и Алиса называют фоновый уровень ботов нормой для любого сайта.

• Блокировать подсети наугад: роботность падает вместе с частью живых клиентов мобильных операторов, которых вы больше не увидите в отчётах;
• Сравнивать периоды с разным положением переключателя: отчёт «все визиты» за прошлый месяц против «только люди» за текущий выглядит как обвал трафика;
• Включить «по поведению» без Logs API: переключатель «с роботами / без роботов» пропадает навсегда;
• Копировать чужие списки IP: у другого сайта свои источники спама, а блокировка может отрезать вашу аудиторию;
• Ставить второй счётчик «для проверки»: он классифицирует визиты по тем же правилам и только утяжеляет страницу;
• Менять всё в 1 день: непонятно, что сработало, и нечего откатывать точечно.

Интерфейс Метрики при этом меняется: в ветке searchengines.guru от 3 апреля 2026 года участник пишет, что поле «Данные: без роботов» в отчёте по посетителям пропало. Поэтому перед правками стоит сделать скриншот текущих настроек, как советует monster-marketing.ru, и сверить шаги со справкой Метрики.

Частые вопросы о защите сайта от ботов