WAF снизил нагрузку на WordPress/WooCommerce-сайт в 45 раз: реальный кейс

Владельцы интернет-магазинов на WordPress/WooCommerce нередко сталкиваются с ситуацией, когда сайт на shared-хостинге регулярно выходит за лимиты по нагрузке на веб-сервер и MySQL. Именно такой случай разобран в новом кейсе на Хабре: штатный антибот-фильтр хостинга проблему не решил, и превышения повторялись с завидной регулярностью.

Решение оказалось не в оптимизации кода или переезде на более мощный тариф, а в подключении внешнего WAF с индивидуальной фильтрацией трафика. По данным Beget, после замены фильтра суточная нагрузка сайта снизилась примерно в 45 раз, а нагрузка на базы данных — примерно в 39 раз.

Подробности

Автор кейса подчёркивает: WordPress, WooCommerce, установленные плагины, код и структура БД не изменялись. Весь эффект достигнут исключительно за счёт фильтрации входящего трафика на стороне внешнего WAF.

Ключевая причина нагрузки — паразитный трафик. Веб-сервер и MySQL обрабатывали запросы от:

• парсеров, собирающих контент и цены;
• сканеров уязвимостей и перебора путей;
• поведенческих ботов, имитирующих действия пользователей.

Именно эти категории запросов создавали основную долю обращений к динамическим страницам и базе данных, которые в WooCommerce особенно «тяжёлые». Штатный антибот-фильтр хостинга такие сценарии не отсекал.

Внешний WAF с индивидуальной фильтрацией позволил точечно отделить паразитный трафик от легитимного. Отдельно автор разбирает, что происходило с поисковыми роботами: их корректная обработка — критичный момент, поскольку агрессивная фильтрация легко приводит к выпадению сайта из индекса и потере органического трафика.

В статье приводятся реальные графики нагрузки, данные Яндекс Метрики и статистика WAF, а также разбираются случаи, когда WAF, наоборот, не поможет решить проблему высокой нагрузки. Это важное ограничение: WAF — не универсальное решение, и при определённых архитектурных или кодовых проблемах сайта он не даст ожидаемого эффекта.

Что делать

Если ваш WordPress/WooCommerce-сайт регулярно упирается в лимиты хостинга, стоит рассмотреть следующий порядок действий:

• Проанализируйте трафик. Определите, какая доля запросов приходится на парсеров, сканеров и поведенческих ботов, а какая — на реальных пользователей и поисковых роботов.
• Оцените штатные средства хостинга. Если антибот-фильтр провайдера не справляется, имеет смысл смотреть в сторону внешнего WAF с гибкими правилами фильтрации.
• Настройте правила аккуратно. Обязательно предусмотрите белые списки для поисковых роботов и критичных для бизнеса сервисов, чтобы не потерять позиции в поиске и не заблокировать платёжные или аналитические интеграции.
• Проверьте, годится ли WAF в вашем случае. Если корень проблемы — неэффективные запросы, тяжёлые плагины или неоптимизированная БД, фильтрация трафика эффекта не даст: сначала потребуется оптимизация самого сайта.
• Мониторьте результат. Отслеживайте нагрузку на сервер и MySQL, данные метрик и статистику WAF после подключения, чтобы убедиться в отсутствии ложных срабатываний.

Кейс показывает, что грамотно настроенный WAF способен кратно снизить нагрузку на WordPress/WooCommerce без вмешательства в код сайта. Однако ключевое условие успеха — точная настройка фильтрации и понимание того, в каких случаях проблема лежит не в трафике, а в самом сайте.

Источник: Хабр — Информационная безопасность