Нужно ли подключать анти-DDoS-защиту?

Question

Бизнес зависит от сайта. Насколько это актуально?

Accepted Answer

Да, анти-DDoS имеет смысл подключать, если сайт приносит деньги и простой даже на 30–60 минут для вас ощутим. Минимум, который закрывает большую часть рисков, — защита на уровне CDN/WAF с фильтрацией L3–L7 и возможностью быстро переключить трафик. Если же у вас нет резервов по инфраструктуре и каналу, то без анти-DDoS вы уязвимы даже для «средних» атак.

Как это устроено и от чего зависит актуальность
DDoS бывает разным, и «актуальность» зависит не от размера бизнеса, а от того, насколько легко вас положить и насколько вы зависите от онлайн-выручки.

L3–L4 (сеть/транспорт): забивают канал или нагрузкой на edge (SYN/UDP flood). Если ваш провайдер/хостинг не имеет фильтрации выше по сети, сайт упадёт ещё до того, как запросы попадут на сервер.
L7 (приложение): имитируют «нормальные» запросы (поиск, корзина, авторизация), но массово. Канал может быть не забит, а серверы/БД/кэш — в 100%.

Анти-DDoS эффективно работает, когда трафик можно перехватить до вашей инфраструктуры: через CDN/реверс-прокси/скраббинг у провайдера. Важно понимать ограничение: анти-DDoS не лечит архитектурные узкие места (медленная БД, отсутствие кэша, тяжёлые эндпоинты), он лишь отсекает «лишнее» и снижает удар.
Ключевой риск: купить «защиту», которая по факту покрывает только L3–L4, а упасть от L7-нагрузки (или наоборот). Второй риск — сложность быстрого включения: если переключение DNS занимает часы, в момент атаки это уже не поможет.

Практическая рекомендация: как принять решение

Посчитайте цену простоя: средняя выручка в час + потери лидов + штрафы по SLA/репутация. Если час простоя для вас ощутим — защита оправдана.
Определите, что вы защищаете: только публичный сайт или ещё личный кабинет, API, админку, платежные редиректы.
Выберите базовый контур (почти всегда достаточный старт):
  
    CDN/WAF перед сайтом (фильтрация ботов, rate limiting, правила на уязвимые URL: /login, /cart, /search, /api/*).
    Защита DNS/быстрое переключение (низкий TTL, заранее подготовленная схема).
    Ограничение доступа к origin: принимать трафик только от CDN/edge (иначе атаку «обойдут» напрямую на IP).

Если критичность высокая (e-commerce, сервис 24/7, платные лиды): добавьте анти-DDoS у провайдера/скраббинг на L3–L4, чтобы не забили канал до CDN.
Заранее настройте мониторинг и регламент: метрики RPS/ошибок/latency, алерты, сценарий «что включаем и кто отвечает».

Типичные ошибки

Подключили WAF/CDN, но оставили открытым прямой доступ к серверу по IP — в итоге DDoS идёт мимо защиты.
Купили защиту «от DDoS», которая покрывает только L3–L4, а сайт падает от L7-флуда на тяжёлых страницах/эндпоинтах.
Нет лимитов и правил на критические URL (логин/поиск/API), нет rate limiting по IP/ASN/гео/сигнатурам.
Ставка только на «железо» без оптимизации приложения: отсутствует кэш, нет очередей, нет деградационных режимов (например, отключение поисковой выдачи при перегрузке).

Если вы напишете, на чём у вас сайт (CMS/фреймворк), где хостится (облако/сервер/провайдер), среднюю посещаемость и критичные разделы (каталог/оплата/личный кабинет/API), я предложу конкретную схему защиты по уровням и минимальный набор правил.