Neogate принимает трафик вашего домена, отсеивает атакующие запросы на своих серверах и передаёт вашему серверу только запросы настоящих посетителей. Подключение через DNS, код сайта менять не нужно.
проверка браузера без капчиtls-отпечатки ja4режим атаки для каждого сайтаотчёты об атаках по ссылкеуведомления в telegramсерверы в германииsla 99,5 %подключение через dnsпроверка браузера без капчиtls-отпечатки ja4режим атаки для каждого сайтаотчёты об атаках по ссылкеуведомления в telegramсерверы в германииsla 99,5 %подключение через dns
Потяните, чтобы повернуть
Атаки идут со всего мира. Фильтрация происходит в Германии, рядом с вашим сервером.
0атак отражено
0запросов в минуту в пике
0,00млрд запросов отсеяно
0адресов в одной атаке
Данные нашего эджа, обновляются каждые 10 минут
Подключение в три шага, без изменений в коде сайта
01
Добавьте домен
Укажите домен, адрес сервера и режим: сайт, API или сервис. В кабинете появятся адрес для DNS и список наших адресов.
02
Направьте DNS
Поменяйте запись домена на адрес Neogate. Как только она обновится, трафик пойдёт через нас, а TLS-сертификат выпустится сам.
03
Закройте сервер
Разрешите 80 и 443 только с адресов Neogate. Иначе атаку направят на сервер напрямую, в обход защиты.
terminal
# DNS
shop.example.ru. CNAME <адрес из кабинета>
# сервер: пускать на 80 и 443 только Neogate
ufw allow from <адрес Neogate> to any port 80,443 proto tcp
ufw deny 80,443/tcp
Одна и та же атака с защитой и без неё
00:00из 05:00 · прокручивайте
Пришло запросов0
Дошло до сервера0
Загрузка сервера 8 %Обычный трафик
00:0001:1502:3003:4505:00
Четыре уровня фильтрации между интернетом и вашим сервером
Сеть14,8 млн
Соединение2,1 млн
Запрос41 тыс.
Ваш сервер3 412
Столько запросов атаки остаётся после каждого уровня
Уровень 1 из 4
Сеть
Объёмные атаки на сетевом уровне фильтрует вышестоящий оператор связи, до того как трафик достигнет наших серверов.
Пакеты известных флудеров отбрасываются на уровне драйвера сетевой карты и не нагружают систему.
Уровень 2 из 4
Соединение
Если сотни адресов приходят с одинаковым TLS-отпечатком, они блокируются как одна группа.
Соединение, через которое бот отправляет тысячи HTTP/2-запросов, закрывается целиком.
На отклонённые запросы мы не отвечаем, поэтому атакующий инструмент простаивает в ожидании ответа.
Уровень 3 из 4
Запрос
Режим атаки включается только для того сайта, который атакуют. Остальные сайты работают как обычно.
Проверка браузера занимает доли секунды и не требует от посетителя никаких действий.
Постоянные посетители и роботы поисковых систем проходят без проверки.
Уровень 4 из 4
Ваш сервер
Получает только проверенный трафик, настоящий IP посетителя передаётся в заголовке X-Real-IP.
Если сервер начинает отвечать ошибками, режим атаки включается автоматически.
Если сервер перестаёт отвечать, вы получаете уведомление.
Проверка браузера без капчи и кликов
Посетителю не нужно ничего нажимать: задачу решает браузер.
Задача уникальна для каждой пары адреса и браузера, заготовить ответы заранее не получится.
Эдж проверяет решение одним вычислением хеша и не тратит на это ресурсы.
shop.example.ru
Проверяем браузер
Это займёт меньше секунды, ничего нажимать не нужно.
Входит в каждый тариф без доплат и отдельных модулей
Уведомления в Telegram
Бот пишет, когда атака началась и закончилась, и отдельно — если ваш сервер перестал отвечать.
Neogateбот
Атака на shop.example.ruПик 5 712 rps, 1 004 адреса. Режим атаки включён автоматически.
Атака закончиласьДлительность 14 мин. Отсеяно 14,8 млн запросов, до сервера дошло 3 412.
Открыть отчёт
Отчёт по каждой атаке
Пиковая нагрузка, источники и коды ответов. Отчёт можно отправить хостеру или клиенту ссылкой.
Пик 5 712 rpsИсточников 1 004До сервера 0,02 %
TLS-сертификаты
Выпускаются при подключении домена и продлеваются без вашего участия.
Доменshop.example.ru
Действует до29 января 2027
Продлениеавтоматически
Лимиты по поведению
Если адрес получает одни ошибки и перебирает страницы, его отключают раньше, чем он упрётся в общий лимит.
лимит
91.240.118.22
отключён
185.220.101.7
отключён
77.88.21.3
норма
178.66.4.120
норма
WAF на правилах OWASP
SQL-инъекции, XSS и другие типовые атаки отсекаются до того, как запрос попадёт в ваше приложение.
GET/?id=1' OR '1'='1SQLi403
GET/catalog?page=2200
POST/search q=<script>alert(1)XSS403
GET/../../etc/passwdLFI403
GET/cart200
Отдельные режимы для сайтов, API и вебхуков
Сайты и магазины
Посетители проходят невидимую проверку только во время атаки. Роботов Google и Яндекса пропускаем по их адресам, поэтому позиции в поиске не страдают.
Chrome 130пропущен
python-requestsпроверка не пройдена
Googlebotпоисковый робот
Проверка только пока идёт атака
Поисковые роботы без проверки
WAF на правилах OWASP
Лимит на адрес и отсев сканеров
API и приложения
Приложения ходят без браузера и не могут пройти проверку. Для них отдельный режим: запросы фильтруются по TLS-отпечаткам клиентов.
okhttp 4.12пропущен
flood-toolотпечаток флудилки
iOS URLSessionпропущен
Без проверки браузера
Ботнет с одним отпечатком отсекается целиком
Отпечатки известных флудилок режутся сразу
Лимит на адрес и WAF
Сервисы и вебхуки
Для программ, которые стабильно шлют много запросов с известных адресов: платёжные уведомления, интеграции, боты.
ЮKassaадрес в списке
45.148.10.40адреса нет в списке
203.0.113.7адрес в списке
Без проверки и фильтра отпечатков
Запросы только с разрешённых адресов
Лимит по желанию
WAF на правилах OWASP
Уровень защиты одинаковый. Тарифы отличаются количеством доменов.
Оплата в рублях картой или через СБП, без автосписаний. Закончилась оплата — защита продолжает работать ещё 3 дня. За неиспользованные дни возвращаем деньги.
Частые вопросы
Сайты и API, которые работают по HTTP и HTTPS. Игровые серверы и другие сервисы на TCP и UDP мы не защищаем. Объёмные атаки на сетевом уровне отражает вышестоящий оператор связи ещё до наших серверов.
Нет. Достаточно поменять DNS-запись домена и закрыть сервер от прямых соединений.
Да. Защита начинает работать, как только новая DNS-запись разойдётся по провайдерам, обычно это минуты. Сразу закройте сервер от прямых соединений.
Настоящий: мы передаём его в X-Real-IP и X-Forwarded-For. В nginx достаточно включить real_ip_header.
Такого не обещает никто, и мы тоже. Во время сильной атаки часть посетителей может получить временный отказ — это оговорено в оферте. Доступность сервиса гарантируем в SLA.
На серверах в Германии. Журналы запросов — 30 дней, записи об атаках — 90 дней, потом удаляются автоматически.
Подключить сайт можно даже во время атаки
Защита заработает, как только обновится DNS-запись, обычно через несколько минут. Первые три дня бесплатно. Если нужна помощь с подключением, напишите на admin@neogate.systems — ответит инженер, а не бот.