Ochrona sklepu PrestaShop przed botami i spamem

Boty rzadko zapowiadają się spektakularnie. Zaczyna się od spamu z formularza kontaktowego i kilku fikcyjnych kont, a kończy na setkach koszyków zakładanych przez automaty, kradzieży opisów produktów i bazie danych, która rośnie do gigabajtów od samych zapisów ruchu. Sklep zwalnia, a Ty płacisz za serwer obsługujący ruch, który niczego nie kupuje. Wdrażamy ochronę warstwami: Cloudflare na froncie, reguły na serwerze i reCAPTCHA na formularzach.

Co obejmuje ochrona przed botami?

• analizę logów serwera: skąd przychodzą boty, które adresy i sieci atakują najczęściej,
• wdrożenie Cloudflare: przepięcie DNS, firewall aplikacyjny (WAF), ochrona przed DDoS, tryb walki z botami i limity zapytań,
• reguły w .htaccess: blokady szkodliwych user-agentów, ochrona wrażliwych adresów, odcięcie najbardziej natrętnych sieci,
• uporządkowanie robots.txt, w tym decyzję, co mogą robić crawlery AI,
• Google reCAPTCHA na formularzach logowania, rejestracji i kontaktu,
• wyczyszczenie bazy z pozostałości po botach: martwe konta gości, porzucone koszyki, spuchnięte tabele połączeń,
• weryfikację po wdrożeniu: prawdziwi klienci i roboty Google przechodzą bez tarcia.

Czego nie obejmuje?

Płatnego planu Cloudflare — w większości sklepów wystarcza plan darmowy, a jeśli skala ataków uzasadnia plan Pro, powiemy o tym wprost przed wdrożeniem. Usługa nie obejmuje też sprzątania po włamaniu: jeśli w plikach sklepu jest już obcy kod, zacznij od naprawy sklepu po włamaniu.

Dlaczego nie włączyć Cloudflare samemu?

Bo darmowy plan to tylko narzędzie, a nie ochrona. Przy samodzielnym przepięciu DNS najczęściej gubią się rekordy MX i poczta sklepu przestaje działać. Zbyt ostry limit zapytań blokuje hurtownika, który składa dziesięć zamówień z jednego biurowego IP. Bez przekazania prawdziwego adresu klienta PrestaShop widzi wszędzie IP Cloudflare, więc moduły antyfraud i statystyki gości przestają mieć sens. A najgorsze: reguły ustawione „na oko” potrafią odciąć Googlebota i sklep po cichu wypada z indeksu. Wdrażamy to na tyle często, że wiemy, gdzie są te pułapki, i omijamy je zanim staną się problemem.

Jak przebiega realizacja?

1. Analiza logów i bazy: ustalamy, z czym faktycznie walczymy (1 dzień).
2. Wdrożenie Cloudflare i reguł serwerowych, bez przerwy w działaniu sklepu (1 dzień).
3. Instalacja i konfiguracja reCAPTCHA na formularzach (tego samego dnia).
4. Tydzień obserwacji i dostrajania reguł pod realny ruch sklepu.

Startujemy w ciągu 2 dni roboczych od zamówienia. Cała usługa zamyka się w około 10 dni roboczych, z czego sklep odczuwa ulgę już po drugim dniu.

Co potrzebujemy od Ciebie?

• dostęp do panelu domeny (zarządzanie DNS) — tam przepinamy ruch przez Cloudflare,
• dostęp FTP lub SSH do serwera,
• konto administratora w panelu PrestaShop,
• jeśli masz już konto Cloudflare lub klucze reCAPTCHA, podeślij je; jeśli nie, zakładamy na Twoje dane, żeby własność została po Twojej stronie.

Wszystkie dostępy przekazujesz przez bezpieczny formularz, nie mailem.

Co dostajesz na koniec?

Krótki raport z konkretnymi liczbami zamiast ogólników: ile zapytań Cloudflare zatrzymał w pierwszym tygodniu, ile ważyła baza przed czyszczeniem i po nim, zrzut z Search Console potwierdzający, że Google indeksuje sklep bez zakłóceń. Do tego lista wdrożonych reguł z opisem, po co jest każda z nich, żeby za pół roku Ty albo inny wykonawca wiedzieli, czego nie ruszać.

Po czym poznać, że sklep atakują boty?

Najczęstsze sygnały: spam z formularza kontaktowego, konta klientów o bezsensownych adresach e-mail, dziesiątki koszyków porzucanych o dziwnych porach i sklep, który nocą działa wolniej niż w dzień. Warto też zajrzeć do rozmiaru bazy danych — tabele gości, koszyków i połączeń rosnące o setki megabajtów to niemal zawsze robota automatów, nie klientów.

Czy sama reCAPTCHA nie wystarczy?

Coraz częściej nie. Nowoczesne boty radzą sobie z captchą w ciągu tygodni od jej wdrożenia, więc traktujemy ją jako jedną z warstw, nie jedyną linię obrony. Cloudflare odsiewa masowy ruch zanim dotknie serwera, reguły .htaccess zatrzymują to, co się prześlizgnie, a reCAPTCHA domyka formularze. Każda warstwa łapie co innego i dopiero razem dają spokój.

Cloudflare a PrestaShop: na co uważamy

Sklep to nie blog, więc konfigurujemy Cloudflare z myślą o zakupach. Koszyk, zamówienie, logowanie i panel administracyjny wykluczamy z cache, żeby klient nigdy nie zobaczył cudzego koszyka. Przekazujemy prawdziwy adres IP odwiedzającego do PrestaShop, dzięki czemu blokady w module, statystyki gości i weryfikacja płatności działają jak wcześniej. Osobno ustalamy z Tobą, co mają robić crawlery AI (GPTBot, ClaudeBot, Bytespider i podobne): jedni chcą je wpuszczać, inni blokować, my tylko wdrażamy Twoją decyzję.

Czy Cloudflare nie zablokuje prawdziwych klientów albo Google?

Źle skonfigurowany potrafi — to najczęstsza obawa i najczęstszy błąd samodzielnych wdrożeń. Dlatego roboty wyszukiwarek weryfikujemy i wpuszczamy jawnie, reguły testujemy najpierw w trybie obserwacji, a po wdrożeniu sprawdzamy w Search Console, czy indeksowanie działa bez zakłóceń. Ochrona przed botami dobrze łączy się z hardeningiem sklepu, a pełną listę zabezpieczeń opisaliśmy w checkliście bezpieczeństwa PrestaShop.

Jeśli sklep stoi na naszym hostingu albo korzystasz z opieki technicznej PrestaCare, reguły serwerowe mamy już przygotowane i wdrożenie jest szybsze, a dostrajanie po pierwszym tygodniu robimy w ramach abonamentu.