XF Bot Guard 1.3.4

для существующих клиентов: Существующим клиентам, использующим Cloudflare Edge Enforcement, следует заново создать управляемое правило Cloudflare и список IP-адресов после обновления.

Перейдите в раздел «Обзор» → «Отключить управляемое правило Cloudflare» → выберите «Удалить управляемое правило и список IP-адресов» . Затем вернитесь в раздел «Обзор» и нажмите «Восстановить настройки Cloudflare» .

Это необходимо, поскольку XF Bot Guard теперь использует более строгий контроль принадлежности управляемых правил, поэтому он обновляет именно то правило, которым владеет, вместо того, чтобы полагаться на совпадающее имя или описание правила.

Тип выпуска: незначительный.

XF Bot Guard 1.3.4 — это выпуск, направленный на повышение безопасности и улучшение надежности Cloudflare Edge Enforcement, более безопасную обработку внешних ответов, более строгую проверку подтверждения начальной загрузки, более чистое поведение развертывания URL-адресов, опциональное исключение RSS/Atom-каналов и небольшие улучшения для администраторов.

Более безопасное управление Cloudflare Edge Enforcement.

Cloudflare Edge Enforcement теперь более строго идентифицирует управляемое правило XF Bot Guard, снижая риск обновления или удаления неправильного правила Cloudflare, если другое правило имеет похожее имя или описание. Это делает действия по восстановлению, отключению и синхронизации Cloudflare более безопасными для существующих настроек Cloudflare. Новые настройки не требуются, но существующим клиентам Cloudflare Edge Enforcement следует следовать приведенным выше инструкциям по обновлению после обновления.

Ограниченная обработка внешних ответов.

Внешние ответы, используемые при обновлении диапазонов ASN и вызовах API Cloudflare, теперь более жестко ограничены. Обновления ASN WHOIS/IRR принимают более крупные легитимные ответы, устанавливая максимальный размер ответа и количество диапазонов, а ответы API Cloudflare также ограничены, чтобы предотвратить чрезмерное потребление памяти или нестабильные действия администратора из-за неожиданно больших удаленных ответов. Это происходит автоматически при использовании сетевых списков на основе ASN или Cloudflare Edge Enforcement.

Более надежное подтверждение сбора данных Bootstrap.

Теперь сбор данных Bootstrap требует корректного подтверждения, специфичного для Bootstrap, вместо принятия обычного токена сборщика в путях, использующих только Bootstrap. Это ужесточает процесс ранней проверки браузером и предотвращает смешивание подтверждений между обычным сбором данных и проверкой Bootstrap. Ничего включать не нужно; это применяется автоматически при использовании проверки Bootstrap.

Улучшена обработка перенаправлений URL-адресов.

Теперь облегченные ответы, содержащие только метаданные, для агентов развертывания URL-адресов сохраняют действительные перенаправления XenForo, при этом возвращая пустое тело. Это помогает агентам предварительного просмотра и развертывания URL-адресов следовать каноническим перенаправлениям, например, ссылкам на публикации, перенаправляющим на конечный URL-адрес темы, без раскрытия защищенного содержимого страницы на этапе перенаправления. Это применяется автоматически, когда облегченные ответы включены и настроены шаблоны пользовательских агентов развертывания URL-адресов.

Дополнительное исключение RSS/Atom-лент.

Новая опция « Исключить RSS/Atom-ленты из защищенных областей » позволяет администраторам исключать запросы RSS и Atom-лент из защищенной обработки Bot Guard. При включении запросы лент рассматриваются как незащищенные и не проходят защищенную оценку, проверку, отказ, обработку кандидатов на крайние точки, загрузку или обработку облегченных ответов. Оставьте ее выключенной, если вы все еще хотите использовать существующую в Bot Guard неинтерактивную оценку и обработку отказов для лент; включите ее, если ваше сообщество зависит от открытого доступа к лентам.

Более узкие сигналы энтропии браузера и автоматизации.

Проверка браузера теперь включает несколько дополнительных узких индикаторов согласованности браузера и автоматизации, включая дополнительные маркеры в стиле Selenium/Phantom/Nightmare и проверки согласованности объектов Chrome. Эти сигналы предоставляют Bot Guard больше доказательств при оценке автоматизированных или необычных браузерных сред без необходимости какой-либо настройки администратора. Они собираются автоматически в рамках обычного процесса проверки браузера.

Скрываемое напоминание о разработке поддержки.

Администраторы теперь могут навсегда скрывать напоминание о разработке поддержки, отображаемое на страницах администрирования XF Bot Guard. Администраторы с разрешением на управление параметрами XenForo могут закрыть его непосредственно из напоминания или управлять им с помощью новой опции «Скрыть напоминание о разработке поддержки» . Это позволяет поддерживать чистоту области администрирования после того, как напоминание будет просмотрено.

Общее усиление безопасности и очистка.

Этот релиз также включает более широкое усиление надежности в отношении классификации запросов, нормализации URL/путей, обнаружения ресурсов, не являющихся страницами, обработки состояния синхронизации Cloudflare, записи резервного копирования, детализации пакета поддержки, инвентаризации объединенных ресурсов и покрытия тестов. Эти изменения повышают согласованность в отношении таких частных случаев, как маршруты в стиле запросов, статические ресурсы, определение лент новостей, обработка URL-адресов одного источника и диагностика ошибок. Никаких дополнительных действий не требуется.

Нажмите для раскрытия...

Важные примечания к обновлению XF Bot Guard 1.3.3

для существующих клиентов:

Этот релиз включает новые файлы поиска стран/ASN по IP-адресу и локальный считыватель MMDB, увеличивая размер пакета дополнения примерно до 30 МБ.

Если вы обычно загружаете дополнения через панель управления XenForo, вам может потребоваться увеличить размер PHPpost_max_sizeиupload_max_filesizeнастроек, чтобы разрешить загрузку большего размера. В противном случае загрузите файлы вручную через FTP, SFTP или SCP перед запуском обновления.

Тип релиза: незначительный.

XF Bot Guard 1.3.3 — это релиз, направленный на повышение надежности, прозрачности и безопасности. Он фокусируется на уменьшении ложных срабатываний в обычной навигации XenForo, улучшении видимости стран и ASN, повышении безопасности Cloudflare Edge Enforcement от конфликтов, усилении обработки токенов безопасности и упрощении понимания конфигурации администратора и диагностики поддержки.

Улучшение: Более интеллектуальная хронология ссылок для форм и перенаправлений.

Хронология ссылок теперь безопасно обрабатывает больше обычных путей навигации XenForo, включая выбранные действия собственных форм и продолжения перенаправлений из одного источника. Это помогает уменьшить количество ложных срабатываний, когда легитимные пользователи перемещаются по таким разделам, как поиск, теги, новинки и страницы после перенаправления, одновременно защищая от прямого сбора защищенных URL-адресов, которые никогда не были доступны этому посетителю. Чтобы использовать эту функцию, оставьте включенной хронологию ссылок в параметрах XF Bot Guard; отключайте ее только в том случае, если вы проводите консервативное развертывание или WAF вашего хостинга не может быть настроен.

Функция: Резервный поиск по стране и ASN.

XF Bot Guard теперь может использовать встроенные базы данных локальных IP-адресов, стран и ASN, когда заголовки доверенного прокси недоступны. Это означает, что сигналы на основе страны и ASN более полезны в большем количестве конфигураций хостинга, без отправки IP-адресов посетителей во внешний сервис поиска во время запросов. Загрузите полный пакет релиза, затем подтвердите работоспособность встроенных баз данных в разделе «Дополнительно» → «Проверка работоспособности» . Отдельный ключ API или внешняя учетная запись не требуются.

Функция: Карта и таблица давления по странам.

Теперь на панели мониторинга отображается информация о давлении по странам, показывающая, откуда исходят жесткие вмешательства, тупиковые ситуации проверки браузера и сессии, в которых должны были произойти вмешательства только в режиме наблюдения. Это дает администраторам более четкое представление о давлении атак по регионам, позволяя им принимать более взвешенные решения относительно сетевых правил, региональных закономерностей и того, работают ли настройки только наблюдения должным образом. Откройте панель мониторинга XF Bot Guard после обновления; данные о давлении по странам начнут накапливаться с момента обновления и не будут перестраиваться ретроспективно из существующих снимков панели мониторинга.

Исправление: Безопасная для гонок очередь Cloudflare Edge.

Теперь безопаснее использовать очередь кандидатов Cloudflare Edge, когда одновременно выполняется несколько запросов с одного и того же IP-адреса. Вместо ошибки при дублировании записи в очереди, XF Bot Guard теперь перезагружает и обновляет существующую запись кандидата. Это повышает надежность во время пиковых нагрузок и помогает Cloudflare Edge Enforcement поддерживать точное состояние кандидатов. Ничего включать не нужно; это применяется автоматически при включении Cloudflare Edge Enforcement.

Функция: Жесткий запрет для сетей с принудительной проверкой.

Сети с принудительной проверкой теперь могут опционально обрабатываться как сети с жестким запретом. Это полезно, когда у вас есть определенные IP-адреса, CIDR или ASN, где проверка больше нецелесообразна, и вы хотите, чтобы XF Bot Guard вместо этого возвращал прямой отказ. Добавьте соответствующие сети в настройки принудительной проверки, затем включите жесткий запрет для сетей с принудительной проверкой .

Функция: Время очистки, определяемое администратором.

Администраторы теперь могут выбирать часы, в течение которых разрешено выполнение очистки XF Bot Guard. Это позволяет загруженным форумам выполнять более интенсивную работу по очистке вне периодов пиковой нагрузки. По умолчанию очистка разрешена в течение всего дня, поэтому существующие сайты будут вести себя так же после обновления. Чтобы использовать эту функцию, установите время начала и окончания очистки в параметрах XF Bot Guard, а затем подтвердите текущий статус окна очистки в разделе «Дополнительно» → «Проверка работоспособности» .

Усиление защиты: обработка токенов, безопасных с использованием CSPRNG.

Теперь токены безопасности используют более строгие правила генерации случайных чисел. Если безопасный источник случайных чисел PHP недоступен, XF Bot Guard будет избегать создания затронутых токенов безопасности, а не переходить к более слабым значениям. Это защищает потоки токенов сборщика, возврата, непрерывности, отчета и канареечных токенов от небезопасной случайности. Настройка не требуется; проверьте раздел «Дополнительно» → «Проверка работоспособности» , чтобы убедиться в работоспособности генерации случайных чисел.

Документация: совместимость с ModSecurity / Comodo CWAF.

В документацию теперь включены специальные рекомендации для хостов, использующих ModSecurity или Comodo CWAF. Некоторые общие правила WAF могут давать ложные срабатывания на cookie-файлы, принадлежащие Bot Guard, особенно при наличии резервных cookie Link Chronology. В новых рекомендациях объясняются симптомы, что искать в журналах аудита WAF и как исключить только значения cookie XF Bot Guard, а не отключать ModSecurity глобально. Используйте это, если на вашем сайте возникают ошибки WAF после включения более продвинутых сигналов защиты.

Исправление: Отображение темного режима в ACP до XF 2.3.

Стиль ACP XF Bot Guard был скорректирован таким образом, чтобы старые версии XenForo не получали некорректную обработку темного режима в стиле XF 2.3. Это делает страницы администрирования Bot Guard более читабельными в установках до XF 2.3, сохраняя при этом современное поведение темного режима там, где это поддерживается. Ничего настраивать не нужно; обновите кэш браузера в административной панели, если старый стиль все еще кэшируется после обновления.

Улучшение: Улучшен порядок параметров ACP.

Параметры XF Bot Guard были переупорядочены для более логичного расположения. Связанные элементы управления теперь сгруппированы более естественно, что упрощает просмотр панели ACP и снижает вероятность пропуска важных настроек. Существующие значения параметров сохранены. Откройте параметры XF Bot Guard после обновления, чтобы увидеть обновленный макет.

Улучшение: Более понятные формулировки и документация.

Формулировки и документация были согласованы по всему дополнению, поэтому пользовательский интерфейс, документация, проверки работоспособности, формулировки журнала событий, формулировки Cloudflare Edge Enforcement и руководство по поддержке используют более согласованный язык. Это не меняет поведение защиты, но упрощает настройку, устранение неполадок и общение со службой поддержки после обновления.

Усиление безопасности: Статический контроль совместимости PHP 7.2.

Процесс выпуска теперь включает дополнительный контроль совместимости для синтаксиса и сигнатур PHP 7.2. Это помогает предотвратить случайное попадание кода, предназначенного только для более новых версий PHP, к клиентам, которые все еще используют старые поддерживаемые среды XenForo/PHP. Ничего включать не нужно; это проверка качества выпуска, которая делает обновления более безопасными.

Улучшение безопасности: общие улучшения безопасности и удобства поддержки.

В этом релизе также внесены небольшие изменения в безопасность запросов, исходящую выборку данных из источников, запись сбоев доверия к краулеру, исключения вложений/ресурсов, защиту внутренних идентификаторов, диагностику синхронизации параметров Cloudflare и поддержку сигналов состояния пакетов. Эти изменения уменьшают количество ложных срабатываний в крайних случаях, упрощают диагностику сбоев состояния и обеспечивают более контролируемую диагностику конфиденциальных данных. Никаких действий не требуется; эти улучшения применяются автоматически после обновления.

Нажмите для раскрытия...

XF Bot Guard 1.3.2

Тип релиза: незначительный

XF Bot Guard 1.3.2 фокусируется на снижении нагрузки на сервер, более интеллектуальном обнаружении ботов, специфичных для форумов, и улучшении стабильности на крупных сайтах. Он расширяет возможности чтения с использованием кэша на большее количество путей защиты, добавляет новые сигналы хронологии ссылок и времени пребывания, повышает надежность панели управления и добавляет новую проверку работоспособности для проблем с источником URL-адреса форума.

Более быстрая защита с более дешевым чтением с путей защиты

XF Bot Guard уже использовал кэш приложений XenForo на своем основном пути защиты. В версии 1.3.2 этот подход с использованием кэша был расширен на все совместимые пути защиты, включая такие области, как счетчики, проверенные поиски краулеров, сопоставление сети, анализ шаблонов с легким откликом, контекстные канареечные ссылки и состояние хронологии ссылок. Проще говоря, это означает, что Bot Guard может избежать множества повторных запросов на чтение из базы данных во время интенсивного трафика, повторно используя кратковременные кэшированные данные там, где это возможно.

В Bot Guard нет ничего нового, что нужно было бы включать. Если кэш приложений XenForo настроен и заполнен, Bot Guard будет использовать его автоматически. В противном случае Bot Guard продолжает работать в обычном режиме, используя базу данных, но более загруженным форумам следует серьезно рассмотреть возможность включения кэша приложений XenForo. Предпочтительным вариантом является Memcached, за ним следует Redis. APC/APCu может быть полезен для небольших односерверных установок, но не является предпочтительным вариантом для крупных или более загруженных сообществ.

Более интеллектуальная проверка маршрута по ссылкам для конкретных форумов.

Функция Link Chronology помогает Bot Guard различать обычный просмотр и обход URL-адресов в стиле скрапера. Когда посетитель просматривает защищенную страницу, Bot Guard сохраняет кратковременную запись защищенных внутренних ссылок, которые были фактически видны на этой странице. При следующем запросе к защищенной странице он может определить, переходит ли посетитель по ссылке, которую он недавно видел, перезагружает ту же страницу или переходит непосредственно на другой защищенный URL-адрес, который не был частью его недавнего маршрута.

Это важно, потому что реальные пользователи обычно просматривают видимые ссылки на форумах, в то время как боты часто работают со списками URL-адресов, предполагаемыми путями, спарсированными маршрутами или прямым обходом защищенных страниц. Сигнал адаптирован к каждому форуму, поскольку он формируется на основе фактических страниц, ссылок и структуры маршрутов этого форума. Он включен по умолчанию и может быть настроен или отключен в параметрах хронологии ссылок. Он добавляет только ограниченный риск; сам по себе он никого не блокирует.

Обучение на основе времени пребывания на форуме.

Анализ времени пребывания на странице позволяет Link Chronology лучше понимать, как выглядит «нормальный» просмотр страниц в каждом отдельном сообществе. Bot Guard анализирует навигацию зарегистрированных пользователей, чтобы определить приблизительные локальные границы того, сколько времени люди обычно проводят между переходами на защищенные страницы. Быстро развивающийся форум поддержки, форум с длинными дискуссиями и сообщество с большим количеством медиаконтента могут иметь различное нормальное поведение, поэтому Bot Guard обучается на основе данных самого форума, а не полагается на одно фиксированное глобальное правило.

Это разработано для обеспечения конфиденциальности. Bot Guard не нужно идентифицировать отдельных участников, хранить личную историю просмотров или знать, что кто-то лично читал, чтобы построить эту модель. Он использует локальное агрегированное поведение, чтобы понять нормальный ритм форума, а затем добавляет ограниченный риск только тогда, когда переход по защищенной ссылке происходит необычно быстро или необычно медленно по сравнению с собственным нормальным шаблоном форума. Если локальной выборки данных еще недостаточно, оценка времени пребывания на странице просто не применяется.

Более надежная панель мониторинга на крупных сайтах.

Теперь панель мониторинга не загружает в память неограниченные строки метрик маршрута и времени. Отчеты по маршрутам ограничены наиболее релевантными маршрутами, результаты маршрутизации извлекаются только для выбранных маршрутов, а сводки по времени рассчитываются более безопасным с точки зрения использования памяти способом.

Это решает проблему исчерпания памяти панели мониторинга в больших или загруженных установках. Ничего включать не нужно; обновите систему и используйте панель мониторинга в обычном режиме.

Проверка работоспособности источника URL-адреса доски

. Теперь проверка работоспособности проверяет источник URL-адреса доски XenForo на соответствие текущему источнику публичных запросов. Это помогает выявлять распространенные проблемы конфигурации, такие как несоответствие HTTP/HTTPS, неправильный хост, несоответствие www/не-www, несоответствие портов или проблемы с обработкой прокси.

Это важно, поскольку несоответствие источников может влиять на проверку браузера в пределах одного источника, URL-адреса запросов и URL-адреса ресурсов. Чтобы использовать эту функцию, откройте страницу состояния/работоспособности XF Bot Guard после обновления и просмотрите результат проверки источника URL-адреса доски. Если обнаружена проблема, исправьте URL-адрес доски XenForo или конфигурацию HTTPS/хоста вашего прокси, а затем повторно запустите проверку.

Более стабильные данные о количестве пользователей онлайн.

Корректировка количества пользователей онлайн в Bot Guard теперь использует единый согласованный показатель активности сессии XenForo вместо объединения отдельных данных, которые могли кратковременно расходиться при перемещении или нагрузке.

Это устраняет временные несогласованные итоговые данные о количестве пользователей онлайн, включая количество участников, гостей и оспариваемых запросов. Корректировка применяется автоматически, когда Bot Guard включен и включена опция корректировки количества пользователей онлайн.

Нажмите для раскрытия...

Важные примечания по обновлению XF Bot Guard 1.3.1

для существующих клиентов:

Для прямого обновления до XF Bot Guard 1.3.1 требуется предварительная установка XF Bot Guard 1.2.9 (1020970) или более новой версии. Если на вашем сайте установлена более старая версия XF Bot Guard, сначала выполните обновление через промежуточный релиз, содержащий старые миграции, убедитесь в успешном завершении обновления, а затем установите версию 1.3.1. Клиенты, уже использующие версии 1.2.9, 1.3.0 или более новые, могут выполнить обновление в обычном режиме.

Тип релиза: незначительный

XF Bot Guard 1.3.1 ориентирован на более безопасное обновление, более понятную отчетность на панели управления, более надежные контекстные ссылки-индикаторы, улучшенную поддержку локализации, диагностику, обеспечивающую конфиденциальность, и снижение нагрузки на базу данных. Большинство изменений применяются автоматически после обновления, без необходимости внесения новых настроек.

Более безопасное прямое обновление с поддерживаемых версий.

XF Bot Guard теперь четко обеспечивает поддержку базовой версии для прямого обновления — 1.2.9 или более новой. Это предотвращает попытки прямого перехода на более новую схему для очень старых установок без необходимых шагов миграции устаревших версий. Если ваша установка уже работает на версии 1.2.9 или новее, просто обновите ее как обычно; если она старше, сначала обновитесь через необходимый промежуточный релиз.

Более понятные предупреждения о покрытии снимков панели мониторинга.

Теперь панель мониторинга предупреждает, когда выбранный временной диапазон еще не имеет полного покрытия доверенными снимками. Это помогает избежать ошибочного принятия неполных диаграмм за «отсутствие активности бота», когда проблема на самом деле заключается в отсутствии, задержке или еще не созданных снимках панели мониторинга. Откройте панель мониторинга как обычно; если появляется предупреждение, проверьте выбранный диапазон, срок хранения снимков, почасовой cron для снимков и состояние/работоспособность.

Более точная отчетность панели мониторинга только для наблюдения.

Отчетность панели мониторинга только для наблюдения теперь лучше соответствует панели мониторинга принудительного применения в реальном времени, сохраняя при этом данные о предполагаемых действиях отдельно от реальных данных принудительного применения. Метрики давления на маршруты и результатов маршрутов теперь используют правильные группы снимков только для наблюдения, поэтому администраторы могут с большей уверенностью тестировать настройки перед включением активного принудительного применения. Включите режим «Только наблюдение», как обычно, затем просмотрите разделы панели управления «будет оспариваться», «будет отклоняться» и «давление на маршрут».

Более надежные индикаторы контекстных ссылок.

Инструментарий индикаторов контекстных ссылок был переработан для изменения допустимых тегов привязки без повторной сериализации всего HTML-документа. Это делает индикаторы более безопасными при работе со скриптами, стилями, комментариями, шаблонами, заголовками, содержимым текстовых полей, тегами верхнего регистра, атрибутами без кавычек и более сложной разметкой страницы. Если индикаторы контекстных ссылок уже включены, исправление применяется автоматически; в противном случае включите их в настройках XF Bot Guard, если вам нужен этот дополнительный уровень обнаружения ботов.

Более быстрая проверка базы данных на загруженных форумах.

Некоторые часто используемые запросы были оптимизированы для сокращения ненужной работы с базой данных. Это включает в себя более удобные для индексации проверки контроллеров, запросы на подсчет событий с удалением дубликатов, более быстрые проверки существования и кэширование схемы на уровне запроса. Ничего включать не нужно; после обновления улучшенные пути запросов будут использоваться автоматически.

Полностью структурированный текст для административной панели и панели управления.

Больше текста для административной панели, панели управления, состояния, Cloudflare, настроек и JavaScript в XF Bot Guard теперь использует фразы XenForo. Это упрощает перевод, настройку и поддержание согласованности дополнения с языковыми настройками вашего форума. Используйте обычные инструменты XenForo для фраз/языков, чтобы корректировать формулировки там, где это необходимо.

Поддержка диагностики в браузерах с обеспечением конфиденциальности.

Буфер отладки браузера теперь отключен по умолчанию и активируется только тогда, когда режим отладки явно установлен в значение true. При включении для устранения неполадок служба поддержки ведет небольшой, очищенный журнал последних событий и избегает раскрытия конфиденциальных значений, таких как идентификаторы посетителей, токены, значения CSRF, URL-адреса возврата, пути запросов, строки запросов, URL-адреса скриптов, значения localStorage и необработанные сигналы браузера. Оставляйте его выключенным для обычного использования; включайте его временно только по запросу службы поддержки.

Более чистый поддерживаемый путь обновления.

Старые пути миграции и обеспечения совместимости, которые больше не входят в поддерживаемый диапазон прямого обновления, были удалены. Это снижает сложность обновления и позволяет текущему коду сосредоточиться на поддерживаемых установках, вместо того чтобы навсегда сохранять старую логику временного хранения, хеширования и восстановления параметров. Никаких настроек не требуется; единственное, что нужно помнить, это то, что установки старше версии 1.2.9 должны сначала обновиться через необходимый промежуточный релиз.

Нажмите для раскрытия...

XF Bot Guard 1.3.0

Тип релиза: незначительный

• Устанавливает заголовок X-Robots-Tag: noindex, nofollow, noarchive для маршрутов bot-guard/ , что позволяет гарантировать, что корректно работающие боты будут игнорировать маршруты Bot Guard вместо попыток индексации AJAX-запросов и проверки страниц.
  
  
• Введена новая опция « Сохранять неактивные ключи CAPTCHA XenForo» . При включении (по умолчанию отключено) эта опция изменяет стандартную область параметров CAPTCHA XenForo таким образом, чтобы неактивные конфигурации CAPTCHA сохранялись, а не удалялись. Это позволяет вводить и сохранять несколько конфигураций CAPTCHA, так что одну можно использовать для XenForo в целом, а другую — специально для Bot Guard. Без этой опции XenForo сохраняет только активную конфигурацию CAPTCHA и незаметно удаляет остальные.
  
  
• Теперь функция очистки данных обрабатывает гораздо большие объемы данных с гораздо большей частотой. Это должно лучше поддерживать очень большие сайты и наборы данных. Если ваш форум в настоящее время отстает в очистке данных, теперь он должен стать более активным в поддержании размеров таблиц в пределах заданных периодов хранения. Первоначальная очистка может занять некоторое время, поскольку она по-прежнему не выполняется сразу для избежания ненужной нагрузки на сервер, но теперь она будет гораздо более агрессивно контролировать хранимые данные.
  
  
• Исправлена ошибка, из-за которой конфигурации перезаписи nginx могли привести к неправильному расчету путей nonce сборщика Bot Guard. Это вызывало несоответствие nonce для каждого посетителя, в результате чего Bot Guard запрашивал подтверждение у каждого посетителя. Теперь конфигурации перезаписи nginx учитываются отдельно, и Bot Guard должен корректно работать с такими конфигурациями установки.

XF Bot Guard 1.2.9

Тип выпуска: исправление ошибки

Исправлена ошибка, из-за которой XF Bot Guard некорректно переключался на стандартный поставщик CAPTCHA XenForo при использовании правильно настроенных пользовательских поставщиков CAPTCHA. Теперь совместимые с XenForo пользовательские поставщики CAPTCHA работают корректно.

Нажмите для раскрытия...

P.s Советую изучить одну из

У Вас недостаточно прав для просмотра ссылок. Вход или Регистрация

, чтобы избежать проблем с производительностью на крупных форумах.

XF Bot Guard 1.2.8

Тип выпуска: минорный

XF Bot Guard 1.2.8 — это релиз, посвященный защите, управлению краулерами и операционной деятельности. Он добавляет более надежные сигналы обнаружения ботов, более безопасную обработку краулеров с ИИ, настраиваемое поведение CAPTCHA и Edge, защиту от аварийных ситуаций, улучшенные инструменты расследования, а также обширную документацию, производительность и усиление безопасности.

Контекстные ссылки-«канарейки»

XF Bot Guard теперь может размещать временные псевдонимы-«канарейки» на очень небольшом количестве подходящих внутренних публичных ссылок. Реальные посетители безопасно перенаправляются обратно на обычный URL-адрес XenForo перед навигацией, в то время как боты, которые напрямую парсят и получают URL-адрес-«канарейку», создают высококачественные доказательства риска. Это помогает выявлять краулеров, которые ведут себя иначе, чем реальные пользователи, без наказания проверенных краулеров или исключенного трафика. Эта функция включена по умолчанию и может управляться в параметрах XF Bot Guard.

Контроль проверенных краулеров с ИИ и средств получения данных с ИИ

Обработка краулеров с ИИ теперь доступна с точным контролем проверки. XF Bot Guard может отдельно разрешать использование выбранных проверенных поисковых роботов ИИ и роботов-запросчиков ИИ, запускаемых пользователями, таких как поддерживаемые источники OpenAI и Anthropic, только если официальный диапазон IP-адресов и ожидаемые данные пользовательского агента совпадают. Роботы-запросчики ИИ — это сервисы, работающие с участием человека и получающие контент по запросу реального пользователя (например, по просьбе ИИ-помощника обобщить или проанализировать страницу), что отличается от роботов-сканеров ИИ, которые систематически собирают контент для обучения моделей или создания наборов данных. Это помогает поддерживать работу легитимного поведения роботов-запросчиков ИИ без слепого доверия ко всем ботам, похожим на ИИ, и при этом позволяет отдельно контролировать более широкую активность сканирования ИИ. Используйте параметры проверенных роботов-сканеров ИИ и роботов-запросчиков ИИ, включив основной параметр проверенных роботов-сканеров.

Выберите поставщика CAPTCHA для Bot Guard.

Теперь Bot Guard может использовать собственного поставщика CAPTCHA вместо того, чтобы всегда наследовать глобальные настройки CAPTCHA XenForo. Оставьте этот параметр пустым, чтобы использовать настройки по умолчанию XenForo, или выберите поддерживаемый поставщик, совместимый с XenForo, специально для проверок Bot Guard. Это полезно, если вы хотите, чтобы регистрация, контактные формы и проверки ботов использовали разные настройки CAPTCHA. Настройте это в параметре поставщика CAPTCHA XF Bot Guard.

Режим выживания Origin

Режим выживания на источнике — это новая опция аварийного отключения нагрузки при бот-штормах или перегрузке источника. При включении он не начинает блокировать посетителей немедленно. Вместо этого XF Bot Guard постоянно отслеживает ряд сигналов состояния сервера, таких как загрузка ЦП, нехватка памяти, доступность PHP-воркеров и нагрузка на очередь запросов, чтобы определить, когда источник действительно испытывает нагрузку. Только при обнаружении этих условий он интеллектуально начинает принимать превентивные меры, временно возвращая облегченные ответы 503 Retry-After на запросы к неизвестным общедоступным страницам с низким уровнем доверия, прежде чем они начнут потреблять дополнительные ресурсы источника. Это помогает сохранить доступность для известных пользователей, доверенных посетителей и проверенных ботов во время сильных всплесков, временно отключая трафик, который невозможно с уверенностью идентифицировать. Поскольку он может повлиять на реальных неизвестных посетителей в чрезвычайных ситуациях, он отключен по умолчанию. Включите его в быстрых настройках или в расширенных параметрах режима выживания на источнике при необходимости.

Обновлены рекомендуемые предустановки.

Рекомендуемые предустановки быстрых настроек были обновлены с учетом новых средств защиты, включая «канареечные» сценарии, упрощенные ответы, проверенные варианты краулеров ИИ, пути обнаружения краулеров, обработку деталей событий и режим выживания источника. Это делает наложения «Осторожный», «Сбалансированный», «Активный бот-шторм» и «SEO-чувствительный» более безопасными и полными. Используйте быстрые настройки, чтобы предварительно просмотреть и применить режим, который наилучшим образом соответствует текущему уровню риска вашего форума.

Удаленные источники CIDR JSON.

Теперь вы можете подключать доверенные удаленные источники HTTPS CIDR JSON для дополнительных исключенных сетей или сетей с принудительной проверкой подлинности. XF Bot Guard обновляет эти списки по расписанию, сохраняет локальный кэш и использует локальный кэш во время запроса. Это полезно для администраторов, которые управляют диапазонами сетей извне или хотят синхронизировать доверенные/проверенные диапазоны без ручного вставки CIDR в XenForo. Добавьте один доверенный источник на строку в параметрах удаленного источника CIDR. Теперь администраторы могут отмечать подозрительных посетителей непосредственно со страницы

«Онлайн»

в XenForo. Подтвержденное сообщение регистрирует доказательства Bot Guard и может добавить настраиваемый показатель риска для этого посетителя/идентификатора сессии на следующие 24 часа. Это дает сотрудникам практичный способ преобразовывать наблюдения в режиме реального времени в сигналы защиты без необходимости прямого доступа к IP-адресу. Используйте действие «Отметить посетителя» для соответствующих онлайн-посетителей и настройте показатель риска в параметрах XF Bot Guard.

Более точная фильтрация журнала событий и экспорт в CSV.

Журнал событий теперь имеет более расширенные возможности фильтрации, включая фильтры «не это», поиск оценок ниже порогового значения, поиск за пределами диапазона дат, фильтры для гостей/участников/пользователей, фильтры по когортам и экспорт CSV с фильтрами. Это значительно упрощает расследование произошедшего, поиск закономерностей и отправку целенаправленного экспорта без необходимости выгрузки всего журнала. Используйте фильтры журнала событий как обычно, а затем экспортируйте отфильтрованные результаты по мере необходимости.

Более быстрое чтение снимков панели мониторинга.

Чтение снимков панели мониторинга оптимизировано, поэтому XF Bot Guard теперь запрашивает и агрегирует только те метрики, которые необходимы для отображения на панели мониторинга. На более загруженных форумах это должно уменьшить ненужную работу с базой данных, снизить использование памяти PHP и сделать отображение панелей мониторинга более удобным. Ничего включать не нужно; улучшение происходит автоматически после обновления. Настраиваемые пороговые

значения Cloudflare Edge.

Оценка кандидатов Cloudflare Edge теперь настраиваема, а не привязана к фиксированным внутренним пороговым значениям. Это дает опытным администраторам больше контроля над тем, насколько убедительными должны быть локальные доказательства Bot Guard, прежде чем IP-адрес станет кандидатом на роль Edge, и насколько снисходительным должно быть поведение после успешного прохождения CAPTCHA. Большинство сайтов должны оставить настройки по умолчанию. Опытные сайты могут настроить минимальный балл Cloudflare Edge и параметры приоритета снисхождения Edge.

Поддержка развертки XenForo-to-XenForo.

Обработка облегченных ответов развертки URL-адресов по умолчанию теперь распознает пользовательские агенты XenForo/2.*. Это помогает предварительному просмотру ссылок форума XenForo получать безопасные ответы, содержащие только метаданные, без раскрытия защищенного содержимого тела страницы. Существующие списки шаблонов по умолчанию обновляются автоматически; пользовательские списки могут добавлять XenForo/2.* вручную при необходимости.

Более понятная отчетность о сбоях при открытии запроса.

Шлюз запросов XF Bot Guard разработан таким образом, чтобы открывать запрос при сбое, а не рисковать отключением вашего форума, если внутренняя ветвь защиты столкнется с неожиданной ошибкой. В версии 1.2.8 эти события открытия запроса теперь записываются ограниченным, конфиденциальным способом и отображаются в ходе проверок работоспособности и журналирования событий. Ничего включать не нужно; если проверка работоспособности выдает предупреждение о сбое открытия шлюза запросов, просмотрите соответствующие записи в журнале событий.

Документация, эффективность кода и усиление защиты.

Этот релиз также включает в себя обширную документацию и усиление защиты, охватывающие поведение кэша/CDN, поведение поставщика CAPTCHA, обработку краулеров ИИ, контекстные канареечные тесты, режим выживания источника, примечания по конфиденциальности, устранение неполадок и проверки релиза. Внутри 1.2.8 также улучшена безопасность запросов, обработка экспорта событий, проверки давления на источник, покрытие тестами и общая эффективность кода. Ничего включать здесь не нужно; это упрощает работу дополнения и делает его более устойчивым в крайних случаях.

Нажмите для раскрытия...

для существующих клиентов:

• Предварительный просмотр URL-адресов в социальных сетях: В этом выпуске добавлена опциональная обработка предварительного просмотра URL-адресов только с метаданными, которая по умолчанию отключена, для некоторых агентов предварительного просмотра в социальных сетях и мессенджерах, включая WhatsApp. Если предварительный просмотр ссылок для защищенных общедоступных страниц важен для вашего сайта, ознакомьтесь с новыми облегченными параметрами ответа валидности после обновления.
• Расширены возможности управления сетью: исключения IP/CIDR теперь поддерживают десятичные номера автономных систем (ASN), а также добавлен новый список сетей с принудительной проверкой подлинности. Используйте десятичный синтаксис ASN, например, 32934 , а не AS32934 .

Тип выпуска: Незначительное обновление функций и усиление безопасности.

Этот выпуск сосредоточен на практических мерах контроля для существующих установок: более безопасное развертывание в социальных сетях, расширенная обработка IP-адресов/CIDR/ASN, режим развертывания только для наблюдения, более понятная отчетность о ложных заявлениях о поиске вредоносного ПО, более точный подсчет на панели мониторинга и более безопасный вывод диагностических данных для службы поддержки.

Добавлено

• Добавлены необязательные корректные ответы для выбранных пользовательских агентов, развертывающих URL-адреса.
• Добавлен настраиваемый список шаблонов user-agent для обработки предварительного просмотра URL-адресов, содержащих только метаданные, с включенными шаблонами для предварительного просмотра Facebook/Meta, X/Twitter Cards, LinkedIn, Slack, Discord, Telegram, Yahoo Mail, Bluesky, WhatsApp и Skype.
• Добавлена поддержка ASN для сопоставления сетевых списков Bot Guard.
• Добавлена новая опция «Принудительная проверка IP-адресов/CIDR/ASN» для преднамеренной проверки выбранных IP-адресов, диапазонов CIDR или десятичных номеров ASN.
• Добавлен локальный кэш диапазонов ASN, обновляемый запланированным процессом обхода сети/обновления веб-браузера, поэтому сопоставление во время запроса может использовать локальные диапазоны CIDR вместо поиска в реальном времени.
• Добавлено дополнительное наложение «Только наблюдение» для проверки того, что бы сделал Bot Guard, если бы не предпринимал действий, изменяющих поведение посетителей.
• Добавлены типы событий, доступные только для наблюдения, для результатов, которые могли бы быть оспорены, отклонены, показать проверку браузера, предоставить облегченный ответ и синхронизироваться с Cloudflare.
• Добавлена функция безопасной для конфиденциальности отчетности по запросам, которые выдают себя за известных поисковых роботов или ботов, но все же проходят проверку CAPTCHA или обрабатываются с помощью механизма отказа в предоставлении ленты.
• Добавлена функция формирования отчетов на панели управления для отслеживания заявленной активности поисковых роботов/ботов, пытающихся совершить ошибку.
• Добавлена функция формирования отчетов на панели мониторинга для отслеживания активности отклика URL-адреса.
• Добавлен отредактированный рабочий процесс поддержки для администраторов с конфиденциальными правами доступа Bot Guard.
• Добавлена поддержка доступа к пакетам данных из раздела «Состояние/Здоровье», фильтрованные представления необработанных журналов событий и подробные представления отдельных событий.

Улучшено

• Повышена точность отображения на панели мониторинга показателей риска, маршрута, результата и сроков выполнения работ.
• Улучшены панели мониторинга времени принятия решений с учетом последних метаданных о времени принятия решений и расчетов 95-го процентиля ближайшего ранга.
• Улучшена фильтрация журналов событий, благодаря чему стало проще расследовать новые события, связанные с реакцией на свет, наблюдением и подтверждением действий краулера.
• Улучшена отчетность о состоянии Cloudflare Edge Enforcement, включая более четкое отображение сохраненного и фактического состояния тестового запуска.
• Улучшены журналы синхронизации Cloudflare и обработка ошибок, связанных с проверками блокировок, ограничениями скорости, ожидающими состояниями, удаленными кандидатами, подавленными кандидатами и состояниями повторной попытки.
• Улучшена отчетность о состоянии/работоспособности для информации о состоянии кэша диапазонов ASN, доступности безопасного генератора случайных чисел, диагностике Cloudflare и состоянии моментальных снимков панели мониторинга.
• Улучшена совместимость с поддерживаемыми установками XenForo 2.1, 2.2 и 2.3.
• Улучшены проверки совместимости с PHP 7.2+.

Измененный

• Изменено поведение Cloudflare Edge Enforcement таким образом, чтобы при активном режиме Observe-only использовался эффективный пробный запуск, без изменения сохраненного параметра пробного запуска Cloudflare.
• Устаревший параметр "строгая проверка без доказательств" был исключен из активного набора параметров.

Безопасность и конфиденциальность

• Усиленная защита API Cloudflare, журнал синхронизации, проверка работоспособности и редактирование выходных данных службы поддержки для токенов API, учетных данных, файлов cookie, токенов CSRF, учетных данных URL и значений закрытого ключа.
• Усиленная защита от повторного воспроизведения проверок браузера с помощью кратковременных, одноразовых, поддерживаемых сессией токенов-сборщиков.
• Усилена обработка текста аудита событий, благодаря чему некорректная кодировка, полученная из запроса, очищается перед сохранением.
• Усовершенствована диагностика токенов Cloudflare, благодаря чему не поддающийся расшифровке сохраненный материал токена обрабатывается более наглядно после локальных изменений ключевого материала.

Примечания к обновлению

• Минимальные требования к XenForo и PHP остались без изменений.
• Режим «Только наблюдение» по умолчанию отключен.
• По умолчанию функция «Легко корректные ответы» для выбранных пользовательских агентов, развертывающих URL-адреса, отключена.
• Если для вашего форума важен предварительный просмотр URL-адресов, после обновления ознакомьтесь и протестируйте новые параметры корректного ответа.
• Если вы используете исключения по IP-адресам/CIDR, после обновления проверьте переименованный параметр «Исключенные IP-адреса/CIDR/ASN» .
• При добавлении записей ASN используйте простой десятичный синтаксис ASN, например, 32934 , а не AS32934 .
• Записи ASN зависят от запланированного процесса обновления. Если у ASN еще нет активных кэшированных диапазонов, он не сможет сопоставлять IP-адреса запросов, пока кэш не будет заполнен.
• Если вы используете Cloudflare Edge Enforcement, обратите внимание, что включение режима Observe-only фактически переводит синхронизацию Cloudflare в тестовый режим до тех пор, пока этот режим не будет отключен.
• После обновления проверьте состояние системы, особенно если вы используете Cloudflare Edge Enforcement, сетевые средства управления на основе ASN, обработку развертки URL-адресов или сигналы доверенных прокси-серверов.

Нажмите для раскрытия...