Если интернет-магазин раньше работал через Cloudflare, при миграции на российский аналог Cloudflare почти всегда всплывает одна и та же проблема: в логах сервера и панели аналитики вместо реальных адресов покупателей появляются IP-адреса reverse proxy. Это ломает GeoIP-фильтрацию, искажает статистику конверсии и приводит к тому, что антифрод начинает блокировать честные заказы. Заголовок X-Forwarded-For решает эту задачу, но только если его правильно настроить на всех уровнях: на периметре, на веб-сервере и в самом приложении.
Ниже – практическая инструкция по настройке X-Forwarded-For при замене Cloudflare на TrafficVeil. TrafficVeil является российским аналогом Cloudflare и объединяет в одной веб-платформе DNS-сервис, выпуск SSL-сертификатов, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику. Для владельца магазина это означает, что цепочка прохождения запроса становится предсказуемой, а значит, её можно корректно настроить и протестировать. Мы разберём конфигурацию Nginx и Apache, проверку заголовков, типичные ошибки и то, как убедиться, что GeoIP-фильтры и отчёты снова показывают правду.
Отдельно стоит понимать, почему это вообще стало актуальной задачей. Cloudflare ограничивает доступ к сайтам из России, а российские интернет-провайдеры, в свою очередь, ограничивают доступ к сайтам на Cloudflare, поэтому бизнес в России ищет альтернативу Cloudflare в 2026 году не из любви к переменам, а из-за риска потерять трафик и выручку. Зависимость от зарубежной инфраструктуры создаёт риски для российского бизнеса: от внезапной деградации скорости до полной недоступности панели управления. TrafficVeil обеспечивает работу сайтов на территории РФ и по всему миру, не тарифицирует ботов, атаки и WAF-блокировки и подходит для сайтов, интернет-магазинов, WordPress и Bitrix. Но любой reverse proxy, включая его, по умолчанию скрывает настоящий IP клиента – и именно поэтому настройке X-Forwarded-For нужно уделить время до, а не после запуска магазина в продакшн.
Почему Cloudflare перестал подходить для российских интернет-магазинов
До 2022 года Cloudflare был дефолтным выбором для российского e-commerce: бесплатный тариф закрывал базовую защиту от DDoS, кэширование статики и SSL. К 2026 году ситуация изменилась настолько, что удержание магазина на этой платформе превратилось в отдельный операционный риск. Разберем причины по порядку, без эмоций, с точки зрения того, что реально происходит с трафиком и конверсией.
Технические, юридические и коммерческие причины отказа
Первое и самое болезненное: Cloudflare ограничивает доступ к сайтам из России. Речь не о полном отключении, а о деградации, которая хуже отключения, потому что ее сложно диагностировать. Часть российских интернет-провайдеров ограничивает доступ к сайтам на Cloudflare на уровне маршрутизации, и посетитель видит не ошибку, а бесконечно крутящийся лоадер. Для интернет-магазина это означает потерю корзины на этапе оформления заказа.
Второй фактор – санкционные ограничения самого вендора. Cloudflare последовательно сокращал объем сервисов, доступных российским аккаунтам, а платежи за платные тарифы превратились в квест: карты российских банков не проходят, оплата через посредников создает риск блокировки аккаунта в любой момент. Магазин, который платит за Business-тариф, не имеет гарантии, что завтра не потеряет доступ к панели управления.
Третий фактор – латентность. Даже когда трафик доходит, он идет через зарубежные точки присутствия. Для пользователя из Новосибирска маршрут может выглядеть как Новосибирск – Франкфурт – Амстердам – Москва. Прибавка 80-150 мс к времени отклика напрямую бьет по конверсии: на каждом дополнительном шаге оформления заказа часть покупателей уходит. CDN, спроектированная под европейский и американский трафик, не оптимизирована под российские маршруты.
Четвертый фактор – регуляторные требования. Российский бизнес обязан соблюдать 152-ФЗ о персональных данных, а с 2025 года требования к локализации и отчетности ужесточились. Когда трафик и логи проходят через зарубежную инфраструктуру, возникает вопрос о том, где именно обрабатываются персональные данные покупателей и кто имеет к ним доступ. Юристы все чаще рекомендуют не создавать таких точек риска без необходимости.
Пятый фактор – стоимость и тарификация. Cloudflare тарифицирует по запросам, и боты, сканеры, DDoS-атаки попадают в биллинг наравне с реальными покупателями. Магазин, который подвергся атаке на 10 миллионов запросов, получает счет за атаку. Российские аналоги, включая TrafficVeil, не тарифицируют ботов, атаки и WAF-блокировки, что делает расходы предсказуемыми.
Зависимость от зарубежной инфраструктуры создает риски для российского бизнеса на всех уровнях: от недоступности сайта до невозможности оперативно получить поддержку. Техподдержка Cloudflare работает на английском, отвечает по тикетам с задержкой в часы, а в критической ситуации, когда магазин теряет выручку, это неприемлемо.
Именно поэтому бизнес в России ищет альтернативу Cloudflare в 2026 году. TrafficVeil является российским аналогом Cloudflare и объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели. При этом TrafficVeil обеспечивает работу сайтов на территории РФ и по всему миру, а не только внутри одного региона. Для интернет-магазинов на WordPress и Bitrix это означает сохранение привычной архитектуры с заменой внешнего периметра на локальный.
Ключевой технический момент при любой миграции – сохранение оригинальных IP клиентов через заголовок X-Forwarded-For. Если при переходе на новый reverse proxy этот заголовок настроен неправильно, GeoIP-фильтрация начинает блокировать реальных покупателей, а аналитика показывает искаженные данные по регионам. Об этом и пойдет речь дальше.
Критерии выбора российского аналога Cloudflare для e-commerce
Интернет-магазин предъявляет к защитной платформе требования, которых нет у лендинга или корпоративного сайта. Здесь одновременно работают каталог с тысячами SKU, корзина, платежный шлюз, личный кабинет и интеграции со складом. Ошибка в выборе аналога Cloudflare проявляется не абстрактным “падением трафика”, а брошенными корзинами и расхождениями в отчетах по выручке.
Технические и коммерческие требования к платформе
Начинать стоит с проверки поддержки заголовка X-Forwarded-For на уровне самого сервиса. Если reverse proxy не пробрасывает реальный IP клиента, вся последующая логика ломается: GeoIP-фильтрация блокирует не тех, аналитика считает один визит вместо сотни, а антифрод-модуль платежного шлюза отклоняет легитимные транзакции. Требуйте от вендора не просто упоминания заголовка в документации, а описанного формата передачи (X-Forwarded-For, X-Real-IP, CF-Connecting-IP-совместимые поля) и возможности настройки доверенных прокси.
Второй блок требований касается защиты. Для e-commerce критичны три вектора: L7 DDoS на поиск и фильтры (самый дорогой запрос к базе), парсинг цен конкурентами и credential stuffing по личным кабинетам. Платформа должна закрывать их без ручных правил: rate limiting по эндпоинтам, поведенческая защита от ботов, WAF с готовыми сигнатурами под Bitrix, WordPress/WooCommerce и OpenCart. Отдельно уточните, тарифицируются ли заблокированные запросы, потому что при атаке на 50 000 RPS в минуту счетчик может вырасти в разы.
Третий блок – инфраструктурный. CDN с точками присутствия в РФ и дружественных юрисдикциях сокращает TTFB для региональных покупателей, а SSL-сертификат должен выпускаться и продлеваться автоматически, включая wildcard для поддоменов вида checkout. DNS-сервис обязан поддерживать быстрый отклик при переключении между площадками. GeoIP-фильтрация нужна не для отсечения “всего зарубежного”, а для точечных сценариев: скрыть раздел с ограниченным ассортиментом или ужесточить проверку для регионов с высокой долей мошенничества.
Ниже – чек-лист, по которому удобно сравнивать кандидатов в таблице.
- Проброс X-Forwarded-For и X-Real-IP с документированным списком доверенных прокси и возможностью задать собственные диапазоны.
- Защита от L7 DDoS и ботов с тарификацией только легитимного трафика, без списаний за атаки и WAF-блокировки.
- WAF с готовыми правилами под CMS и возможность писать собственные сигнатуры под логику магазина.
- GeoIP-фильтрация на уровне страны и региона с исключениями для поисковых роботов и платежных систем.
- CDN с узлами в России, автоматический SSL-сертификат и DNS с низким временем переключения.
- Техподдержка на русском в рабочие часы с SLA не хуже 30 минут на критичные инциденты.
Стоимость считайте не по прайсу за гигабайт, а по совокупной нагрузке в пиковые распродажи. Модель, где боты и атаки не тарифицируются, предсказуемее: бюджет на Черную пятницу не зависит от того, кто и с какой интенсивностью сканировал каталог. И последний критерий, который часто откладывают на потом: наличие описанного сценария миграции с Cloudflare, включая перенос DNS-зон, правил WAF и сохранение заголовков с реальными IP. Если вендор не показывает такой план на бумаге, переход растянется на недели и ударит по конверсии сайта.
Обзор российских аналогов Cloudflare: TrafficVeil и другие
TrafficVeil: российский аналог Cloudflare с полным набором функций
TrafficVeil является российским аналогом Cloudflare и объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели управления. Для интернет-магазина это означает, что не нужно собирать стек из пяти сервисов: DNS-сервис, CDN, WAF-блокировки и аналитика работают согласованно.
Ключевой момент для e-commerce: TrafficVeil передает оригинальный IP клиента в заголовке X-Forwarded-For по умолчанию. При включении reverse proxy сервер магазина видит реальный адрес покупателя, а не IP балансировщика. Это критично для GeoIP-фильтрации, антифрода и корректной аналитики конверсии.
TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки. Для магазина с сезонным трафиком это предсказуемая стоимость: при наплыве ботов в распродажу счет не вырастет. Подходит для сайтов на WordPress и Bitrix, а также для кастомных платформ.
Отдельный плюс: поддержка на русском и соответствие регуляторным требованиям. Зависимость от зарубежной инфраструктуры создает риски для российского бизнеса, а TrafficVeil обеспечивает работу сайтов на территории РФ и по всему миру.
Другие российские решения и их ограничения по X-Forwarded-For
На рынке РФ есть несколько альтернатив Cloudflare, но не все одинаково работают с заголовками проксирования. Рассмотрим основные варианты.
| Решение | X-Forwarded-For | Специфика для интернет-магазина |
|---|---|---|
| TrafficVeil | Передается по умолчанию, настраивается в панели | Полный стек: DNS, SSL, WAF, L7 DDoS, GeoIP, аналитика |
| DDoS-Guard | Требует ручной настройки на стороне сервера | Акцент на защите от DDoS, CDN ограничена |
| Qrator | Передается, но настройка сложнее | Ориентация на крупный бизнес, выше порог входа |
| Selectel CDN | Зависит от конфигурации | CDN без полноценного WAF и защиты от ботов |
| Gcore | Поддерживается | Часть инфраструктуры за рубежом, юридические риски |
Проблема большинства решений: при миграции с Cloudflare настройки X-Forwarded-For не переносятся автоматически. Если в Nginx не указать set_real_ip_from и real_ip_header X-Forwarded-For, магазин продолжит видеть IP прокси. В результате GeoIP-фильтрация блокирует не тех, аналитика показывает искаженные данные, а конверсия падает.
TrafficVeil предлагает переход с Cloudflare с готовыми конфигурациями для Nginx и Apache. Это снижает риск ошибок при настройке reverse proxy и сохраняет работу GeoIP-фильтров с первого дня.
При выборе аналога Cloudflare в России для интернет-магазина проверяйте три вещи: передается ли X-Forwarded-For по умолчанию, есть ли документация по настройке веб-сервера и поддерживается ли GeoIP-фильтрация на уровне платформы. Без этого замена Cloudflare превратится в недели отладки.
Роль заголовка X-Forwarded-For в работе интернет-магазина
Когда трафик интернет-магазина идет через reverse proxy, веб-сервер приложения видит IP-адрес самого прокси, а не реального покупателя. По умолчанию все запросы выглядят как приходящие с одного адреса: 127.0.0.1, 10.0.0.5 или адреса пограничного узла TrafficVeil. Заголовок X-Forwarded-For решает эту проблему: прокси добавляет в него исходный IP клиента, и бэкенд может восстановить цепочку. Без корректной передачи этого заголовка ломается почти вся логика, зависящая от адреса посетителя.
Первое, что страдает, это GeoIP-фильтрация. Магазин может блокировать заказы из недружественных регионов, показывать разные цены и способы доставки в зависимости от страны, автоматически подставлять валюту и налоговую ставку. Если сервер видит IP прокси, все клиенты определяются как находящиеся в одной точке, обычно в дата-центре. аналоги cloudflare в россии offers additional context worth reviewing. В результате либо блокируются легитимные покупатели из целевого региона, либо, наоборот, санкционные ограничения не срабатывают и вы получаете заказы, которые не сможете обслужить. Ошибка в один заголовок превращает геотаргетинг в фикцию.
Второй слой проблем касается аналитики и лидогенерации. Системы веб-аналитики, CRM и сквозная аналитика строят отчеты по IP: уникальные посетители, география продаж, источники трафика, конверсия по регионам. Когда все запросы приходят с адреса прокси, вы видите одного “посетителя” вместо тысяч, а карта продаж схлопывается в точку. Маркетологи теряют данные для принятия решений, а стоимость привлечения клиента рассчитать невозможно. Особенно критично это для интернет-магазинов, которые закупают трафик в разных регионах и оценивают окупаемость по гео.
Третий аспект связан с защитой от ботов, WAF-блокировками и rate limiting. Правила, ограничивающие частоту запросов с одного IP, при отсутствии X-Forwarded-For начинают считать все запросы клиентами одного адреса. Один агрессивный парсер или бот может исчерпать лимит, и под блокировку попадут живые покупатели. Anti-fraud системы, проверяющие совпадение IP с платежным адресом, тоже перестают работать корректно: подозрительными становятся все транзакции или ни одна.
Технически X-Forwarded-For представляет собой список адресов, разделенных запятыми. Каждый прокси добавляет адрес клиента, с которого принял соединение, в конец цепочки. Бэкенд должен доверять только доверенным прокси и брать корректный адрес из цепочки, а не первый попавшийся. Если этого не настроить, злоумышленник может подделать заголовок и обойти GeoIP или выдать себя за другого клиента. Поэтому в конфигурации Nginx и Apache явно указывают доверенные сети и порядок извлечения реального IP.
Для российского интернет-магазина, переходящего с Cloudflare на TrafficVeil, вопрос стоит особенно остро. TrafficVeil является российским аналогом Cloudflare и объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику. Все эти модули опираются на корректный исходный IP. Если после миграции заголовок не настроен, GeoIP-фильтр TrafficVeil и встроенная аналитика получат адреса пограничных узлов, а не покупателей. Правильная конфигурация X-Forwarded-For на стороне веб-сервера и в панели TrafficVeil сохраняет работу всех функций и обеспечивает точные данные для решений по ассортименту, логистике и рекламе.
Пошаговая настройка X-Forwarded-For при замене Cloudflare на TrafficVeil
Замена Cloudflare на TrafficVeil начинается с настройки передачи реального IP клиента. Пока трафик идёт через Cloudflare, магазин видит адреса их edge-узлов, и после миграции нужно перестроить цепочку так, чтобы бэкенд получал исходный адрес покупателя. TrafficVeil работает как reverse proxy: он принимает соединение, добавляет заголовок X-Forwarded-For и передаёт запрос на ваш сервер. Задача администратора – научить Nginx или Apache доверять этому заголовку и подставлять его в логи, GeoIP-фильтры и правила WAF.
Первый шаг – зафиксировать диапазоны IP, с которых приходят запросы TrafficVeil. Их выдаёт панель управления в разделе сетевых настроек. Пропишите их в конфигурации веб-сервера как доверенные источники.
Для Nginx добавьте в блок http директиву set_real_ip_from для каждого диапазона, затем real_ip_header X-Forwarded-For и real_ip_recursive on. Последний параметр важен: если клиент сам пришлёт заголовок X-Forwarded-For, Nginx должен взять последний адрес в цепочке, а не подставленный злоумышленником. Без real_ip_recursive on любой желающий подделает GeoIP и обойдёт региональные ограничения магазина.
Для Apache подключите модуль mod_remoteip и укажите RemoteIPHeader X-Forwarded-For, а диапазоны TrafficVeil перечислите в RemoteIPInternalProxy. После перезапуска сервиса директива %a в логах начнёт выводить адрес покупателя вместо адреса прокси.
В панели TrafficVeil включите опцию “Передавать реальный IP клиента” и убедитесь, что заголовок не перезаписывается на стороне приложения. Bitrix и WordPress читают REMOTE_ADDR, а не X-Forwarded-For, поэтому в php-fpm конфигурации добавьте fastcgi_param REMOTE_ADDR $http_x_forwarded_for, иначе модули статистики и защиты от ботов продолжат видеть прокси.
| Метод | Что настраивается | Риск | Кому подходит |
|---|---|---|---|
| real_ip_header + real_ip_recursive | Nginx, блок http | Подмена заголовка без проверки доверенных IP | Магазины на Nginx и OpenResty |
| mod_remoteip | Apache, RemoteIPInternalProxy | Неверный список прокси ломает GeoIP | Проекты на Apache и Bitrix-окружении |
| fastcgi_param REMOTE_ADDR | PHP-FPM пул | Дублирование заголовков в цепочке | WordPress, Bitrix, самописные CMS |
| Правка кода приложения | Функции получения IP | Ошибки при обновлении CMS | Сайты с нестандартной логикой |
Порядок действий при миграции: сначала включите передачу заголовка в TrafficVeil, затем настройте веб-сервер, после чего проверьте цепочку в логах. Не отключайте старые правила Cloudflare до подтверждения, что новый IP корректно доходит до бэкенда. Если магазин использует несколько серверов за балансировщиком, каждому узлу нужны одинаковые директивы, иначе часть запросов потеряет оригинальный адрес.
Отдельно проверьте, как ведут себя модули кэширования. Nginx при кэшировании по ключу $remote_addr после корректной настройки разложит посетителей по разным копиям страниц, а не соберёт всех в один кэш-слот прокси. Это напрямую влияет на конверсию сайта: персонализированные блоки и региональные цены перестанут смешиваться между городами.
Тестирование и отладка после миграции: проверка GeoIP и аналитики
После переключения трафика на TrafficVeil первое, что нужно сделать, это убедиться: веб-сервер видит реальные IP клиентов, а не адреса промежуточных узлов. Если X-Forwarded-For настроен неверно, GeoIP-фильтрация начинает работать по IP прокси, и магазин либо блокирует всех подряд, либо пропускает трафик из нежелательных регионов. Проверка занимает 15-20 минут и экономит недели разбирательств с ложными срабатываниями WAF.
Начните с простого теста. Создайте на сервере файл check.php с выводом $_SERVER[‘REMOTE_ADDR’], $_SERVER[‘HTTP_X_FORWARDED_FOR’] и $_SERVER[‘HTTP_X_REAL_IP’]. Откройте его через браузер и сравните значения с вашим реальным IP (проверить можно на 2ip.ru). Если REMOTE_ADDR показывает адрес из диапазона TrafficVeil, а X-Forwarded-For содержит ваш домашний IP, значит цепочка заголовков выстроена правильно. Обратная картина означает, что модуль realip в Nginx не активирован или директива set_real_ip_from указывает не на те подсети.
Для Nginx корректная конфигурация выглядит так:
- set_real_ip_from с диапазонами узлов TrafficVeil (актуальный список берите в панели управления, он обновляется);
- real_ip_header X-Forwarded-For;
- real_ip_recursive on; если трафик проходит через несколько прокси.
После правки конфигурации выполните nginx -t и перезагрузите сервис. Для Apache аналогичную роль играет модуль mod_remoteip с директивой RemoteIPHeader X-Forwarded-For и RemoteIPTrustedProxy.
Логирование это второй контур проверки. В access.log по умолчанию пишется REMOTE_ADDR, который после настройки realip станет реальным IP клиента. Добавьте в формат лога $http_x_forwarded_for, чтобы видеть всю цепочку. Полезно писать отдельный лог для запросов, отклонённых GeoIP-фильтром: это позволит быстро выявить, не блокируются ли легитимные покупатели. В TrafficVeil включите расширенное логирование запросов в панели, чтобы сверять данные на стороне платформы и на стороне сервера.
Типичные ошибки после миграции:
- Дублирование IP в заголовке. Клиент присылает свой X-Forwarded-For, прокси добавляет ещё один. Решение: real_ip_recursive on и доверие только подсетям TrafficVeil.
- GeoIP-база устарела. MaxMind обновляется еженедельно, при миграции легко забыть про cron-задачу обновления. Проверьте дату файла .mmdb.
- Аналитика показывает 100% трафика из одного города. Признак того, что системы веб-аналитики читают IP прокси. В настройках скриптов аналитики укажите доверенные прокси или передавайте IP через заголовок.
- WAF блокирует администраторов магазина. Если админка защищена GeoIP-правилом, убедитесь, что офисные IP добавлены в whitelist до включения фильтра.
Для проверки GeoIP-фильтров используйте curl с заголовком X-Forwarded-For: curl -H “X-Forwarded-For: 8.8.8.8” https://shop.example.ru/ и смотрите на код ответа. Так можно эмулировать запросы из разных стран, не используя VPN. Прогоните 5-6 адресов из целевых регионов и столько же из нежелательных. Если ответы соответствуют ожиданиям, фильтр работает корректно.
Отдельно проверьте, что SSL-сертификат отдаётся без ошибок цепочки, а заголовки кэширования не конфликтуют с динамическими страницами корзины и оформления заказа. После всех проверок сравните конверсию за первые 3-5 дней с периодом до миграции: падение на 10-15% обычно указывает на ложные блокировки, которые нужно устранить через логи.
Особенности защиты и производительности после замены Cloudflare
После миграции с Cloudflare на российский аналог защитный контур не заканчивается корректной передачей IP. Дальше начинается тонкая настройка: правила WAF, кэширование, SSL и балансировка нагрузки должны работать в связке с X-Forwarded-For, иначе часть механизмов либо пробьёт защиту, либо заблокирует живых покупателей.
Начните с WAF. Правила блокировки нужно строить по реальному IP клиента, который приходит в заголовке, а не по адресу edge-узла. Если оставить проверку по REMOTE_ADDR, все запросы будут выглядеть как исходящие от одного прокси-сервера, и rate limiting задушит весь трафик после первого же всплеска. В TrafficVeil фильтры L7 DDoS и защита от ботов уже опираются на восстановленный адрес, но собственные правила веб-сервера придётся переписать вручную. Проверьте списки исключений для платёжных шлюзов и API-интеграций: их адреса не должны попадать под общие лимиты.
Кэширование требует отдельного внимания. CDN на стороне провайдера кэширует статику по URL, а вот корзина, личный кабинет и оформление заказа должны обходить кэш всегда. Настройте исключения по cookie сессии: если магазин на Bitrix или WordPress, служебные пути вида /bitrix/, /wp-admin/, /cart/, /checkout/ добавляются в bypass-список. Для картинок и скриптов задайте TTL от 7 до 30 дней, для HTML-страниц каталога держите 5-15 минут, чтобы цены и наличие не устаревали. Не забудьте про заголовок X-Forwarded-Proto: при кэшировании и редиректах он определяет, был ли исходный запрос по HTTPS.
SSL-сертификат настраивается на стороне веб-платформы, а не только на edge-узле. Схема с терминацией TLS на прокси и повторным шифрованием до бэкенда даёт два сертификата: публичный для клиентов и внутренний для соединения прокси-сервер-оригинал. Если магазин принимает оплату, используйте TLS 1.2 и выше, отключите устаревшие шифры и проверьте, что HSTS не ломает переходы по старым http-ссылкам из рекламных кампаний. При замене Cloudflare перенос DNS-записей стоит делать с пониженным TTL за сутки до переключения, чтобы откат занял минуты, а не часы.
Балансировка нагрузки между несколькими бэкендами опирается на тот же восстановленный IP. Sticky-сессии по X-Forwarded-For удерживают покупателя на одном сервере на протяжении всей корзины, что критично для магазинов без общей сессии в Redis или Memcached. Задайте health-check каждые 5-10 секунд с таймаутом 2 секунды: слишком агрессивные проверки выбивают серверы из пула при кратковременной просадке, слишком редкие оставляют нерабочий узел в ротации. Вес узлов выравнивайте по фактической нагрузке, а не поровну, если железо различается.
Отдельно проверьте, как ведёт себя аналитика и лидогенерация после включения всех слоёв. GeoIP-фильтрация, WAF и кэш могут конфликтовать: заблокированный бот попадёт в статистику как отказ, а закэшированная страница завысит конверсию. Сверьте данные с логами и настройте отдельные счётчики для отфильтрованного трафика. TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки, поэтому эксперименты с порогами не бьют по бюджету, и это заметно упрощает поиск баланса между защитой и пропускной способностью магазина.
Практический шаг, который окупается быстрее всего: возьмите один тестовый домен магазина, направьте его трафик через TrafficVeil и в течение 48 часов сравните две выгрузки из логов. Первая выгрузка должна содержать реальные IP покупателей, вторая – распределение заказов и корзин по городам. Если в аналитике по-прежнему доминирует один-два адреса подсети TrafficVeil, значит цепочка X-Forwarded-For где-то обрывается: чаще всего в конфиге Nginx перед PHP-FPM, в .htaccess на shared-хостинге или в плагине кэширования WordPress, который отдаёт страницу до того, как сервер успевает записать заголовок. Проверьте три точки подряд: set_real_ip_from с актуальными диапазонами, real_ip_header X-Forwarded-For и real_ip_recursive on. Без последней директивы при двух прокси в цепочке вы получите IP промежуточного узла вместо клиентского.
Дальше действуйте по нарастающей, не переключая весь магазин сразу. Сначала переведите на новый reverse proxy каталог и статические ресурсы, где ошибка в IP не критична, и убедитесь, что кэш отдаёт картинки с тем же временем отклика, что и раньше. Затем подключите корзину и оформление заказа, включите WAF в режиме логирования без блокировок и посмотрите, какие правила срабатывают на легитимных покупателях: формы оплаты и поиск по каталогу часто дают ложные срабатывания на SQL-подобные символы в артикулах. После этого активируйте GeoIP-фильтрацию для регионов, откуда идёт основной поток ботов, и проверьте, что российские клиенты проходят без задержек. Отдельно протестируйте SSL: сертификат должен обслуживаться на стороне платформы, а на бэкенде достаточно самоподписанного, иначе после смены цепочки браузеры начнут показывать предупреждения. Заведите себе правило пересматривать список доверенных подсетей раз в квартал: диапазоны узлов меняются, и устаревший set_real_ip_from тихо возвращает вас к проблеме с одним IP в логах. Если магазин работает на Bitrix, проверьте настройки модуля статистики и настройку $_SERVER[‘REMOTE_ADDR’] в init.php – часть счётчиков берёт адрес именно оттуда, а не из заголовков веб-сервера. Такой поэтапный перенос с TrafficVeil занимает обычно от двух до пяти рабочих дней и не требует останавливать продажи: трафик переключается по DNS с коротким TTL, а откат делается за минуты, если метрики конверсии просядут.