Альтернатива Cloudflare Bot Management с опубликованной ценой
Ботовый продукт Cloudflare силён, а его цена — это разговор с отделом продаж. Чего вы лишаетесь, не заводя весь сайт за прокси, и что получаете взамен.
Что вы на самом деле сравниваете
Эти два продукта разной формы, и делать вид, что это не так, никому не помогает.
Cloudflare Bot Management — часть обратного прокси. DNS указывает на Cloudflare, весь трафик проходит через него, и оценка ботовости — одна из многих вещей, которые он делает по дороге: рядом с кешированием, WAF, поглощением DDoS и терминацией TLS. Детект там действительно отличный, потому что опирается на долю мирового веб-трафика, которой нет ни у одного независимого поставщика.
Karma — сервис оценки. Сниппет и ваш шлюз отправляют сигналы, возвращается вердикт, действует по нему ваша собственная инфраструктура. Путь трафика не меняется. Ни прокси, ни переезда DNS, ни CDN.
Поэтому честный вопрос не «кто лучше детектит». Вопрос в том, хотите ли вы, чтобы обнаружение ботов было свойством вашего сетевого периметра — или сервисом, к которому периметр обращается.
Где Cloudflare впереди, прямо
Четыре вещи, и ни одна из них не мелочь.
- Масштаб наблюдения. Cloudflare видит большую долю веба. Ботнет, который коснулся хоть какой-то её части, известен им до того, как дойдёт до вас. Мы видим то, что видят наши клиенты, а это окно куда меньше.
- Это больше, чем детект ботов. Если вам нужны ещё и CDN, WAF и поглощение DDoS, купить их одним продуктом у одного поставщика дешевле и проще, чем собирать три.
- Блокировка уже на месте. Решение применяется на том же хопе, который его принял, без единой строки интеграции в вашем стеке.
- Зрелость. Больше внедрений, больше уже встреченных краевых случаев, больше документации, написанной теми, кто наступил на грабли раньше вас.
Ограничение 1: сайт нельзя завести за прокси
Bot Management требует, чтобы трафик шёл через Cloudflare. Для многих это нормально. Для части — нет, и причины обычно структурные, а не вкусовые.
Локализация данных. Если надзорный орган или договор с клиентом требуют, чтобы трафик терминировался в названной юрисдикции, разговор про маршрутизацию через глобальную anycast-сеть вы можете и не выиграть.
Терминация TLS. Cloudflare терминирует TLS, чтобы осмотреть запрос. Некоторые организации не могут отдать приватный ключ или допустить посредника в криптографическом пути, и никакие договорные заверения этого не меняют.
У вас уже есть периметр. Если вы держите свои балансировщики, свой WAF и свой TLS, поставить перед ними второй прокси — не мелкая правка, а перестройка архитектуры со своими режимами отказа.
Karma встаёт рядом с тем, что у вас есть. Сигналы уходят, вердикт приходит, путь запроса не тронут.
Ограничение 2: цену нужно знать до звонка
Bot Management — это возможность уровня Enterprise. Цена зависит от вашего трафика, вашего договора и ваших переговоров, и узнаёте вы её, поговорив с продажами.
Это законный способ продавать крупным организациям и реальное препятствие для всех остальных. Команде, которой нужно понять, стоит ответ $50 в месяц или $5000, приходится назначать созвон — и к моменту, когда она узнает, проходит две недели.
У Karma цены на странице тарифов, все, включая верхний. Единица — вердикт, то есть завершённая сессия, по которой действительно вынесено решение, а бесплатный тариф — 25 000 таких в месяц, бессрочно и без карты.
Понять, влезает ли продукт в ваш бюджет, вы успеете секунд за девяносто — примерно столько читается эта страница.
Ограничение 3: блокировку нужно уметь объяснить
Cloudflare возвращает bot score от 1 до 99, а на Enterprise — ещё и сведения о том, какой движок его выдал. Это объяснимее, чем у большинства, и всё равно по сути число, посчитанное внутри чужой системы.
Когда клиент звонит и говорит, что не может оформить заказ, вам нужен не балл. Вам нужно увидеть, какие сигналы дали вердикт, чтобы понять, была ли блокировка верной, и, если не была, починить правило, которое её вызвало.
Karma показывает сигналы за каждым вердиктом в панели. Это утверждение скромнее, чем «детектим лучше», и в очереди поддержки — полезнее.
Сопоставление
Где стоит каждый:
| Cloudflare Bot Management | Karma | |
|---|---|---|
| Развёртывание | Прокси — DNS указывает на Cloudflare | Сниппет + ваш шлюз; путь трафика не меняется |
| TLS | Терминирует Cloudflare | Остаётся вашим |
| Корпус для детекта | Большая доля мирового веб-трафика | То, что видят клиенты Karma |
| Блокировка | На периметре Cloudflare | На вашем собственном шлюзе |
| Решение объяснено | Балл, на Enterprise — плюс движок | Сигналы видны по каждому вердикту |
| Что ещё даёт | CDN, WAF, поглощение DDoS | Только вердикты по ботам |
| Цена | Enterprise, через отдел продаж | Опубликована, бесплатно до 25 000 вердиктов в месяц |
| Договор | Обычно годовой | Помесячно или на год, отмена в любой момент |
Работа обоих вместе
Это не «или-или», и для многих команд разумный конечный вид — оба сразу.
Оставьте Cloudflare там, где ему нет равных: поглощение объёмных атак, кеширование и отсев очевидного. Добавьте Karma там, где нужен вердикт, о котором может рассуждать ваше собственное приложение — оформление заказа, вход, API для партнёров — и где нужно видеть, почему остановили конкретного посетителя.
Сниппет прекрасно работает за прокси. Убедитесь, что шлюз передаёт исходный адрес клиента, иначе вердикты будут выноситься не посетителю, а периметру Cloudflare, и внесите собственные пробы Cloudflare в список разрешений до того, как что-либо включите.