DataDome Bot Protect Essentials: NGINX, JavaScript и условия выбора для сайта

Паспорт: Essentials для браузерного сайта

Предмет разбора — DataDome Bot Protect Essentials в конкретной схеме: преднастроенный модуль на HTTP reverse proxy NGINX заказчика, JavaScript Tag в браузерных страницах и обращение модуля к удалённому API решения. Услуга рассматривается по документам. Рабочий аккаунт, реальные запросы клиента и поведение под нагрузкой не исследовались.

Автор — Избаенков Артем Игоревич, эксперт по информационной безопасности и директор продукта Solar Space в ГК «Солар». Связь с другим участником рынка следует учитывать при чтении. В «Атласе защиты» применяется единая методология; серия не является отдельной независимой лабораторией или сертификацией поставщиков.

• Getting Started with DataDome Platform
• Nginx Module for Bot Protect | DataDome
• Nginx Changelog
• DataDome Pricing
• Regional Endpoints

Где принимается решение и где исполняется

В этой схеме запрос встречает NGINX заказчика. Для охватываемого пути модуль выполняет подзапрос к DataDome API; в документации NGINX это внутренний location с HTTPS-обращением к /validate-request/. Модуль работает на access phase до генерации контента. Браузерный JS Tag дополняет серверную часть сигналами и помогает показать ответ проверки при блокировке XHR/fetch.

У server-side и client-side разные ключи: первый остаётся закрытым, второй используется в публичном JS Tag. Наличие JS на странице само по себе не доказывает, что серверная интеграция охватывает нужный запрос, а работа серверного модуля не доказывает корректный challenge в браузере. В официальном checklist эти части проверяются раздельно.

DataDome рекомендует интеграцию на CDN/edge, когда она возможна. Здесь сознательно выбран документированный NGINX-вариант: его ограничения нельзя переносить на все остальные модули, как и свойства другого модуля нельзя добавлять к нему. Простой выход документации в интернет не подтверждает возможность купить услугу или передавать ей данные из нужной юрисдикции.

• Nginx Module for Bot Protect | DataDome
• Getting Started with DataDome Platform
• JavaScript Tag Integration for Bot Protect | DataDome
• Integrations
• Checklist: steps needed before activating protection

Совместимость начинается с пути запроса

На странице NGINX указана несовместимость с HTTP/3 (QUIC): модуль не может собрать Host, что приводит к ошибкам Protection API. Если HTTP/3 на этом участке обязателен, выбранную схему нельзя считать подтверждённым решением. Это ограничение конкретной интеграции, а не вывод о всех вариантах DataDome.

Второй вопрос — исключения. Стандартный список статических расширений включает не только изображения и шрифты, но и .json, .xml, .pdf. В 3.0.0 отдельная настройка static assets отделена от собственных URL exclusions; changelog фиксирует это как breaking change. Название файла не всегда описывает его бизнес-роль: /catalog.json может быть важным API, а /rss.xml — полезным каналом публикаций.

Из этого следует конкретная задача перед выбором: составить перечень важных URL и сопоставить его с inclusion/exclusion, location, внутренними redirect и фактической версией модуля. Запись endpoint в кабинете не доказывает, что исключённый на NGINX путь попал в удалённую проверку. Для иных протоколов и конкретных потоковых сценариев этот обзор не установил применимых лимитов.

В документации приведены 150 ms на подключение и 50 ms на чтение ответа API, а автоматические повторные upstream-попытки при timeout отключены. Эти числа — параметры примера и Settings. Они не означают измеренную задержку пользователя или срок принятия каждого решения. Полные условия fail-open/fail-close выбранного модуля при всех отказах по прочитанной странице не установлены; их нельзя заменить описанием custom API из другого тарифа.

• Nginx Module for Bot Protect | DataDome
• Nginx Changelog
• Protection API

Detection, Protection и Challenge — разные настройки

Endpoint описывает источник и контекст трафика. В общей документации endpoints сопоставляются сверху вниз до первого совпадения. Detection может быть активным при выключенной Protection: тогда подозрительный трафик обнаруживается, но пропускается. Sampled Protection применяется к доле session IDs, поэтому доля защищённых запросов может отличаться от заданной доли сессий.

У Threats Detection описаны Device Check, Slider и Block. Allow policy для этих моделей не поддерживается: вместо неё документация предлагает деактивацию. Некоторые модели не допускают произвольной смены реакции. Для custom rules и Verified Bots действуют другие варианты; наличие списка реакций в общем документе ещё не подтверждает каждый вариант и квоту Essentials.

Challenge также управляется отдельно. Документация описывает fallback: отключённый Slider может уступить место Device Check, а если следующая проверка недоступна, запрос может быть разрешён. Поэтому «выключить CAPTCHA» нельзя автоматически прочитать как «оставить прежний контроль без участия пользователя». Global Protection включается отдельным действием после проверки интеграции.

Для Essentials публичная страница называет General endpoint model; endpoint-specific models начинаются в Advanced. Из этого не следует отсутствие любой защиты страницы входа. Следует более узкая граница: выбранному Essentials нельзя приписывать специальные модели и возможности старшей редакции без применимого подтверждения.

• Protection & Endpoints
• Threats Detection
• Responses
• Custom Rules
• Checklist: steps needed before activating protection
• DataDome Pricing

Четырнадцать общих критериев

«Документировано» означает описание в указанном источнике и в обозначенных границах. «Заявлено» сохраняет атрибуцию поставщику. «Нет данных» — пробел этой проверки, а не доказанное отсутствие функции. Наблюдений клиентского аккаунта и измеренных результатов в обзоре нет.

• Getting Started with DataDome Platform
• Nginx Module for Bot Protect | DataDome
• Nginx Changelog
• JavaScript Tag Integration for Bot Protect | DataDome
• How to configure the JavaScript Tag
• Checklist: steps needed before activating protection
• Protection & Endpoints
• Threats Detection
• DataDome Pricing
• Regional Endpoints
• Logs Enrichment Integration
• Integrations
• Explore your data
• Data & Privacy
• Support
• Account security
• Protection API

Семь специальных вопросов AntiBot

AntiBot рассматривается как контроль автоматизации и злоупотреблений в определённом сценарии. Браузерный HTTP API, native mobile и machine-to-machine — разные поверхности. Наличие слова API в продуктовой странице не заменяет подтверждение нужного клиента, реакции и тарифного права.

• Getting Started with DataDome Platform
• DataDome Pricing
• JavaScript Tag Integration for Bot Protect | DataDome
• How to configure the JavaScript Tag
• Threats Detection
• Protection & Endpoints
• Responses
• Bot Authentication
• Verified Bots
• Checklist: steps needed before activating protection
• Cookies and stored data
• Device Check
• DataDome Slider
• Explore your data
• Logs Enrichment Integration

Известный бот и разрешённый бот — разные решения

Verified Bot в документации — известная полезная или коммерческая автоматизация: поисковые системы, партнёры, агрегаторы, инструменты SEO. Опознание не означает обязательного допуска. Checklist указывает разрешённые по умолчанию major search engines и technical partners, но предлагает отдельно рассмотреть SEO software и ряд коммерческих категорий.

Для подтверждения личности Bot Authentication описывает dedicated User-Agent вместе с механизмом аутентификации: HTTP-подпись Web Bot Auth, двустороннюю DNS-проверку, список статических или динамических IP, private AS. Доверие только строке User-Agent не равно такой проверке. Нужен собственный перечень поисковиков, платёжных/технических партнёров и мониторинга с требуемой политикой.

В документации уже присутствуют отдельные Agentic Trust и политики AI agents. Их расширения и монетизация не включены в этот обзор автоматически. Более старая общая фраза Bot Authentication о блокировании неаутентифицированной автоматизации не доказывает универсальную политику для каждого агента и любого тарифа: актуальный checklist описывает дополнительные различия. Для конкретного AI-клиента ответ остаётся отдельным условием выбора.

• Verified Bots
• Bot Authentication
• Checklist: steps needed before activating protection
• DataDome Pricing

Полезный браузер тоже требует проектирования

JS Tag должен быть установлен рано в HTML и учитывать защищаемые XHR/fetch. Для их challenge есть ajaxListenerPath и дополнительные параметры credentials, sessionByHeader и повторов. Cookie datadome должна оставаться доступной Tag и response pages на чтение/запись; документация предупреждает о вмешательстве в Domain/Path и добавлении HttpOnly.

Следует отдельно описать клиентов с privacy filters, отключённым JavaScript, ограничениями cookies, общим IP, VPN и вспомогательными технологиями. Набор поддерживаемых версий браузеров не доказывает отсутствие потерь в конкретном бизнес-процессе. First-party Tag — документированный вариант уменьшить риск блокировки ресурса privacy filters, но это дополнительная конфигурация, а не обещание обхода любых ограничений клиента.

Device Check описан как проверка без ручного действия, Slider — как интерактивная проверка с языковыми и audio-вариантами. Утверждения поставщика о низком трении, сохранении приватности и ориентировании Slider на WCAG 2.2 AA не являются результатами этой статьи или сертификатом доступности вашего сайта.

Различать нужно и компоненты: обычный JS Tag заявляет отсутствие canvas fingerprinting, тогда как Device Check и Slider перечисляют canvas rendering среди технических проверок. Поэтому из описания Tag нельзя вывести обещание, что весь сервис никогда не использует такие сигналы. Применимость обработки данных оценивается по составу выбранной конфигурации и применимым условиям, которые здесь не установлены.

• JavaScript Tag Integration for Bot Protect | DataDome
• How to configure the JavaScript Tag
• Cookies and stored data
• Integrations
• Device Check
• DataDome Slider

Классификация и срабатывание не равны доказанной эффективности

Explore предлагает классы Human, Verified Bots, AI Threat Detection, Custom Rules и Uncategorized. Последний означает трафик при выключенном detection, а не независимо размеченную неопределённую природу клиента. Метки продукта полезны для эксплуатации, но остаются выводом продукта; прохождение или непрохождение challenge не создаёт полноценную внешнюю разметку human/bot.

Если log enrichment доступен в тарифе, X-DataDome-Traffic-Rule-Response при выключенной Protection может описывать действие, которое произошло бы после включения. Документация прямо предупреждает: запрос при этом разрешён. Для вывода о реакции нужны режим Protection, фактический ответ и связь с результатом приложения. Одного имени правила или числа «угроз» недостаточно.

По выбранному Essentials остаётся и тарифный пробел. Integrations и Explore ещё используют имя Corporate, тогда как текущая страница pricing перечисляет Essentials, Advanced, Premium и Enterprise. Эти названия нельзя сопоставить автоматически. Наличие примера enriched headers в NGINX не подтверждает, что аккаунт Essentials получит всё enrichment, SIEM или Management API.

Публичные 7 days historical data Essentials также не гарантируют семь дней полных сырых журналов и их экспорт. Explore описывает последние 100 запросов с догрузкой до 1000, а не неограниченную выгрузку. Независимые FP/FN, размеры выборок, ground truth и потери полезных операций в этом материале не получены. Общего балла качества или утверждения об отражённых атаках здесь нет.

• Explore your data
• Logs Enrichment Integration
• Nginx Module for Bot Protect | DataDome
• Integrations
• DataDome Pricing
• DataDome Slider

Цена Essentials и договорные неизвестные

На публичной странице 23 октября 2026 года Essentials показан как $3,830 в месяц, менее 100 million requests/month, с пометкой RPS tiers apply. Это цена из открытого интерфейса. ISO-валюта символа $, точная граница RPS, превышения, налоги, минимальный срок, индивидуальные условия и возможность оплаты конкретным клиентом в этой проверке не установлены; полной стоимости эксплуатации из такого display не получается.

Essentials содержит формулировку 99.9% minimum uptime; явный SLA guaranteed выделен у Premium и Enterprise. Это различие необходимо сохранить. Стандарт Essentials в таблице поддержки — email в рабочие часы. Общие телефоны на странице Support не превращают его в подтверждённую круглосуточную договорную поддержку. Время ответа, время устранения, исключения и service credits выбранного договора неизвестны.

api.datadome.co описан как geo-proximity endpoint; документация также перечисляет именованные regional endpoints, в том числе Frankfurt. Выбор точки обращения не доказывает страну всех журналов, резидентность, состав субпроцессоров или доступность договора в РФ. Общая Data & Privacy говорит о настройках данных в зависимости от плана, но не закрывает эти условия конкретного Essentials.

Для выхода недостаточно выключить локальный модуль. Backup NGINX и документированное data_dome_auth off помогают техническому возврату; отдельно остаются перенос политик, экспорт нужной истории, удаление серверных данных и прекращение договора. Эти условия здесь не прочитаны и не считаются подтверждёнными.

• DataDome Pricing
• Support
• Regional Endpoints
• Data & Privacy
• Nginx Module for Bot Protect | DataDome
• Integrations

Карточка решения по NGINX и нужным URL

Заполните карточку по требованиям своего сервиса перед выбором конфигурации. Это способ проверить полноту решения, а не предложение менять рабочую инфраструктуру или проводить нагрузочное испытание.

1. Назовите одно полезное действие и нежелательную автоматизацию: например, чтение каталога пользователем и массовое извлечение страниц. Признак успеха должен относиться к приложению, а не только к ответу фильтра.
2. Укажите все участки запроса до NGINX и после него. Если часть обращений обслуживается раньше, отдельно определите, где она будет проверяться.
3. Сверьте необходимый HTTP/3 с несовместимостью выбранного NGINX-модуля. При обязательном QUIC нужен другой подтверждённый вариант, а не предположение о поддержке.
4. Перечислите динамические пути, .json/.xml API и RSS, internal redirect и служебные location. Для каждого отметьте inclusion/exclusion и требуемую политику.
5. Разделите browser XHR/fetch, native mobile, M2M, поисковиков, партнёров и мониторинг. У каждого клиента должны быть собственное требование совместимости и нужная реакция.
6. Укажите, можно ли встроить ранний JS Tag, изменить CSP и обеспечить cookie/response pages. Зафиксируйте полезные no-JS/privacy-filter сценарии как отдельные неизвестные.
7. Сопоставьте General model Essentials с нужными специальными моделями. Не добавляйте endpoint-specific detection, custom API, SSO и advanced rate limiting старших планов в подтверждённый список.
8. Запишите необходимые журналы, export, SLA, поддержку, регион обработки и условия договора/оплаты. Неизвестные обязательные пункты оставьте открытыми.
9. Назначьте ответственных за NGINX/HTML/CSP, партнёров и мониторинг; сохранение исходной конфигурации и план отказа должны быть понятны до включения.
10. Сформулируйте итог по документам: подходит как кандидат при перечисленных условиях; нужен другой вариант интеграции/тариф; либо данных для обязательного требования недостаточно.

Условный пример: браузерный сайт получает каталог по /catalog.json. Из общей поддержки web API нельзя заключить, что этот путь анализируется: стандартный NGINX-список исключений содержит .json. Сначала нужно сопоставить его с конфигурацией. Это не означает, что весь продукт несовместим с JSON API; это означает, что применимость конкретного пути пока не доказана.

Другой пример: сервису обязательны HTTP/3 на выбранном NGINX и круглосуточный договорный SLA. Прочитанные условия Essentials не подтверждают такой набор. Решение следует оставить открытым либо рассмотреть другой документированный вариант. Это вывод по требованиям, а не отрицательная оценка бренда.

• Nginx Module for Bot Protect | DataDome
• Nginx Changelog
• JavaScript Tag Integration for Bot Protect | DataDome
• How to configure the JavaScript Tag
• Checklist: steps needed before activating protection
• DataDome Pricing
• Regional Endpoints
• Integrations

Что даёт этот документальный разбор

Essentials можно оставить кандидатом для браузерного сайта, если подтверждены совместимый NGINX-путь, покрытие важных URL, JS/cookie/challenge и необходимые тарифные права. Сильная сторона такой проверки — ясная граница между архитектурой, политикой и неизвестными условиями. Она не заменяет подтверждение договора, качества на собственном полезном трафике и действий при отказе.

Bot Protect не проверяет вместо приложения права пользователя на объект и не превращает DataDome session ID в бизнес-аккаунт. Авторизация API, лимиты учётной записи, запасы и другие правила приложения остаются отдельными контролями. Возможности Account Protect нельзя считать включёнными в этот Essentials по одному названию платформы.

Версия 1.0 фиксирует срез официальных источников на 23 октября 2026 года. Перед практическим выбором изменяемые условия читаются повторно. Последующее сравнение AntiBot возможно только для одинаковой поверхности, сценария и достаточной парной базы; наличие второго обзора само по себе не создаёт сопоставимость. Победителя или общего рейтинга в этой карточке нет.

• Getting Started with DataDome Platform
• DataDome Pricing
• Responses