Для разработчика или технического специалиста

Как QELK работает технически

Кеширование, CDN, внешний HTTP(S)-контур, размещение PHP-проектов, правила обработки трафика, нагрузка, журналы и зоны ответственности

Эта страница предназначена для технической оценки платформы. Здесь собраны основные принципы работы, варианты подключения и границы ответственности между платформой, приложением и владельцем проекта

внешний контур
В фокусе
🌡️ Трафикмаршруты, заголовки, TLS
🧭 Обработкапропустить, ограничить, отклонить
🛰️ ПроектыWordPress, WooCommerce, PHP
С понятными границами ответственности

Кому полезна эта страница

Она нужна для первичной технической оценки: что делает платформа, что остаётся на стороне проекта и какие данные нужны для подключения

Разработчику или студии

Чтобы понять, где проходит граница между кодом проекта, интеграциями, средой размещения и внешним контуром платформы

Техническому специалисту клиента

Чтобы оценить схему подключения, маршруты, заголовки, исходные адреса, нагрузку, журналы и порядок изменений

Владельцу WordPress или WooCommerce

Чтобы передать техническую информацию своему специалисту и понимать, где проходят границы платформы, сайта, плагинов и интеграций

Команде сопровождения

Чтобы заранее договориться о правилах эксплуатации, исключениях, спорных срабатываниях, пиковых сценариях и ответственности сторон

Что делает платформа

Платформа работает как внешний технический контур проекта: принимает входящий трафик, применяет согласованные правила, передаёт допустимые запросы в целевую систему и помогает контролировать её эксплуатацию

Внешний веб-контур

Принимаем входящий HTTP(S)-трафик, применяем согласованные правила, передаём допустимые запросы в целевую систему и фиксируем события

Размещение WordPress и WooCommerce

Платформа может работать как внешний защитный слой перед существующим ресурсом или как среда размещения WordPress- и WooCommerce-проектов

Контроль публикации

Подключение доменов, маршрутов, TLS, служебных заголовков и сетевой связности проходит через согласованную схему изменений

Работа с нагрузкой

Для проекта учитываются обычная и пиковая нагрузка, динамические операции, каталог, интеграции и фоновые задачи

Поэтапная реакция

Подозрительная активность может обрабатываться поэтапно: от ограничения интенсивности и доступа к отдельным маршрутам до полного отклонения запросов

Наблюдаемость

События доступа, защитные события, коды ответа, маршруты и технические признаки помогают разбирать инциденты и спорные ситуации

Общий принцип работы

Платформа принимает внешний трафик перед целевым ресурсом. Если проект размещён на платформе, целевая система находится внутри согласованного эксплуатационного контура

1. Клиент

отправляет HTTP(S)-запрос

2. Платформа QELK

проверяет контекст и правила

3. Решение

пропустить, ограничить или отклонить

4. Целевая система

обрабатывает допустимый запрос

5. Журналы

фиксируют доступ и события

Бизнес-логика, данные пользователей и прикладная обработка допустимого запроса остаются на стороне целевой системы

Инфраструктура платформы

Основные компоненты платформы по технологическим зонам

Smart WAF + CDN

DNS + Anycast WAF Smart Cache Rate Limiting Smart Captcha S3 хранилище статики

Веб-серверы и приложение

Nginx OpenResty Squid FPM-PHP WordPress + WooCommerce proxySQL

Базы данных и кэш

MariaDB Valkey (кэш, сессии) SQLite

Мониторинг и управление

Grafana Telegraf PMA PRA (phpRedisAdmin) Панель управления Управление файлами

Безопасность и резервное копирование

Весь трафик через прокси с логированием AI-агент анализа логов Яндекс Капча Автообновление сертификатов S3 хранилище бэкапов Автоматические бэкапы

Инфраструктура и размещение

Яндекс Облако VK Облако Без трансграничной передачи данных

Кто за что отвечает

Нормальное подключение начинается с простого разделения: что делает платформа, что делает приложение и какие данные должен предоставить владелец проекта

Платформа QELK отвечает за

контроль внешнего HTTP(S)-трафика
применение защитных политик
ограничение нежелательной активности
передачу допустимых запросов в целевую систему
журналирование доступа и защитных событий
базовую наблюдаемость точки защиты
внешний контур размещённых PHP-проектов

Защищаемая система отвечает за

прикладную бизнес-логику
безопасность кода приложения
работу с пользователями и правами
безопасность базы данных
корректную обработку допустимых запросов
внутренние механизмы контроля
качество плагинов, темы и интеграций

Владелец ресурса предоставляет

домены и маршруты
целевые адреса
допустимые сценарии обращения
чувствительные точки доступа
ожидаемую рабочую и пиковую нагрузку
особенности авторизации
контакт для оперативного разбора

Почему отдельно говорим про WordPress и WooCommerce

Платформа ориентирована на проекты, где внешний трафик связан с реальными продажами, а каталог, корзина, плагины и интеграции создают разные типы нагрузки

Публичные страницы

Главная, статьи, категории, карточки товаров и другие страницы, которые должны спокойно выдерживать рекламный и поисковый трафик

Динамические зоны

Корзина, оформление заказа, личный кабинет, авторизация, административные разделы и персональные ответы требуют отдельной логики и не кешируются грубо

Каталог и фильтры

Большой каталог, вариации, сортировки и фильтры могут создавать заметную нагрузку даже без резкого роста посетителей

Интеграции

Внешние системы, API, платёжные сервисы, учётные решения, обмены данными и фоновые задачи учитываются как часть эксплуатационного профиля проекта

Точки интеграции

Платформа подключается через внешние веб-точки ресурса. Чем точнее описан внешний контур, тем спокойнее проходит настройка правил и тестирование

Если приложение зависит от нестандартных заголовков, промежуточных узлов или особых сетевых условий, это фиксируется заранее

Обычно нужны

домен или поддомен
исходный адрес ресурса
набор HTTP- или HTTPS-маршрутов
правила передачи служебных заголовков
TLS и схема публикации
сетевой доступ между платформой и целевой системой
порядок передачи исходного IP-адреса клиента

Варианты подключения

Схема зависит от того, нужно ли закрыть весь ресурс, только чувствительные маршруты или разместить проект внутри контура платформы

Перед существующим ресурсом

Платформа публикуется перед уже работающим сайтом, магазином или API и принимает внешний входящий трафик

Для отдельных точек доступа

Под защиту передаются выбранные маршруты: API, авторизация, личный кабинет, административная часть, формы или интеграционные точки

Размещение проекта на платформе

Проект работает внутри согласованного контура размещения, а платформа обеспечивает публикацию, защиту, работу с нагрузкой и техническую эксплуатацию

Требования к окружению и описанию ресурса

Платформе важно понимать не только адрес назначения, но и нормальное поведение приложения: методы, размеры запросов, авторизацию, загрузку файлов и ожидаемые пики

Что уточняем до запуска

стабильная HTTP- или HTTPS-точка назначения
предсказуемое поведение приложения по маршрутам и кодам ответа
описание допустимых методов HTTP
ожидаемые размеры запросов
наличие загрузки файлов
критичные пользовательские сценарии
ожидаемые пики трафика
особые заголовки, промежуточные узлы или сетевые условия

Реакция на подозрительную активность

Платформа не ограничивается моделью мгновенной полной блокировки. В зависимости от ситуации реакция может усиливаться постепенно

Оценка строится по совокупности факторов: характер запросов, история поведения, тип маршрута и риск для конкретной точки доступа

Что может применяться

снижение допустимой интенсивности запросов
более строгая проверка для рискованных сценариев
ограничение чувствительных маршрутов
временное ограничение клиента
полное отклонение запросов при устойчивом нежелательном поведении

Внешние репутационные источники

Платформа может учитывать внешние списки адресов и сетей, связанных с вредоносной, подозрительной или массово нежелательной активностью

Наличие адреса во внешнем списке не означает автоматическую немедленную блокировку. Это дополнительный сигнал, а не единственный критерий

Сигналы оценки

известные проблемные адреса и сети
массово нежелательная активность
поведенческие признаки клиента
характер запроса
тип маршрута и уровень риска для точки доступа

Ресурсы и нагрузка

Для каждого проекта формируется собственный ресурсный профиль. Он нужен, чтобы рабочая нагрузка одного проекта не влияла напрямую на другой, а пиковые сценарии не превращались в ручной аварийный режим

Что учитываем

Профиль нагрузки, структуру сайта или магазина, объём каталога, характер обращений, динамические операции, расширения и шаблоны

Почему это важно

Рекламные всплески, сезонные пики и кратковременный рост посещаемости должны быть штатным сценарием, а не неожиданностью

Где граница

Ресурсы платформы не безграничны. Для проекта нужен согласованный эксплуатационный потолок и понятные действия при его приближении

Мониторинг, журналы и события

Для эксплуатации важно видеть состояние точки защиты и последствия применяемых правил. Журналы нужны не для шума, а для разбора событий и спорных сценариев

доступность точки защиты
состояние публикации
журналы запросов
журналы защитных событий
срабатывания правил
коды ответа
технический идентификатор запроса
данные для разбора спорных сценариев
базовые показатели нагрузки
Журналирование применяется с учётом требований к защите данных и политики доступа к событиям

Ограничения платформы

Важно сразу зафиксировать, чего платформа не обещает. Это помогает избежать неверных ожиданий и слишком грубых настроек

Не исправляет код

Платформа снижает часть рисков до передачи запроса в приложение, но не заменяет безопасную разработку и проверку самого продукта

Не отменяет профиль нагрузки

Устойчивость зависит от проекта: каталога, доли динамических операций, расширений, темы, изображений и качества интеграций

Не работает без исходных данных

Чем хуже описаны маршруты, сценарии и пики, тем выше риск ложных ограничений или слишком мягких правил

Имеет ресурсные ограничения

Для каждого проекта нужен согласованный эксплуатационный профиль и понятный порядок действий при росте нагрузки

Что требуется для подключения

Для запуска нужен не только технический адрес. Нам важно понимать, что именно подключается, какие сценарии считаются нормальными, где находятся чувствительные зоны и как проверить результат после включения

Минимальный набор данных

защищаемые домены
маршруты или классы маршрутов
назначение ресурса
адреса целевых точек
способы авторизации
критичные пользовательские сценарии
рабочая и пиковая нагрузка
порядок тестирования после включения
ЧАСТЫЕ ВОПРОСЫ

Частые вопросы

Платформа QELK отвечает за код и бизнес-логику проекта? +

Нет. Платформа отвечает за внешний технический контур, размещение, правила обработки трафика, работу с нагрузкой и наблюдаемость. Код, бизнес-логика и внутренняя безопасность приложения остаются зоной проекта

Можно подключить только часть сайта? +

Да. Частый сценарий — защитить отдельные маршруты: API, вход, личный кабинет, административную часть, формы или интеграционные точки

Адрес из внешнего списка всегда блокируется? +

Нет. Репутационные источники используются как дополнительный сигнал вместе с поведением клиента, маршрутом и уровнем риска

Почему нужны данные о нагрузке заранее? +

Правила и ресурсный профиль должны соответствовать реальной работе сайта. Рекламные пики, каталог, фильтры и динамические операции сильно влияют на настройку

Что происходит при ложном срабатывании? +

Сценарий разбирается совместно: смотрим маршрут, запрос, правило, историю поведения и при необходимости согласуем исключение

Что важно учитывать

Платформа QELK контролирует внешний контур проекта, применяет правила обработки трафика, работает с кешированием и CDN, а также предоставляет среду для размещения PHP-проектов и инструменты для их эксплуатации

При этом результат всегда зависит от самого проекта: его кода, темы, плагинов, каталога, изображений, интеграций и характера нагрузки