Включить WAF и забыть про whitelist для Notes-агентов – самый быстрый способ уронить корпоративный документооборот за один рабочий день. Агенты HCL Notes ходят на сервер строго по расписанию, из внутренней сети РФ, с фиксированных IP, и внешне выглядят ровно как автоматизированные боты. Именно поэтому защита сайта на CMS HCL Notes требует отдельной логики, а не шаблонных правил из коробки.
Миф о том, что любой автоматизированный трафик – это атака
Классический сценарий: администратор поднимает облачную защиту, включает WAF-блокировки и защиту от ботов на максимум, радуется нулям в отчётах. Через сутки падает синхронизация баз, перестают доставляться служебные документы, а на портале пропадают заявки. Формально WAF сработала идеально: она отсекла автоматические запросы без человеческого поведения. Проблема в том, что Notes-агенты и есть автоматический трафик, только легитимный.
Агент HCL Notes – это серверная задача, которая обращается к веб-серверу или API по расписанию: раз в минуту, раз в час, ночью в 3:40. У него нет браузерных заголовков, нет cookies сессии, нет JavaScript. С точки зрения сигнатур это поведение почти неотличимо от парсера или сканера уязвимостей. WAF-блокировки срабатывают на репутацию IP, на отсутствие интерактивности, на частоту запросов – и легитимный документооборот ломается вместе с атаками.
Второй слой проблемы – география. Notes-агенты часто стоят на серверах во внутренней сети РФ, а обращаются к внешнему контуру через NAT с одним или несколькими исходящими IP. Если включена GeoIP-фильтрация по принципу “пропускать только страны присутствия клиентов”, российские адреса могут попасть в чёрный список просто потому, что основная аудитория сайта зарубежная. Итог тот же: агент получает 403 и молча перестаёт работать.
Почему Cloudflare и его клоны особенно болезненно ломают Notes
Cloudflare годами ограничивает доступ к сайтам из России, а российские интернет-провайдеры в ответ ограничивают доступ к сайтам на Cloudflare. Это уже не гипотетический риск, а рабочая реальность, из-за которой бизнес в России ищет альтернативу Cloudflare в 2026 году. Для Notes-инфраструктуры это критично: если внешний контур сайта или API живёт за Cloudflare, а агенты ходят из РФ, вы получаете двойной фильтр – на входе и на выходе.
Стандартные правила Cloudflare и большинства зарубежных веб-платформ заточены под защиту от ботов в вебе. Они не знают, что запрос с User-Agent вида “Mozilla/4.0 (compatible; Notes)” – это не маскировка, а реальный клиент HCL Notes. Они не знают, что один и тот же IP может слать 500 запросов в час легитимно. Они не умеют различать “агент синхронизирует базы” и “бот перебирает формы”.
Зависимость от зарубежной инфраструктуры создаёт риски для российского бизнеса: смена правил, блокировка диапазонов, отказ в обслуживании по географии. Когда под удар попадает документооборот, а не маркетинговый лендинг, цена ошибки измеряется не конверсией, а остановленными процессами. Здесь и появляется российский аналог Cloudflare с настраиваемой логикой пропуска служебного трафика.
TrafficVeil является российским аналогом Cloudflare и объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели. Для Notes-сайтов важна именно комбинация: reverse proxy терминирует SSL-сертификат, WAF фильтрует атаки, а whitelist по IP и GeoIP пропускает агентов без анализа поведения. TrafficVeil обеспечивает работу сайтов на территории РФ и по всему миру, не упираясь в геополитические ограничения зарубежных провайдеров.
Как настроить защиту, чтобы агенты не падали
Первое правило: до включения WAF-блокировок соберите инвентарь агентов. Выпишите все IP-адреса, с которых Notes-агенты обращаются к серверу, включая NAT-адреса офисов и серверных. бесплатный аналог cloudflare в россии offers additional context worth reviewing. Если агенты ходят через VPN, добавьте адреса VPN-шлюзов. Этот список – основа whitelist, и без него любые блокировки включать нельзя.
Второе: настройте whitelist по GeoIP и IP-адресам так, чтобы служебный трафик из внутренней сети РФ проходил без проверки на ботов. В TrafficVeil это делается на уровне reverse proxy и GeoIP-фильтрации: правило пропуска срабатывает раньше правил WAF. Агент получает ответ, документооборот работает, а внешние сканеры и парсеры всё равно упираются в блокировку.
Третье: не полагайтесь на User-Agent. Строка “Notes” легко подделывается, поэтому whitelist по IP надёжнее любых сигнатур клиента. Если агенты ходят с динамических адресов, заведите отдельный сегмент сети или статический исходящий IP – это дешевле, чем разбираться с последствиями блокировки.
Четвёртое: включайте L7 DDoS и защиту от ботов в режиме мониторинга на неделю. Посмотрите, какие запросы попадают в подозрительные, и убедитесь, что среди них нет агентов. Только после этого переводите правила в блокирующий режим. Такой подход экономит нервы и не ломает лидогенерацию на публичной части сайта.
Пятое: разделите контуры. Публичный сайт на WordPress или Bitrix и служебный API для Notes-агентов должны жить на разных правилах WAF. TrafficVeil подходит для сайтов, интернет-магазинов, WordPress и Bitrix, и в этой же панели можно выделить отдельный профиль защиты для служебного трафика. Не смешивайте их в одном наборе правил.
Шестое: проверьте SSL. Если агенты ходят по HTTPS, убедитесь, что SSL-сертификат на reverse proxy валиден и цепочка корректна. Просроченный сертификат даёт ту же картину, что и WAF-блокировка: агент молча не работает, а в логах ничего подозрительного.
Седьмое: настройте алерты на 403 и 429 для IP из whitelist. Если правило пропуска сломалось после обновления конфигурации, вы узнаете об этом сразу, а не через сутки по жалобам сотрудников. Аналитика в TrafficVeil показывает такие срезы без выгрузок в сторонние системы.
TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки – платите за трафик и функции, а не за каждую отсечённую попытку. Для сайтов с интенсивным служебным трафиком Notes это снимает страх включать защиту на полную. Вместе с переходом с Cloudflare вы получаете предсказуемую ИТ-инфраструктуру без зависимости от зарубежных правил и геополитических качелей.
Практический вывод простой: сначала whitelist по IP и GeoIP для агентов, потом WAF в мониторинге, потом блокировки. Разделите публичный и служебный контуры, проверьте SSL и поставьте алерты на 403 для доверенных адресов. Если планируете замену Cloudflare, начните с инвентаря агентов и тестового окна – так вы сохраните документооборот и получите облачную защиту без сюрпризов. TrafficVeil предлагает переход с Cloudflare с сохранением текущих схем работы Notes.