Белые списки: что в них заносить и как не забыть

Самая скучная часть настройки и самая полезная. Что заносить, в каком виде и почему пути надёжнее адресов.

9 сентября 2026 2 мин чтения

Белый список — это перечень того, что проходит проверку всегда, что бы защита ни думала. Составить его стоит до включения блокировки, а не после первой поломки.

Что заносить обязательно

Пути приёма оплаты. Вебхуки платёжных систем выглядят как машинные запросы и ими являются. Заблокированный вебхук — это оплаченный, но не принятый заказ, и обнаруживается он через недовольного покупателя.

Обмен с учётной системой. Выгрузка остатков и цен, приём заказов.

Выгрузки для внешних площадок. YML для маркетплейсов, фиды для рекламных систем.

Мониторинг доступности. Иначе система контроля начнёт считать сайт упавшим.

Адрес офиса. Чтобы частые входы в админку не выглядели перебором.

Пути надёжнее адресов

Между «пропускать этот адрес» и «пропускать этот путь» почти всегда лучше второе.

Адреса внешних сервисов меняются, и вы об этом не узнаете: платёжная система переехала на новый диапазон, а у вас перестали приходить уведомления. Путь /payment/callback не меняется никогда.

Исключение — адрес офиса: там путь не поможет, потому что вы ходите по всему сайту.

Как записывать

Адреса — по одному или подсетью: 203.0.113.7 либо 203.0.113.0/24.

Пути — точным совпадением или со звёздочкой в конце: /api/webhook либо /api/*.

Звёздочкой не злоупотребляйте: /* откроет весь сайт, а /api/* откроет и те методы, о которых вы не думали.

Чего не надо заносить

Поисковых роботов. Они и так проходят: подтверждаются обратным DNS и блокировке не подлежат. Вносить их адреса руками бессмысленно — они меняются, а список устаревает.

Целые страны или крупные сети «на всякий случай». Белый список — это исключение из правил, а не способ отключить защиту по частям.

Как список пополняется сам

Правильный способ вести белый список — не сидеть и вспоминать, а добавлять по факту.

Когда в журнале обнаруживается визит, который не должен был попасть под подозрение, вы отмечаете его как ошибку — и адрес попадает в список сразу. Заодно накапливается статистика: по этим отметкам видно, какой признак перегибает.

Что пересматривать

Раз в несколько месяцев стоит пройтись по списку и убрать лишнее. Особенно это касается адресов: сотрудник уволился, офис переехал, временное правило осталось навсегда.

Разросшийся белый список — это дыра, о которой все забыли.