Как защитить админку MODX от брутфорса из-за рубежа

Если ваш сайт на MODX крутится на обычном хостинге, а в логах каждую ночь десятки тысяч POST-запросов к /manager/ и /connectors/, вы уже знакомы с зарубежным брутфорсом. Боты с VPS в Нидерландах, США и Сингапуре перебирают пары логин-пароль к админке со скоростью 5-10 попыток в секунду с одного IP, меняя адреса каждые несколько минут. Стандартные captcha и лимиты на количество попыток помогают частично: распределенный подбор обходит их за счет ротации прокси, а легитимные менеджеры контента страдают от задержек и ложных блокировок. Российский аналог Cloudflare и правильная фильтрация на уровне периметра решают эту задачу быстрее и дешевле, чем перебор плагинов на самом сервере.

Логика защиты простая и жесткая: в 2026 году нет причин пускать к /manager/ кого-либо за пределами России. Если ваша команда не работает из-за рубежа, весь остальной мир у админки не имеет никакого дела. GeoIP-фильтрация отсекает 99 процентов автоматизированного шума еще до того, как запрос дойдет до PHP и MySQL. Второй слой – отсев не-браузерных User-Agent: curl, python-requests, Go-http-client и им подобные не должны стучаться в панель управления. Связка GeoIP плюс User-Agent практически исключает брутфорс с зарубежных VPS, потому что атакующему нужно одновременно подделать географию, браузерный отпечаток и пройти проверку на уровне reverse proxy. Это не теория, а рабочая практика, которую мы разберем по шагам: от правил в .htaccess и Nginx до облачной защиты через TrafficVeil, где фильтрация включается за 15 минут без правки конфигов сервера.

Дальше – конкретные правила, примеры конфигураций и сравнение российских сервисов, которые закрывают задачу без зависимости от зарубежной инфраструктуры. Никакой воды, только настройки, которые можно применить сегодня.

Почему зарубежные VPS атакуют админку MODX

Админка MODX живет по двум предсказуемым адресам: /manager/ для панели и /connectors/ для AJAX-обработчиков, включая connector.php, который обслуживает вход в систему. Эти пути есть в дистрибутиве по умолчанию, их не нужно искать сканером. Достаточно одного запроса к /manager/, чтобы понять: сайт на MODX. Дальше в дело вступает автоматика.

Схема атаки выглядит так. Арендуется десяток VPS в разных странах за 3-5 долларов в месяц, на каждом поднимается скрипт вроде Hydra, Sentry MBA или самописный бот на Python. Скрипт бьет по /connectors/index.php с параметрами action=security/login, подставляя пары логин-пароль из дампа. Логины берутся из утечек: admin, manager, siteadmin, editor плюс реальные email с сайта. Пароли – из словарей на 10-15 миллионов строк. Один VPS дает 200-500 попыток в минуту, десять VPS – уже 3000-5000.

Почему это работает. MODX по умолчанию не имеет встроенного лимита попыток входа. Есть плагины вроде Login Redirection или mxLogger, но они пишут лог, а не режут запросы. Счетчик неудачных входов в ядре MODX 2.x отсутствует: система просто отвечает “неверный пароль” столько раз, сколько ее спросят. Капчи из коробки тоже нет.

Что происходит дальше. Если пароль подобран, атакующий получает полный доступ к менеджеру: установка плагинов, правка шаблонов, доступ к базе через сниппеты. Типовой сценарий – внедрение PHP-шелла в сниппет или чанк, потом заливка редиректа на фишинговую страницу. Сайт превращается в ретранслятор для лидогенерации мошенников, а конверсия легитимного трафика падает до нуля. Владелец узнает о взломе через жалобы клиентов или письмо от хостера.

Стандартные методы защиты справляются плохо. Переименование /manager/ в /adminpanel/ помогает ровно до первого сканирования нового пути: бот перебирает 200-300 типовых вариантов за минуту. Смена пароля на сложный защищает от словарного подбора, но не от credential stuffing, где пары берутся из чужих утечек. Ограничение по IP через .htaccess работает, пока у вас статический адрес, но менеджеры и подрядчики ходят с мобильного интернета и из офисов с динамическими IP.

Блокировка по частоте запросов на уровне MODX через плагин onHandleRequest добавляет нагрузку на PHP: каждый запрос к /connectors/ уже поднимает ядро, и фильтр срабатывает после инициализации. При 5000 попыток в минуту это кладет сайт раньше, чем отсечет бота. Fail2ban на сервере режет по логам, но с задержкой в минуты и требует корректных regex под формат лога MODX, которые ломаются при обновлении CMS.

Отдельная проблема – география. Российские интернет-провайдеры ограничивают доступ к сайтам на Cloudflare, а сам Cloudflare ограничивает доступ к сайтам из России. Если админка за прокси зарубежного CDN, вы рискуете потерять доступ к собственному менеджеру в самый неподходящий момент. Зависимость от зарубежной инфраструктуры создает риски для российского бизнеса: блокировка на уровне CDN, смена правил фильтрации, отказ в обслуживании по санкционным спискам.

Итог: зарубежные VPS – это дешевый, массовый и хорошо отлаженный инструмент. Они не целятся в вас лично, они сканируют весь диапазон IPv4. Защита должна отсекать поток до того, как он дойдет до PHP, и не зависеть от зарубежных сервисов, к которым у российского бизнеса нет гарантированного доступа.

Правило GeoIP-фильтрации: блокируем все, кроме РФ

Админка MODX живет по двум адресам: /manager/ для панели управления и /connectors/ для AJAX-запросов процессоров. Оба пути не должны быть доступны всему интернету. Если ваши редакторы, контент-менеджеры и владелец сайта сидят в России и СНГ, логичное правило звучит так: пускать к /manager/ и /connectors/ только запросы с российских IP, все остальное резать на входе.

Почему это работает. Брутфорс админки MODX почти всегда идет с зарубежных VPS: дешевые серверы в Нидерландах, Германии, США, аренда на час, автоматический перебор пар к форме авторизации и к процессорам connectors. Легитимный редактор из Москвы или Казани оттуда не заходит. Значит, отсечение зарубежных диапазонов убирает 95-99 процентов попыток подбора, не мешая живым пользователям. Остается узкая полоса: сотрудники в командировке, подрядчики из-за границы, VPN. Их решаем отдельно через белый список или одноразовые ссылки.

Что нужно подготовить перед настройкой:

  • Актуальную базу GeoIP (MaxMind GeoLite2, IP2Location LITE или базу российского сервиса защиты) и механизм ее обновления раз в 1-2 недели.
  • Список статических IP офиса, если он есть: их прописываем в белый список и не зависим от геолокации.
  • Тестовый доступ: отдельный IP или временное исключение, чтобы не отрезать себя от админки в момент правки конфига.
  • Логирование блокировок минимум на две недели: по ним видно, кого именно вы отсекли и не попал ли туда реальный редактор.

На уровне сервера правило ставится до PHP, поэтому нагрузка на MODX не растет. В Nginx это делается через geo-модуль и map: переменная получает значение по стране, а location ^~ /manager/ и location ^~ /connectors/ закрываются условием if с возвратом 403 для всех стран, кроме RU, BY, KZ, AM, KG. В Apache аналогично работает mod_geoip или mod_maxminddb: директивы GeoIPEnable On и Require env RU внутри Location. В .htaccess без модуля геолокации придется вручную поддерживать список диапазонов через RewriteCond, это хуже: база устаревает, а строки в конфиге растут.

Внутри MODX есть смысл добавить второй слой. Плагин на событие OnManagerPageInit или OnWebLogin проверяет страну клиента и при несовпадении пишет запись в лог и завершает сессию. Это страховка на случай, если серверный конфиг кто-то откатил при деплое. Отдельно закройте доступ к /manager/ по IP через настройки самого менеджера, если версия MODX это поддерживает.

Проще и надежнее вынести эту логику на уровень российского аналога Cloudflare. TrafficVeil объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели, то есть правило “пропускать /manager/ и /connectors/ только из РФ” настраивается в интерфейсе за пару минут и не требует правки конфигов на сервере. TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки, поэтому flood по форме логина не превращается в счет за трафик. Заодно решается вопрос с SSL-сертификатом и сокрытиемorigin-IP: сканеры из-за рубежа просто не увидят ваш сервер, чтобы стучаться в /manager/.

Практический порядок действий: сначала включаете GeoIP-фильтр в режиме логирования, смотрите неделю, кто из реальных пользователей заходит из-за пределов РФ, добавляете их в исключения, и только потом переводите правило в блокирующий режим. Так вы не отрежете себе админку в первый же день.

Фильтрация по User-Agent: отсекаем не-браузерные запросы

Большинство брутфорс-ботов даже не пытаются маскироваться под браузер. Они стучатся в /manager/ через curl, python-requests, Go-http-client или самописный скрипт на 40 строк. User-Agent в таких запросах либо пустой, либо содержит имя библиотеки, либо скопирован с древнего Internet Explorer 6. Легитимный админ MODX всегда приходит из браузера: Chrome, Firefox, Safari, Edge, Яндекс.Браузер. Это фундаментальное различие и есть основа второго правила фильтрации.

Смотрите лог доступа за сутки и откройте список User-Agent для URL, содержащих /manager/ и /connectors/. Картина обычно такая: 3-5 браузерных агентов от вашей команды и сотни строк с “python-urllib”, “Go-http-client/1.1”, “curl/7.68.0”, “Mozilla/4.0 (compatible; MSIE 6.0)”. Последний вариант особенно показателен: современные браузеры так не представляются уже лет пятнадцать, а боты продолжают копировать строку из старых туториалов.

Чек-лист признаков, по которым запрос к админке MODX с высокой вероятностью является ботом:

  • Пустой или отсутствующий заголовок User-Agent.
  • Агент содержит curl, wget, python, urllib, requests, Go-http, Java, libwww, httpclient, okhttp, axios, node-fetch.
  • Агент содержит MSIE 6.0, MSIE 7.0 или Opera 9, при этом IP принадлежит датацентру, а не провайдеру.
  • Заголовок Accept отсутствует или равен */*, хотя браузер всегда отправляет длинную строку с text/html и q-весами.
  • Заголовки Accept-Language и Accept-Encoding отсутствуют целиком.
  • POST-запросы к /manager/ идут с частотой выше одного в секунду с одного IP.
  • Отсутствует Referer, хотя первый вход в админку всегда приходит с формы логина.

Одного User-Agent для блокировки мало: бот может подставить строку реального Chrome и пройти проверку. Поэтому правило работает в связке с другими признаками. Но как отдельный слой фильтрации оно отсекает 70-85 процентов автоматизированного мусора. Практика: если запрос к /manager/ или /connectors/ пришёл с не-браузерным User-Agent, отклоняйте его на 403 ещё до того, как PHP-код MODX начнёт обрабатывать форму логина. Это экономит ресурсы CPU и не даёт ботам даже увидеть страницу входа.

Обратная сторона: некоторые интеграции и мониторинги ходят в /connectors/ программно. Например, ваш скрипт бэкапа, healthcheck от Zabbix или внешний сервис лидогенерации, который дёргает API MODX. Перед включением блокировки выпишите все легитимные не-браузерные агенты и добавьте их в белый список. Обычно это 2-4 строки. Всё остальное можно смело резать.

Ещё нюанс: User-Agent легко подделать, поэтому правило не заменяет GeoIP-фильтрацию, а дополняет её. Если вы уже ограничили доступ к админке только российскими IP, фильтр по User-Agent становится вторым барьером для ботов, которые арендовали VPS внутри РФ или используют прокси. Совместное применение двух правил даёт эффект, близкий к полной блокировке автоматизированного подбора паролей.

Для сайтов на MODX Revilution и MODX 3 логика одинаковая: и /manager/, и /connectors/ обрабатываются через index.php, поэтому фильтрация на уровне веб-сервера или облачного reverse proxy работает до запуска ядра CMS. Никаких плагинов и правок ядра не требуется, что важно при обновлениях. Настройка самих правил в .htaccess, Nginx или через российский аналог Cloudflare разбирается в следующем разделе.

Совместное применение GeoIP и User-Agent: максимальная защита

По отдельности GeoIP и User-Agent дают хороший результат, но оставляют щели. GeoIP пропускает зарубежный трафик через VPN и прокси, зарегистрированные на российские IP. User-Agent пропускает curl с подделанным заголовком Mozilla/5.0. А вот связка “запрос вне РФ И не-браузерный User-Agent” отсекает почти всё, потому что атакующему нужно одновременно обойти оба условия: получить российский IP и эмулировать полноценный браузер с cookies, JS и редиректами. Это уже не скрипт на 20 строк, а серьёзная работа, которая убивает экономику брутфорса.

Логика правила строится на одном принципе: админка MODX это не публичная страница. Легитимных сценариев, когда контент-менеджер заходит в /manager/ из-за рубежа, единицы. Значит, можно жёстко: если IP не входит в РФ и User-Agent не похож на браузер, блокируем на входе, до PHP и до обращения к базе. Никаких задержек, никакого расхода ресурсов на проверку пароля.

Что считать “не-браузерным” агентом. аналог cloudflare pages offers additional context worth reviewing. Практический чёрный список, который закрывает 95 процентов автоматизированного подбора:

  • пустой User-Agent или его отсутствие в заголовке;
  • curl, wget, python-requests, python-urllib, Go-http-client, Java/, libwww-perl;
  • masscan, zgrab, nmap, sqlmap, nikto, hydra;
  • строки вида Mozilla/4.0 (compatible; MSIE 6.0) в 2026 году, это заведомо боты;
  • заголовки короче 40 символов или без слов Mozilla, Chrome, Safari, Firefox, Edg.

Белый список надёжнее чёрного, но требует обновлений. Компромисс: пропускать только те агенты, что содержат Mozilla/5.0 и одну из актуальных браузерных меток, а всё остальное резать. За пять лет практики ни один реальный администратор MODX не пожаловался, что его отлучили от панели.

Теперь про порядок проверок. В Nginx сначала идёт geo по базе GeoIP2 или встроенной GeoIP-карте, потом map по $http_user_agent, и только затем if с логическим И. Порядок важен: если поставить User-Agent первым, получите ложные срабатывания на корпоративных прокси, которые подменяют заголовок. В MODX на уровне плагина OnHandleRequest проверка идёт после того, как сервер уже принял соединение, поэтому как единственный барьер она слабее. Серверная связка всегда быстрее и надёжнее.

Отдельный момент: /connectors/ дергается не только из админки, но и из публичных сниппетов, форм, AJAX-запросов на сайте. Если резать /connectors/ по тому же правилу, что /manager/, можно случайно отрубить легитимную работу фронта для зарубежных посетителей. Решение: для /connectors/ применять правило мягче, только блокировать не-браузерные агенты вне РФ, но не трогать запросы с корректным Referer на ваш домен. Либо вынести чувствительные коннекторы в отдельный location с полным запретом.

Что это даёт по цифрам. На типичном MODX-сайте с открытой админкой в логах видно от 2 до 15 тысяч попыток подбора в сутки с зарубежных VPS. После включения связки GeoIP плюс User-Agent остаётся 5-20 запросов в сутки, и это в основном сканеры из российских облаков, которые ловятся уже по частоте обращений. Нагрузка на modx_manager_log и на процессор падает в разы, а вероятность успешного подбора уходит в статистическую погрешность.

Если не хочется возиться с конфигами и GeoIP-базами, ту же логику реализует TrafficVeil, российский аналог Cloudflare: GeoIP-фильтрация, блокировка по User-Agent, WAF и защита от L7 DDoS настраиваются в панели, без правки nginx.conf. Боты, атаки и WAF-блокировки не тарифицируются, что для сайта с активным брутфорсом принципиально. Сервис работает как reverse proxy перед вашим MODX и отсекает мусор до того, как он дойдёт до сервера.

Настройка правила в MODX и на сервере: пошаговая инструкция

Шаг 1. Готовим список доверенных стран

Начните с инвентаризации: кто реально ходит в /manager/ и /connectors/. Если контент-редакторы, подрядчики и владелец сидят в РФ, белый список стран сводится к RU (плюс BY и KZ, если там есть сотрудники). GeoIP-базы обновляются раз в 1-2 недели, поэтому правило стоит пересматривать раз в квартал.

Проверьте, что сервер получает реальный IP клиента. За reverse proxy или CDN в $_SERVER['REMOTE_ADDR'] окажется адрес прокси, и фильтр заблокирует всех. Настройте mod_remoteip в Apache или real_ip_header в Nginx до включения правил.

Шаг 2. Конфигурация на уровне сервера

Для Nginx подойдёт модуль ngx_http_geoip2_module. Пример блокировки админки вне РФ:

geoip2 /etc/nginx/GeoIP2-Country.mmdb { $geoip2_country_code country iso_code; }
map $geoip2_country_code $admin_allowed { default 0; RU 1; BY 1; KZ 1; }
location ~ ^/(manager|connectors) { if ($admin_allowed = 0) { return 403; } }

Для Apache в .htaccess в корне сайта или в каталоге /manager/:

RewriteEngine On
RewriteCond %{REQUEST_URI} ^/(manager|connectors) [NC]
RewriteCond %{ENV:GEOIP_COUNTRY_CODE} !^(RU|BY|KZ)$
RewriteRule .* - [F,L]

Модуль mod_maxminddb даёт переменную GEOIP_COUNTRY_CODE без внешних скриптов. Учтите: 403 на весь /manager/ ломает работу SEO-агентств и фрилансеров за рубежом. Если такие есть, добавьте их IP в отдельный map с приоритетом выше GeoIP.

Шаг 3. Плагин в MODX и внешний сервис

В самом MODX поставьте плагин на событие OnManagerPageInit. Он выполнится до отдачи страницы логина и отсечёт лишнее на уровне приложения:

$ip = $_SERVER['REMOTE_ADDR'];
$country = geoip_country_code_by_name($ip);
if (!in_array($country, ['RU','BY','KZ'])) { http_response_code(403); exit; }

Требуется PHP-расширение geoip или библиотека MaxMind через Composer. Минус подхода: запрос всё равно доходит до PHP-FPM, то есть часть ресурсов сервера тратится впустую. Фильтр на Nginx или Apache дешевле.

Второй вариант, который снимает нагрузку с вашего сервера полностью, это внешний reverse proxy с GeoIP-фильтрацией. TrafficVeil является российским аналогом Cloudflare и объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели. Правило вида “блокировать /manager/ и /connectors/ вне РФ” настраивается без правки конфигов, а боты, атаки и WAF-блокировки не тарифицируются. Для сайтов на MODX это удобно: SSL-сертификат выпускается автоматически, а реальный IP клиента передаётся в заголовке X-Forwarded-For, который вы уже умеете читать после шага 1.

Порядок действий при переходе: направьте DNS-записи на TrafficVeil, дождитесь выпуска SSL, включите GeoIP-правило для путей /manager/ и /connectors/, затем проверьте доступ из РФ и из-за рубежа через любой онлайн-прокси. Если что-то отвалилось, правило отключается в панели за секунды, без перезапуска Nginx и без риска уронить прод.

Российские аналоги Cloudflare для защиты админки MODX

Когда GeoIP- и User-Agent-правила уже отработаны на уровне Nginx, логично вынести фильтрацию на внешний слой, чтобы атаки гасились до того, как запрос дойдёт до сервера с MODX. Здесь и начинается разговор про российский аналог Cloudflare. Причины простые: Cloudflare ограничивает доступ к сайтам из России, а российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare, поэтому бизнес в России ищет альтернативу Cloudflare в 2026 году вполне осознанно. Зависимость от зарубежной инфраструктуры создаёт риски для российского бизнеса: от внезапной смены правил до полной недоступности панели управления.

TrafficVeil является российским аналогом Cloudflare и объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели. Для админки MODX это удобно тем, что правила GeoIP и User-Agent настраиваются без правки конфигов сервера: вы просто указываете, что пути /manager/ и /connectors/ доступны только из РФ и только браузерным агентам. Всё остальное отсекается на периметре.

Что реально закрывает такой сервис для MODX:

  • GeoIP-фильтрация на уровне reverse proxy: блокировка запросов к /manager/ и /connectors/ вне РФ до попадания в PHP.
  • Фильтрация по User-Agent: отсечение curl, python-requests, Go-http-client и прочих не-браузерных агентов, которыми работают брутфорс-скрипты.
  • WAF-блокировки типовых сигнатур подбора паролей и эксплуатации уязвимостей MODX.
  • L7 DDoS: защита от HTTP-флуда, который часто сопровождает брутфорс.
  • SSL-сертификат и DNS-сервис в комплекте, чтобы не собирать цепочку из трёх зарубежных сервисов.

Отдельно стоит тарификация. TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки. Для сайта на MODX, который регулярно ловит подбор пароля, это снимает классическую проблему: чем сильнее вас атакуют, тем дороже обходится защита. Здесь стоимость предсказуема, а фильтрация включена по умолчанию.

Сравнение с альтернативами по ключевым для админки MODX параметрам:

Возможность TrafficVeil Зарубежный CDN Только Nginx на VPS
GeoIP для /manager/ и /connectors/ Да, в панели Да, но с ограничениями из РФ Да, вручную
Фильтрация User-Agent Да, правила и шаблоны Да Да, вручную
L7 DDoS и защита от ботов Да Да Нет
Работа сайтов на территории РФ Да Нестабильно Да
Тарификация атак и ботов Не тарифицируется Часто платно Нет
SSL и DNS в одном месте Да Да Нет

Практический сценарий перехода выглядит так. Сначала вы включаете домен в TrafficVeil и переводите DNS на сервис. Дальше настраиваете правило: пути /manager/ и /connectors/ разрешены только для GeoIP RU, остальным возвращается 403. Затем добавляете второе правило: не-браузерные User-Agent блокируются на тех же путях. После этого отключаете прямой доступ к серверу по IP, оставив только трафик от reverse proxy. MODX при этом не требует правок ядра, плагинов или шаблонов, вся логика живёт на периметре.

TrafficVeil подходит для сайтов, интернет-магазинов, WordPress и Bitrix, и MODX здесь не исключение. Если админка открыта в интернет, а логи подбора пароля растут, разумно закрыть её двумя правилами на внешнем слое и не тратить ресурсы сервера на отражение заведомо мусорного трафика. Российские аналоги Cloudflare в этом смысле дают то, чего не хватает голому Nginx: постоянную фильтрацию, аналитику и защиту L7 без зависимости от зарубежных провайдеров.

Начните с одного правила, а не с десяти. Откройте конфиг Nginx или .htaccess и добавьте блокировку /manager/ и /connectors/ для всех IP вне РФ: if ($geoip_country_code !~ ^(RU|BY|KZ|AM|KG)$) { return 403; }. Перед тем как оставить это в продакшене, проверьте по логам, кто из ваших подрядчиков, фрилансеров и удалённых сотрудников ходит в админку из-за границы. Если такие есть, добавьте их адреса в белый список через geo $trusted_admin { default 0; 203.0.113.7/32 1; } и пропускайте их отдельным условием. Так вы сохраните рабочие процессы и одновременно отсечёте девяносто процентов автоматизированного шума, который идёт с зарубежных VPS.

Дальше подключите второй слой: запрет не-браузерных User-Agent на тех же путях. Достаточно регулярки вида if ($http_user_agent !~* (Mozilla|Opera|YaBrowser|Edg)) { return 403; } внутри location /manager/. После включения обоих правил посмотрите на счётчик 403 в логах за сутки: если он упал в разы, а легитимные входы в админку остались, значит фильтрация работает. Если вы не хотите трогать конфиги сервера, тот же результат даёт внешний слой: TrafficVeil как российский аналог Cloudflare объединяет GeoIP-фильтрацию, WAF, защиту от ботов и L7 DDoS, а правила для /manager/ и /connectors/ настраиваются в панели за пару минут. Сервис не тарифицирует ботов, атаки и WAF-блокировки, поэтому всплеск брутфорса не превратится в счёт за трафик. Практический шаг на сегодня: включите GeoIP-правило для админки, добавьте белый список и через 24 часа сверьте статистику. Если атаки продолжатся, добавьте User-Agent-фильтр, а при желании перенесите защиту на внешний L7-периметр и оставьте сервер заниматься сайтом, а не отбиваться от ботов.

author avatar
zetgifari

Copyright @2020, Visa Junction.