Тильда и боты: защита сайта от спама, парсинга и слива рекламы

Вы когда-нибудь замечали, что после запуска рекламы на Тильду заявок становится много, а продаж - ноль? Поздравляю, ваш сайт посетили не клиенты, а боты. Они могут имитировать заполнение форм, кликать по объявлениям, воровать контент. И самое обидное: Тильда не даёт вам доступа к серверу, чтобы настроить фаервол. Придётся изворачиваться.

В этом материале я разложу по полочкам все доступные способы защиты сайта на Tilda. От встроенных капч и honeypot до подключения Cloudflare, KillBot и даже кастомных скриптов.

Почему Тильда стала раем для ботов (и причём тут бэкенд)

Тильда - это конструктор, который работает по модели SaaS. Вы не арендуете хостинг, не размещаете на нем код сайта, - вы просто пользуетесь готовой платформой (в которой все это включено, но вы не хозяин, вы арендатор). У вас нет доступа к файлам .htaccess, нет возможности поставить свой WAF, нет даже права менять HTTP-заголовки на своё усмотрение. Формы отправляются напрямую на сервера Tilda, и вы не можете вклиниться в этот процесс со своим PHP-скриптом. Это идеальные условия для ботов: цель есть, защиты нет.

Tilda использует именно такие имена по умолчанию. Угадайте, с какой вероятностью бот отправит сообщение? Очень высокой.

В 2025–2026 годах эксперты по кибербезопасности зафиксировали рост спам-атак на конструкторы сайтов. Тильда - в топе, потому что у неё огромная база клиентов, многие из которых даже не подозревают о необходимости защиты. Хорошая новость: защитить свой проект всё же можно, если действовать грамотно.

Базовые настройки самой Тильды: не пропустите этот шаг

Прежде чем лезть во внешние сервисы, зайдите в настройки вашего сайта. Путь: "Настройки сайта" → "Формы" → "Общие настройки форм" → "Защита от спама". Тильда предлагает четыре уровня: "Слабая", "Стандартная", "Усиленная", "Агрессивная". Разница - в частоте показа капчи.

Капча на Тильде - это reCAPTCHA от Google. В режиме "Стандарт" она появляется только после двух неудачных отправок с одного IP. Бот может отправить два письма - это уже плохо. В "Усиленном" - после первой же отправки, но не каждый раз. "Агрессивный" - капча при каждой отправке. Самый надёжный вариант - "Агрессивный", но он бесит реальных клиентов. Компромисс: "Усиленный" + honeypot.

Также вы можете подключить Google reCAPTCHA v3. Это невидимая капча, которая анализирует поведение пользователя и возвращает оценку (от 0 до 1). Серверы Tilda умеют её обрабатывать, но для настройки нужно добавить ключи сайта и секретный ключ. Инструкция в документации Tilda. Мой опыт: reCAPTCHA v3 отсекает около 70% ботов, не раздражая людей.

Кроме того, есть кнопка "Отметить как спам" в админке форм. Если вы получили заявку от явного бота, нажмите на неё - IP отправителя попадёт в чёрный список Tilda.

Honeypot: ставим ловушку, которую бот не заметит

Honeypot - это скрытое поле в форме. Человек его не видит и не заполняет, а бот, который пытается заполнить все поля, часто его заполняет. Если после отправки поле не пустое - это бот. В отличие от капчи, honeypot не раздражает пользователей.

Как добавить honeypot на Тильду:

1. В редакторе Zero Block добавьте в форму новое текстовое поле. Назовите его, например, lastname или website. Не используйте слово "email" или "url" - боты могут его игнорировать. Лучше нейтральное.
2. Откройте раздел "Настройки сайта" → "Ещё" → "Пользовательские CSS-стили". Вставьте следующий код, чтобы скрыть поле, но оставить его в DOM:

3. Сохраните изменения и опубликуйте сайт. Теперь все заявки, в которых поле lastname не пустое, - спам. Вы можете настроить фильтр в почте или CRM, чтобы такие письма сразу удалялись или помечались как спам.

Cloudflare как DNS сервер

Cloudflare действительно может защитить сайт на Тильде от ботов и DDoS, но только при включенном проксировании (оранжевое облачко). Так как Cloudflare блокируется в РФ, то будем рассматривать Cloudflare только как отдельный DNS сервер с возможностью управления А записями домена.

Что даёт Cloudflare в таком случае (даже в бесплатном тарифе):

• DNS-записи с очень низким TTL (можно быстро менять, если что-то пойдёт не так).
• Включение DNSSEC для защиты от подмены DNS.
• Возможность на время активировать прокси и опции фильрации, если что-то пойдет не так.

Как подключить Cloudflare к Тильде (без проксирования):

1. Зарегистрируйтесь в Cloudflare
2. Добавьте сайт.
3. Cloudflare просканирует ваши DNS-записи. Для Тильды там должны быть A-запись на IP Тильды (например, 185.215.4.40) и CNAME для www.
4. В настройках DNS-записи убедитесь, что стоят серые облачка (только DNS, без прокси).
5. Смените NS-серверы у регистратора домена на те, которые даст Cloudflare.

KillBot: профильная защита от поведенческих ботов

Теперь о самом интересном.

Подключить KillBot к Тильде можно двумя способами.

Способ 1. JS-интеграция (подходит для всех, но не даёт 100% защиты). Вы добавляете на сайт скрипт, который собирает данные о посетителях и отправляет их в KillBot. Система будет фильтровать лишь часть ботов, но это лучше, чем ничего.

Разместить код можно через блок HTML на Тильде (Zero Block).

Способ 2. DNS-интеграция (рекомендуется). Вы перенаправляете трафик своего домена на фильтрующие узлы KillBot. Вся магия происходит до загрузки сайта. Бот даже не увидит вашу настоящую страницу - он получит чистый 403 или капчу. Для этого нужно:

1. В личном кабинете KillBot выбрать опцию "DNS Экран".
2. Выбрать один из общих фильтрующих серверов KillBot.
3. Заменить A-запись у вашего регистратора домена (или в Cloudflare, если вы используете его как DNS).

Защита от парсинга и копирования контента

Парсинг - это когда специальные боты скачивают все страницы вашего сайта, тексты и картинки, чтобы потом их опубликовать на своих сайтах-однодневках. Зачем им это? SEO: копируют чужой уникальный контент, чтобы поднять позиции. Вы теряете уникальность и поиск может понизить вас.

• Что можно сделать на Тильде:
• Включить защиту контента от копирования. В настройках блогов и статей есть галочка "Защитить контент от копирования". Она блокирует выделение текста и правую кнопку мыши. От простых копипастеров сработает, от парсера - нет.
• Добавить водяные знаки на изображения (рекомендуется даже для карточек товаров).
• Подключить KillBot в режиме DNS-экрана - он отсечёт парсеров на входе, не давая им даже загрузить главную страницу.

Защита от скликивания рекламы (click fraud)

Скликивание - это когда боты кликают по вашей контекстной рекламе, имитируя заинтересованного пользователя. Вы платите за клик, а толку ноль.

Как защититься на Тильде:

• Передавать в Яндекс.Метрику данные о ботах, чтобы скорректировать ставки. KillBot, например, позволяет создать сегмент ботов и исключить его из таргетинга.
• Анализировать скликивания через специализированные сервисы наподобие Ботфактора. Правда, нужно помнить, что с фильтрацией поведенческих ботов он справляется так себе.

KillBot в DNS-режиме эффективно заблокирует ботов ещё на подходе к сайту (для стратегий с оплатой за действие). Для стратегий за клик требуется более тонкая настройка, поэтому лучше проконсультироваться со специалистом.

Чего делать нельзя: грубые ошибки, которые усугубят проблему

Несколько популярных, но бесполезных или даже вредных советов:

• Скрывать форму за кнопкой "Показать". Боты легко читают DOM, они увидят форму даже в свернутом состоянии.
• Писать защиту целиком на JavaScript без серверной проверки. Бот может отправить запрос напрямую на сервер Тильды, минуя ваш JS.
• Пытаться редактировать .htaccess или файлы сервера Тильды. Тильда - это SaaS, у вас нет доступа к файловой системе. Не верьте курсам, которые обещают "открыть доступ".
• Надеяться только на капчу. Современные боты решают reCAPTCHA через сервисы распознавания (цена 0,5-2 доллара за 1000 решений).
• Блокировать IP из "плохих стран" без анализа. Вы потеряете легитимных покупателей.

Итоговый чек-лист: что сделать в ближайшие дни

Собрал все шаги в один список, чтобы вы могли действовать по порядку.

1. Включите "Усиленную" или "Агрессивную" защиту в настройках форм Тильды.
2. Добавьте honeypot в критически важные формы (обратная связь, заявка, подписка).
3. Настройте Cloudflare в режиме DNS без прокси.
4. Подключите KillBot в DNS-режиме (самый радикальный вариант) или хотя бы JS-интеграцию.
5. Для защиты от скликивания передайте аудиторию ботов в рекламный кабинет.
6. Периодически проверяйте логи: откуда приходят заявки, какие IP повторяются.

Тема защиты от ботов на Тильде становится всё острее. Конструктор популярен, и злоумышленники это знают. Но и методов обороны достаточно. Не ленитесь настраивать свой сайт, и результат не заставит себя ждать.