Ein XenForo Add-on zur Bot-Abwehr klingt nach einer einfachen Lösung - zunächst, hat aber einen entscheidenden Nachteil: Es greift erst, wenn die Anfrage bereits bei XenForo angekommen ist.
Architektonisch ist das natürlich nicht optimal. Das ist auch nicht neu sondern steht bereits mehrfach hier im Thread. Die Frage ist, wie praxisrelevant das im Einzelfall ist.
Bis dahin hat der Server schon einiges an Arbeit geleistet. Die Anfrage wurde vom Webserver verarbeitet, PHP gestartet und Teile von XF geladen. Das kostet Rechenleistung, Arbeitsspeicher und vor allem wertvolle PHP Prozesse.
Bei wenigen Bots fällt das kaum ins Gewicht. Wenn aber hunderte oder tausende Anfragen gleichzeitig eintreffen, können diese Prozesse schnell ausgelastet sein. Das Ergebnis: Das Forum wird langsam oder ist im schlimmsten Fall nicht mehr erreichbar obwohl das Add-on die Bots erfolgreich blockiert!
Hast Du denn Erfahrungen mit Bot Guard? Hört sich nicht so an. Das ist also Mäkeln auf Basis grauer Theorie. Das Add On geht ziemlich sparsam mit Ressourcen um. Natürlich schützt es nicht gegen DDOS - das ist aber ja auch gar nicht das Ziel. Wer sich dagegen schützen will sollte Cloudflare oder Änliche Lösungen nutzen. Aus der eigenen Erfahrung: Auf meinem etwas performanteren Shared Hosting Account fängt bei ca. 3.000 Anfragen/Minute XF an merkbar langsamer zu werden, funktioniert aber noch im zumutbaren Bereich. Das war eine Botwelle aus dem Rechenzentrum von Hetzner zu einem Zeitpunkt, bevor ich IP Threat Monitor installiert hatte. Ohne IP Threat Monitor sind die Anfargen alle auf XF durchgeschlagen und mussten entsprechend bedient werden. Mit IP Threat Monitor werden diese Anfragen nahezu komplett vorher abgefangen und zwar im Vergleich deutlich ressourcenschonender. Vergleichbare Peaks hatten keinen Effekt auf die Seitenperformance.
Jetzt gibt es natürlich noch deutlich grössere Wellen und irgendwann kommen aus einem shared hosting so oder so Rauchwölkchen. Die Frage ist also, wovor Du Dich schützen möchtest und welchen Kompromiss Du dafür bereit bist einzugehen. Cloudflare kann guten Schutz bieten, die Konfiguration ist aber komplex, Du lässt eine amerikanische Firma die Verschlüsselung zwischen User und Forum brechen, CF selbst explodiert bekanntlich auch immer mal wieder und dann ist da noch das CF Problem mit der deutschen Telekom... Zudem ist der Schutz eben verlässlich gegen Load, aber nur begrenzt verlässlich gegen Inhaltsklau und CF ist am Ende eine große Blackbox, die Du vor das Forum hängst.
Deshalb ist es wesentlich sinnvoller, unerwünschte Anfragen möglichst früh abzufangen,
Natürlich, architektonisch ist das sinnvoll. Übrigens nicht nur wegen Load. Es ist immer Problematisch, wenn eine Schutzsoftware auf dem zu schützenden System selbst läuft. D.h. konzeptionell sind aus security architektonischen Aspekten eine Firewall auf dem Server oder Nginx nicht wirklich dramatisch besser als ein Add On, auch wenn sie performancevorteile bieten.
Ein AddOn hat dafür den unschlagbaren Vorteil, dass es Forenmitglieder erkennen kann und auch was über die Inhalte des Forums weiss. Dinge, bei denen Deine Lösungen dumm dastehen.
Wie gesagt: Machen kann man das alles und alles hat seine Vor- und Nachteile. So, wie Du das beschreibst ist das aber noch nicht mal die halbe Wahrheit.
beispielsweise über die Firewall, nginx oder einen vorgeschalteten Botschutz wie Anubis. So erreichen viele dieser Anfragen XF erst gar nicht und verbrauchen auch keine PHP-Ressourcen.
Kann man alles machen, ist für jemanden, der shared Hosting nutzt, aber keine Option. Um den ganzen Kram ordentlich zu konfigurieren muss ein wenig mindestens halbsolides IT-Wissen vorhanden sein und das haben viele Forenbetreiber nicht (und wollen es auch nicht erwerben). Die Frage ist, ob das nötig ist. Man kann auch mit dem Sattelschlepper zum Bäcker fahren, falls man mal mehr Brötchen kaufen möchte. Für die meisten ist das Overkill.
Ein Add-On kann durchaus eine sinnvolle Ergänzung sein, etwa beim Schutz vor Spam oder unerwünschten Registrierungen. Als Schutz gegen massenhaften Bot-Traffic ist es aber die falsche Stelle und unwirksam.
Das ist schlicht kompletter Blödsinn. Ich mache das schon eine ganze Weile und es funktioniert wunderbar. Offenbar sogar besser, als bei vielen die Variante über Cloudflare, wenn man den entsprechenden Thread drüben mit liest. Du scheinst auch zu den Leuten zu gehören, die Bot-Traffic ausschliesslich mit "Load" gleichsetzen und dabei das Ziel, Scrapen zu verhindern zwecks Vermeiden von Contentklau und Schutz der Privatsphäre der Forenmitglieder komplett zu ignorieren.
Vereinfacht gesagt: Es ist effizienter, unerwünschte Besucher bereits an der Eingangstür abzuweisen, als sie erst durch das ganze Haus laufen zu lassen, um ihnen dann zu sagen, dass sie nicht willkommen sind.
Schlechte Metapher. Du willst potentielle Besucher schon am Flughafen in einem anderen Land abweisen oder allerspätestens am Ortsschild. Im Normalfall reicht Abweisen am Gartentor oder der Haustür und das ist deutlich einfacher umzusetzen.
