Сканеры и DDoS не ломают воронку сразу — они находят слабый край

Если лендинг, трекер и админка торчат в сеть без фильтров — это витрина для ботов. База: закрыть лишние порты, SSH только по ключам и allowlist, панели — за VPN или bastion. В инфраструктуре нет мелочей, есть только точки отказа.

— На входе держите CDN/WAF с rate limit по URI, стране, ASN и user-agent.
— Origin не светим: firewall принимает трафик только от прокси.
— Клоаку, трекер и ленды лучше разделять, чтобы удар по одному узлу не гасил весь залив.
— Логи выносите отдельно: при атаке они нужны для правил, а не для археологии.

DDoS-фильтр без теста — декорация. Проверьте, что health-check не ведет на приватные урлы, лимиты не режут постбеки, а failover переключает трафик без ручного шаманства.

Публичным должен быть только слой, готовый принимать мусор. Остальное — за фильтрами, списками доступа и резервным маршрутом. Стабильность — это фундамент вашего ROI.