Edge Export nutzen (Pro)

Der Edge Export (Pro-Tarif) verwandelt deine aktive Sperrliste in fertige Sperrregeln für deinen Webserver — so werden bekannte Angreifer schon von Apache oder nginx abgewiesen, bevor Shopware überhaupt startet. Das ist ein Bonus, keine Voraussetzung: Das Gate im Shop schützt dich auch ohne Edge Export vollständig. Du findest alles auf dem Reiter Edge Export im Bot-Schutz-Modul; die zugehörigen Einstellungen liegen in der Plugin-Konfiguration auf der Karte Edge Export · Pro. Enthält dein Tarif den Edge Export nicht, steht auf der Seite der Hinweis, dass er nicht enthalten ist, mit einem Verweis auf die Tarife in den Lizenz-Einstellungen; die Karte in der Konfiguration ist dann gesperrt.

Die Edge-Export-Seite

Die Seite zeigt die Regeln für Apache (.htaccess) und nginx in zwei Panels — jeweils mit Kopieren und Herunterladen. Über den Panels siehst du die Anzahl der Einträge, den Generierungszeitpunkt und die Blockgröße in Zeilen; wird der Block groß, weist dich ein Hinweis auf die CIDR-Aggregierung weiter unten hin. Exportiert werden nur aktive, durchgesetzte Sperren: Abgelaufene Einträge, Beobachten-Einträge und alles, was auf der Freigabeliste steht, taucht nie in den Regeln auf.

Apache: Anwenden und Entfernen

Der Apache-Block ist durch Markierungen (# BEGIN CoeBotShield (managed) … # END CoeBotShield) gekennzeichnet und schließt die Pfade admin und api grundsätzlich aus — du kannst dich also nie aus deinem eigenen Backend aussperren. Voraussetzung ist, dass Apache die .htaccess überhaupt auswertet (AllowOverride; ein 500-Fehler mit Require not allowed here nach dem Anwenden zeigt, dass das der Hoster freischalten muss).

• Anwenden schreibt den Block in die public/.htaccess deines Shops (oder in den unter Abweichender .htaccess-Pfad konfigurierten Pfad, der innerhalb des Projektverzeichnisses liegen muss). Vor jedem Schreiben legt das Plugin ein Backup der Datei an.
• Entfernen nimmt den verwalteten Block wieder heraus — das funktioniert immer, auch ohne Freischaltung.
• Automatisches Schreiben für Apache erlauben (Standard: aus) ist der Hauptschalter: Ohne ihn schreibt das Plugin niemals in deine .htaccess. Ist er aktiv, hält zusätzlich ein geplanter Lauf (alle 10 Minuten) den Block automatisch aktuell — neue Sperren kommen hinein, abgelaufene verschwinden, ohne dass du „Anwenden" klickst.

Backups werden vor jedem Anwenden und Entfernen angelegt und nach der Aufbewahrungsdauer der Backups (Standard: 90 Tage) automatisch gelöscht. Das Speicherverzeichnis der Backups ist nur für Besitzer und Gruppe zugänglich; ein von einer älteren Version für alle beschreibbar angelegtes Verzeichnis schränkt das Plugin beim nächsten Schreiben der .htaccess entsprechend ein. Ist dieses Verzeichnis ein symbolischer Link oder gehört einem anderen Systembenutzer, schreibt das Plugin die .htaccess nicht und protokolliert einen Hinweis im Shop-Log.

Nicht im Export: Automatische Sperren für Googlebot- oder Bingbot-Zugriffe, deren DNS-Prüfung noch aussteht (siehe Häufige Fragen), schreibt das Plugin nicht in die Regeln — der Webserver prüft keine Crawler per DNS. Diese Sperren wirken nur im Shop, wo der Crawler erneut geprüft wird.

nginx: manuell einbinden

nginx kennt keine .htaccess — hier ist der Export immer manuell:

1. Kopiere das nginx-Panel in eine Datei, z. B. /etc/nginx/coebotshield-deny.conf.
2. Binde sie nur im location-Block deiner Storefront per include ein — niemals im Admin- oder API-Block.
3. Lade nginx neu (nginx -s reload), sonst bleibt die Änderung wirkungslos.

CIDR-Aggregierung

Viele gesperrte Einzel-IPs aus demselben Netz fasst die Aggregierung zu Bereichsregeln zusammen — das hält den Block klein und schnell:

• /24-Schwellenwert (Standard 4): Ab so vielen gesperrten IPs in einem /24-Netz wird das ganze Netz gesperrt. Auf 1 setzen zum Deaktivieren.
• /24-Schwellenwert für Rechenzentren (Standard 2): Rein maschinelle Rechenzentrums- und Hosting-Netze werden früher zusammengefasst; Verbraucher-Netze behalten die vorsichtige allgemeine Schwelle.
• /16-Schwellenwert (Standard 0 = deaktiviert): Fasst /24-Aggregate weiter zu einem /16 zusammen.

Schutz vor Über-Sperrung: Bei aktiver Netzwerktyp-Unterscheidung (Standard) gilt die /24-Zusammenfassung nur für Rechenzentrums- und Hosting-Netze — Verbraucher- und unbekannte Netze werden unabhängig vom Schwellenwert nie zu einem /24 zusammengefasst. Erst wenn du die Differenzierung abschaltest, gilt der Schwellenwert für alle Netze.

Kommandozeile

Für Deployment, Cron und den Notfall (etwa wenn die Administration nicht erreichbar ist) gibt es ein Kommando:

php bin/console coe:bot-shield:edge-export --dry-run   # Block nur anzeigen
php bin/console coe:bot-shield:edge-export --apply     # in die .htaccess schreiben (Hauptschalter nötig)
php bin/console coe:bot-shield:edge-export --remove    # verwalteten Block entfernen

Das Kommando liest vor jedem Export den aktuellen Stand der Sperrliste frisch ein — auch wenn Einträge außerhalb der Admin-Oberfläche geändert wurden — und meldet ehrlich Written. bzw. Unchanged., statt immer „geschrieben" zu behaupten.