Häufige Fragen und Grenzen

Werden Google und andere Suchmaschinen auch gesperrt?

Nein. Verifizierte Crawler (Googlebot, Bingbot, Applebot, DuckDuckBot und Yandex) erkennt das Plugin an ihrer Kennung plus einer Rückwärts-DNS-Prüfung gegen die echten Crawler-Adressen und lässt sie immer durch — auch wenn sie ein Tempo-Limit reißen würden. Die Prüfung gilt für IPv4- und IPv6-Adressen. Ein Bot, der sich nur als Googlebot ausgibt, fällt durch diese Prüfung und bleibt draußen. Damit Fälschungen mit wechselnden Adressen keine Flut von DNS-Abfragen auslösen, prüft das Plugin pro Minute nur eine begrenzte Zahl noch unbekannter Crawler-Adressen neu. Jede einzelne DNS-Abfrage bricht nach rund einer Sekunde ab, sodass eine langsame DNS-Antwort keine Anfrage aufhält.

Konnte ein Crawler-Zugriff deshalb nicht rechtzeitig geprüft werden (Abfragelimit erreicht oder DNS-Zeitüberschreitung) und träfe ihn eine Sperre oder die Sicherheitsprüfung, erhält er keine Sperrantwort und keine Rechenaufgabe, sondern eine vorübergehende Antwort „503 – bitte später erneut versuchen“ mit dem Hinweis, nach rund einer Minute wiederzukommen. Beim nächsten Besuch wird er geprüft; ein echter Crawler wird so nicht als unbestätigt eingestuft. Das gilt im Betriebsmodus Durchsetzen — im Modus Beobachten wird nur protokolliert. Ist die Adresse gesperrt und steht die Sicherheitsprüfung zur Verfügung, wird sie direkt angeboten, sodass ein falsch eingeordneter Mensch sofort weiterkommt.

Kann das Plugin die DNS-Konfiguration deines Servers nicht lesen, prüft es wie bisher über den System-Resolver (dann ohne Zeitlimit) und schreibt einen Hinweis ins Shop-Log.

Kann es echte Kunden treffen?

Mehrere Schutzschichten arbeiten dagegen: Kundenkonten mit Bestellhistorie werden von einer Sperre verschont — die Kunden-Verschonung verlangt dafür ein Konto, das alt genug ist und eine abgeschlossene oder bezahlte Bestellung hat, die mindestens 24 Stunden alt ist (einstellbar). Verbraucher-Netze erhalten die Rechenaufgabe statt der harten Sperre — ein echter Besucher kommt damit nach wenigen Sekunden weiter. Und für bekannte Adressen (eigene IPs, Partner, Dienste, geteilte Firmennetze) gibt es die Freigabeliste, die alles schlägt.

Eine weitere Schicht: Automatische Bereichssperren (Flotten-Erkennung, KI-Analyst) greifen nur bei Rechenzentrums- und Hosting-Netzen — Verbraucher- und Mobilfunknetze werden nicht großflächig als /24 gesperrt, und Bereiche auf der Freigabeliste werden nie automatisch gesperrt.

Mit der Schutzstufe Leicht stellst du alle Limits großzügiger ein, wenn deine Kunden sehr schnell klicken oder viele Konten aus einem gemeinsamen Anschluss anlegen.

Warum sehen meine Besucher eine kurze Prüfseite?

Die Sicherheitsprüfung für unbekannte Besucher ist nach dem Update auf 7.1 standardmäßig eingeschaltet und greift im Modus Durchsetzen. Sie läuft in der Regel in weniger als einer Sekunde von selbst durch und erscheint nur einmal pro Sitzung. Besucher ohne JavaScript kommen nicht weiter. Willst du sie nicht nutzen, schaltest du sie auf der Karte Herausforderung · Basic ab.

Warum zeigen Facebook, X und LinkedIn keine Link-Vorschau mehr?

Diese Dienste veröffentlichen nur IP-Bereiche und lassen sich daher nicht wie Suchmaschinen bestätigen. Im Modus Durchsetzen trifft sie die Sicherheitsprüfung. Setze ihre Adressen — und die deines eigenen Monitorings — auf die Freigabeliste.

Was kann der Free-Tarif nicht?

Der Free-Tarif arbeitet mit Tempo-Regeln, der Schutzstufe für den Scraper-Schutz und deinen Listen; automatisch erkannte Bots erhalten die einfache 403-Antwort. Nicht enthalten sind verhaltensbasierte Signaturen, Flotten-Schutz, Rechenaufgabe und Sicherheitsprüfung, Registrierungsschutz, Protokoll und die Gate-Entscheidungen in der Übersicht (Basic) sowie KI-Analyst und Edge Export (Pro). Der Vergleich steht unter Lizenz und Tarife.

Warum wirkt eine geänderte Einstellung nicht sofort?

Das hängt von der Einstellung ab: Der Betriebsmodus, der Registrierungsschutz und die Kunden-Verschonung wirken ab der nächsten Anfrage. Die Werte des Scraper-Schutzes (Limits, Verstöße, Sperrdauer, Schwellwerte) wirken erst nach einem Cache-Leeren — das steht auch am jeweiligen Feld. Schalter der Hintergrundläufe (Flotten-Erkennung, KI-Analyst) greifen beim nächsten geplanten Lauf. Eine Übersicht steht unter Betriebsmodus einstellen.

Warum greift der Schutz im Wartungsmodus nicht?

Befindet sich ein Verkaufskanal im Wartungsmodus, zeigt der Shop zuverlässig die Wartungsseite, und Bot Shield greift dort nicht ein. Mit älteren Versionen konnte der Bot-Schutz auffälligen Besuchern stattdessen seine Prüfseite zeigen; da beide mit „503“ antworten, wirkte der Shop dabei fälschlich gestört.

Die Hintergrundaufgaben scheinen nicht zu laufen — was tun?

Starte den Message-Consumer neu (nach Installation und jedem Update nötig) und lade PHP bzw. den OPcache neu; Details unter Installation. Prüfe außerdem, dass der Scheduled-Task-Runner deines Shops läuft — ohne ihn bleibt auch der Tarifabgleich aus. Das Plugin registriert mehrere geplante Aufgaben: Signale sammeln, Flotten auswerten, Sperren und Protokoll schreiben (jeweils minütlich), Clean-Flotten auswerten (alle 5 Minuten), KI-Analyst (stündlich), Edge-Export-Sync (alle 10 Minuten), Backup-Bereinigung (wöchentlich) sowie die tägliche Bereinigung von Tempo-Proben, Adressproben und Vorschlagsprotokoll.

Wie prüfe ich, ob Protokoll und Erkennung schreiben?

Mehrere Kommandos grenzen die Pipeline ein:

php bin/console coe:bot-shield:audit:doctor    # prüft die Protokoll-Kette Ende zu Ende
php bin/console coe:bot-shield:signal:doctor   # prüft die Signal-Erfassung der Erkennung
php bin/console coe:bot-shield:config:doctor   # prüft deine Konfiguration und den Tarif
php bin/console coe:bot-shield:stores:doctor   # zeigt die Füllstände der Messdaten-Speicher

Für die Signal-Diagnose aktivierst du vorher den Schalter Signal-Diagnose (Breadcrumb) auf der Karte Signal-Diagnose · Basic — danach wieder deaktivieren, da er pro Anfrage einen Cache-Schreibvorgang verursacht. Der Befehl stores:doctor ist rein lesend: Er zeigt, wie voll die Speicher für Verlaufsdaten, Admin-Vertrauen und Clean-Flotten-Pausen sind und ob eine Obergrenze erreicht wurde.

Schützt das Plugin auch Admin, API und Store-API?

Nein — der Seitenschutz gilt bewusst nur für die Storefront. Admin, Admin-API und Store-API sind ausgenommen, damit weder du noch Integrationen ausgesperrt werden können. Ausnahmen sind die Registrierung und die Bestellung über die Store-API, die der Registrierungsschutz eigenständig prüft. Der Apache-Block des Edge Exports schließt Admin und API zusätzlich ausdrücklich von den Sperrregeln aus. Was der Schutz sonst nicht sieht, steht unter Grenzen des Schutzes.

Wie räume ich alte Einstellungen auf?

Frühere Versionen haben Einstellungen angelegt, die nichts mehr liest. php bin/console coe:bot-shield:config:prune listet sie auf, --apply löscht sie. Sichere vorher die Tabelle system_config. Details unter Installation.

Was passiert mit meinen Daten bei der Deinstallation?

Das entscheidest du: Behältst du die Benutzerdaten, bleiben Sperrliste, Freigabeliste, Protokoll und die Messdaten der Erkennung erhalten. Löschst du sie, entfernt das Plugin alle Datentabellen und die Edge-Export-Backups vollständig.