Verwalte den Bot-Schutz und analysiere den Bot-Traffic mit der Kinsta-API

Du kannst jetzt den Bot-Schutz von Kinsta konfigurieren und detaillierte Analysen zum Bot-Traffic über die Kinsta-API abrufen.

Wir haben 13 neue Endpunkte hinzugefügt, mit denen du Schutzstufen überprüfen und ändern, KI-Crawler blockieren, WordPress-Automatisierungseinstellungen verwalten und benutzerdefinierte Ausnahmeregeln erstellen kannst. Außerdem kannst du Analysen abrufen, die zeigen, wie der Traffic klassifiziert wird, wie Anfragen bearbeitet werden und welche Quellen für die meiste Aktivität verantwortlich sind.

Dank dieser Neuerungen kannst du den Bot-Schutz in deine Website-Verwaltungstools, Überwachungssysteme und automatisierten Workflows integrieren.

Bot-Schutzstufen prüfen und ändern

Über zwei neue Endpunkte kannst du die Bot-Schutzstufe für eine WordPress-Umgebung abrufen und ändern.

Der Endpunkt „Bot-Schutzstufe abrufen“ gibt die aktuelle Konfiguration der Umgebung zurück:

curl --request GET \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/level \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>'

Die folgende Antwort zeigt beispielsweise, dass die Umgebung so konfiguriert ist, dass automatisierter Datentraffic blockiert wird:

{
  "bot_protection": {
    "id": "54fb80af-576c-4fdc-ba4f-b596c83f15a1",
    "level": "block-automations"
  }
}

Du kannst den neuen Endpunkt „Bot-Schutzstufe festlegen“ nutzen, um zwischen vier unterstützten Stufen zu wechseln:

„block-malicious-traffic“ blockiert bekannten bösartigen Traffic als Teil des Basisschutzes von Kinsta.
„block-automations“ blockiert automatisierten und bösartigen Datentraffic.
„challenge-bots“ fordert zudem mutmaßliche Bots und nicht klassifizierten Traffic heraus.
„challenge-everyone“ wendet Herausforderungen auf den gesamten nicht verifizierten Datentraffic an, einschließlich mutmaßlicher menschlicher Besucher.

Wenn auf einer Website beispielsweise vermehrt Scraping oder verdächtige automatisierte Anfragen auftreten, kannst du auf „Challenge-Bots“ umstellen:

curl --request PUT \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/level \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "level": "challenge-bots"
  }'

Die API gibt eine 202-Antwort mit einer Operations-ID zurück:

{
  "message": "Setting a bot protection level in progress. Use the operation_id to check the status.",
  "status": 202,
  "operation_id": "environment:set-bot-protection-level-54fb80af-576c-4fdc-ba4f-b596c83f15a1"
}

Du kannst die zurückgegebene operation_id verwenden, um die Anfrage zu verfolgen, bis die Änderung abgeschlossen ist.

Höhere Schutzstufen können legitime automatisierte Anfragen beeinträchtigen und auf der strengsten Stufe zu Problemen für Besucher führen. Prüfe, wie sich die gewählte Stufe auf den normalen Traffic deiner Website auswirkt, bevor du sie in größerem Umfang anwendest.

KI-Crawler blockieren oder entsperren

Die API bietet außerdem zwei Endpunkte zur Verwaltung der Einstellung „KI-Crawler blockieren“. Mit dem Endpunkt „Blockstatus der KI-Crawler abrufen“ kannst du überprüfen, ob die Blockierung aktiviert ist:

curl --request GET \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/ai-crawlers \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>'

Die Antwort enthält das Feld „ai_crawlers_blocking“, das angibt, ob die Einstellung enabled oder disabled ist.

Um die Einstellung zu ändern, sende eine PUT-Anfrage an denselben Pfad:

curl --request PUT \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/ai-crawlers \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "status": "enabled"
  }'

Wenn du den status auf „enabled“ setzt, werden KI-Crawler blockiert, einschließlich verifizierter Crawler, die Website-Inhalte für KI-Training und ähnliche Zwecke sammeln. Verwende „disabled“, um diese spezifische Einschränkung zu deaktivieren.

Die Einstellung „KI-Crawler blockieren“ von Kinsta blockiert keine herkömmlichen Suchmaschinen-Crawler wie Googlebot und Bingbot, keine KI-Such-Crawler wie OAI-SearchBot und keine vom Nutzer initiierten KI-Agenten wie ChatGPT-User. Anfragen von diesen Quellen können jedoch unter strengeren Schutzstufen weiterhin geprüft werden, wenn sie übermäßiges Verhalten zeigen.

So hast du eine separate Kontrollmöglichkeit für die automatisierte KI-Inhaltserfassung, ohne die allgemeine Schutzstufe deiner Website zu ändern.

Die vollständigen Details zu Anfragen und Antworten findest du in der API-Dokumentation zum Blockieren oder Entsperren von KI-Crawlern.

WordPress-Automatisierungen steuern

Einige WordPress-Funktionen und -Integrationen basieren auf automatisierten Anfragen an deine Website. Dazu können externe Dienste gehören, die auf die WordPress-REST-API zugreifen, Plugins, die Daten mit Drittanbieterdiensten austauschen, oder Automatisierungsplattformen, die Webhooks senden.

Über zwei neue Endpunkte kannst du überprüfen und steuern, ob typische WordPress-Automatisierungen durch den Bot-Schutz zugelassen sind.

Der Endpunkt „Status der WP-Automatisierungen erhalten“ gibt die aktuelle Einstellung zurück:

{
  "bot_protection": {
    "id": "54fb80af-576c-4fdc-ba4f-b596c83f15a1",
    "wp_automations": "enabled"
  }
}

Du kannst dann den Endpunkt „WP-Automatisierungen zulassen oder blockieren“ verwenden, um die Einstellung zu ändern. Die folgende Anfrage aktiviert beispielsweise die Zulassung typischer WordPress-Automatisierungen:

curl --request PUT \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/wp-automations \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "status": "enabled"
  }'

Die Anfrage gibt eine Operations-ID zurück, mit der du die Änderung nachverfolgen kannst. Diese Einstellung nutzt eine von Kinsta verwaltete Zulassungsliste mit gängigen WordPress-Endpunkten und -Diensten. Das kann hilfreich sein, wenn ein strengerer Bot-Schutz eine externe Integration oder einen automatisierten Prozess beeinträchtigt, auf den deine Website angewiesen ist.

Anfragen, die aus dem eigenen Container der Website oder der von Kinsta verwalteten internen Infrastruktur stammen, sind bereits zugelassen, sodass normale interne WordPress-Aufgaben von dieser Einstellung nicht betroffen sind.

Ausnahmen für den Bot-Schutz hinzufügen, abrufen und entfernen

Manchmal benötigst du spezifischere Regeln, als sie eine allgemeine Schutzstufe bietet. Beispielsweise möchtest du vielleicht Anfragen von einem vertrauenswürdigen Überwachungsdienst zulassen, während du anderen automatisierten Datentraffic weiterhin einer Überprüfung unterziehst.

Mit drei neuen Endpunkten kannst du Bot-Schutz-Ausnahmen für einzelne WordPress-Umgebungen verwalten.

Du kannst eine Ausnahme über den Endpunkt „Bot-Schutz-Ausnahmeregel hinzufügen“ erstellen. Jede Regel hat drei Pflichtfelder:

„type“ gibt an, worauf abgeglichen werden soll: „ip“, „path“, „user_agent“ oder „country“.
action legt fest, was mit dem übereinstimmenden Datentraffic geschieht: skip, challenge oder block.
„value“ enthält die IP-Adresse, den Pfad, den User-Agent oder das Land, auf das abgeglichen werden soll.

Die folgende Anfrage fügt beispielsweise eine Ausnahme hinzu, die es Anfragen von einer vertrauenswürdigen IP-Adresse erlaubt, die Bot-Schutzregeln zu umgehen:

curl --request POST \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/exception-rules \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "type": "ip",
    "action": "skip",
    "value": "192.0.2.1"
  }'

Die API gibt eine Vorgangs-ID zurück, wenn sie die Anfrage akzeptiert. Um die konfigurierten Ausnahmen einzusehen, verwende den Endpunkt „Bot-Schutz-Ausnahmeregeln abrufen“:

curl --request GET \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/exception-rules \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>'

Die Antwort listet die Regeln auf, einschließlich ihrer IDs, der übereinstimmenden Werte und der Aktionen:

{
  "bot_protection": {
    "id": "54fb80af-576c-4fdc-ba4f-b596c83f15a1",
    "exception_rules": [
      {
        "id": "ip:skip:192.0.2.1",
        "type": "ip",
        "action": "skip",
        "value": "192.0.2.1"
      }
    ],
    "has_custom_waf_rules": false
  }
}

Du kannst die Regel-ID mit dem neuen Endpunkt „Ausnahmeregel für den Bot-Schutz entfernen“ verwenden:

curl --request DELETE \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/exception-rules \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "exception_rule_id": "ip:skip:192.0.2.1"
  }'

Ausnahmen gelten für einzelne Umgebungen, daher gilt eine für eine Staging-Umgebung erstellte Regel nicht automatisch für die Produktion.

Die „skip“-Aktion umgeht die Bot-Schutzregeln, hebt jedoch nicht die zugrunde liegende Plattformsicherheit oder den Schwachstellenschutz von Kinsta auf.

Analysiere den Bot-Traffic über die API

Neben den neun Endpunkten für die Verwaltung des Bot-Schutzes haben wir dem Bereich „Analytics“ vier weitere Endpunkte hinzugefügt.

Diese liefern Daten zu den Anfragen, die auf deiner Website eingehen, wie Kinsta diesen Datentraffic klassifiziert und was mit diesen Anfragen geschieht, nachdem der Bot-Schutz sie ausgewertet hat.

Sieh dir an, wie der Bot-Schutz den eingehenden Traffic verarbeitet

Der neue Endpunkt „Bot-Traffic abrufen“ gibt die Gesamtzahl der Anfragen nach Datentrafficklassifizierung und Schutz-Ergebnis zurück.

Damit kannst du sehen, wie viele Anfragen als „wahrscheinlich Menschen“, „wahrscheinlich Bots“, „KI-Crawler“ oder andere Datentrafficstypen klassifiziert wurden und wie viele zugelassen, abgefragt oder blockiert wurden.

Die folgende Anfrage ruft beispielsweise Daten für die letzten 30 Tage ab:

curl --request GET \
  --url 'https://api.kinsta.com/v2/sites/environments/{env_id}/analytics/bot-protection/traffic-flow?company_id={company_id}&time_span=30_days' \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>'

Die Antwort enthält drei Hauptabschnitte innerhalb von „traffic_flow“: „traffic_types“, „results“ und „flows“. Das „flows“-Objekt verknüpft jede Datentrafficsklassifizierung mit den entsprechenden Schutz-Ergebnissen.

So kannst du sehen, was mit dem Traffic passiert ist, anstatt nur die Gesamtzahl der blockierten Anfragen zu betrachten.

Verfolge den Bot-Datentraffic und die Schutzergebnisse im Zeitverlauf

Zwei zusätzliche Endpunkte bieten Zeitreihenanalysen:

„Bot-Traffic-Anfragen im Zeitverlauf abrufen“ gibt die Anzahl der Anfragen zurück, gruppiert nach Traffic-Klassifizierung.
„Bot-Schutz-Ergebnisse im Zeitverlauf abrufen“ gibt die Anzahl der zugelassenen, überprüften oder blockierten Anfragen im ausgewählten Zeitraum zurück.

Beide liefern stündliche Daten, wenn „time_span“ auf „24_hours“ gesetzt ist, und tägliche Daten für längere Zeiträume.

Der Endpunkt „requests-over-time“ liefert beispielsweise Daten in diesem Format:

{
  "analytics": {
    "requests_over_time": [
      {
        "traffic_type": "likely_humans",
        "label": "Likely humans",
        "total": 10572,
        "timeline": [
          {
            "date": "2026-09-14T00:00:00.000Z",
            "requests": 5286
          }
        ]
      }
    ]
  }
}

Diese Daten können dir helfen, ungewöhnliche Anstiege im Datentraffic zu untersuchen und festzustellen, ob Änderungen an den Bot-Schutz-Einstellungen die Anzahl der angefochtenen oder blockierten Anfragen beeinflussen.

Die wichtigsten Quellen des Bot-Traffics identifizieren

Der neue Endpunkt „Bot-Traffic-Aufschlüsselung anzeigen“ liefert detailliertere Informationen zu den Quellen hinter jeder Traffic-Klassifizierung. Er gibt die am häufigsten angeforderten Pfade, User-Agents, Länder und IP-Adressen zusammen mit deren Anforderungszahlen zurück.

Wenn deine Website beispielsweise einen plötzlichen Anstieg automatisierter Anfragen verzeichnet, kannst du überprüfen, ob sich diese Anfragen auf /wp-login.php, einen bestimmten API-Pfad oder bestimmte IP-Adressen konzentrieren.

Der Endpunkt gibt die Informationen unter „analytics.top_requests_breakdown“ zurück, mit separaten Arrays „top_paths“, „top_user_agents“, „top_countries“ und „top_ips“ für jede Traffic-Kategorie.

Alle vier neuen Analytics-Endpunkte unterstützen „24_hours“, „7_days“, „30_days“ und „60_days“, wobei „7_days“ als Standard eingestellt ist. Du kannst auch die optionalen Parameter „from“ und „to“ verwenden, um einen benutzerdefinierten Datumsbereich abzufragen. Jede Anfrage erfordert den Abfrageparameter „company_id“.

Integriere den Bot-Schutz in deine Website-Management-Workflows

Mit diesen Endpunkten kannst du Bot-Schutz-Einstellungen zusammen mit anderen Aufgaben integrieren, die über die Kinsta-API verwaltet werden.

Beispielsweise kann ein Überwachungstool bei einem Traffic-Anstieg Analysen zum Bot-Traffic abrufen, während ein internes Managementsystem den aktuellen Schutzstatus einer Umgebung überprüfen und bei Bedarf eine andere Einstellung anwenden kann. Du kannst außerdem Ausnahmen für vertrauenswürdige Dienste verwalten, ohne jede Umgebung manuell konfigurieren zu müssen.

Die vollständigen Formate für Anfragen und Antworten findest du in der WordPress-Bot-Schutz-API-Referenz und in der Kinsta-API-Analytics-Dokumentation.