Il traffico dei bot non è più solo un problema secondario per chi gestisce siti WordPress. Nel nostro report sul traffico AI e bot, abbiamo analizzato oltre 10 miliardi di richieste sull’infrastruttura gestita da Kinsta e abbiamo scoperto che il traffico automatizzato è ormai un problema infrastrutturale, non solo una nota a margine in materia di sicurezza o analisi dei dati.
I crawler colpiscono endpoint dinamici, rimangono intrappolati in loop di stringhe di query, aggirano la cache e creano schemi di traffico che assomigliano meno a una normale indicizzazione e più a un’automazione malfunzionante su larga scala.
Questo cambiamento ha reso la protezione dai bot una parte importante della gestione di un sito WordPress. È anche il motivo per cui abbiamo lanciato Protezione bot di Kinsta, uno strumento integrato che aiuta i proprietari di siti WordPress a identificare e gestire il traffico automatizzato indesiderato direttamente da MyKinsta.
Ma se usi già Cloudflare, forse ti starai chiedendo come si inserisca in tutto questo la protezione dai bot di Kinsta. È la stessa cosa della modalità “Bot Fight” di Cloudflare? Bisogna usarle entrambe? Una sostituisce l’altra? E se gestisci il tuo account Cloudflare come scudo per il tuo sito, cosa succede quando attivi anche la protezione di Kinsta?
Abbiamo ricevuto tantissime domande proprio su questi argomenti durante il nostro recente webinar “Tutta la verità sul traffico bot”, quindi questo post risponde direttamente a queste domande, con il contributo di Laszlo Farkas, il nostro Director of Engineering.
TL;DR
- Protezione bot di Kinsta non è semplicemente la modalità “Bot Fight” di Cloudflare con l’etichetta Kinsta. Utilizza le funzionalità di rilevamento e verifica dei bot di Cloudflare, ma aggiunge le ottimizzazioni specifiche per WordPress di Kinsta e le impostazioni predefinite gestite.
- Per la maggior parte dei siti WordPress ospitati su Kinsta, protezione bot di Kinsta è il punto di partenza migliore. È integrata in MyKinsta, ottimizzata per il traffico WordPress e non richiede di creare o gestire regole personalizzate contro i bot.
- La funzione Bot Management di Cloudflare potrebbe essere più adatta ai team esperti. Se hai bisogno di regole a livello di endpoint, punteggi personalizzati per i bot, indagini forensi approfondite e hai le competenze per gestire le regole in autonomia, Cloudflare ti offre maggiore flessibilità.
- Di solito non è necessario usarli entrambi. Utilizzare strumenti di protezione dai bot che si sovrappongono può creare problemi duplicati o aggiungere attrito per i visitatori reali.
- Il compromesso principale è tra controllo e semplicità operativa. Cloudflare offre ai team più esperti un maggiore controllo. Kinsta offre ai team WordPress una soluzione gestita che funziona subito per la maggior parte dei casi d’uso.
La protezione dai bot di Kinsta e Cloudflare non sono la stessa cosa
Lo stack di hosting di Kinsta si basa su Cloudflare per CDN, WAF e mitigazione DDoS. Non è una cosa che teniamo nascosta.
Protezione bot si basa sulla stessa struttura. Quindi, se la domanda è se la protezione dai bot di Kinsta utilizzi il motore di rilevamento di Cloudflare sotto il suo cofano, la risposta è sì.
Ma “utilizza lo stesso motore” ed “è lo stesso prodotto” non sono la stessa cosa, e confonderle è proprio ciò che crea confusione. Come ha spiegato Laszlo quando glielo abbiamo chiesto direttamente:
Usiamo la stessa infrastruttura di Cloudflare. Abbiamo le stesse conoscenze e le stesse opzioni di Cloudflare, ma disponiamo di una competenza approfondita che ci permette di offrire ai nostri clienti impostazioni predefinite migliori per gestire il traffico WordPress.
Kinsta sovrappone le proprie regole di classificazione all’elenco dei bot di Cloudflare, e questa sovrapposizione fa la differenza nella pratica. Cloudflare assegna a ogni richiesta un punteggio relativo ai bot basato sull’apprendimento automatico compreso tra 1 e 99, dove 1 indica un’alta probabilità che si tratti di un bot, mentre 99 indica che molto probabilmente si tratta di un utente umano. Kinsta usa quel punteggio come dato di partenza, ma ci aggiunge la propria logica, così che un crawler AI che effettua un volume insolitamente elevato di richieste possa essere riclassificato come “crawler AI a frequenza eccessiva” e sottoposto a verifica, anche se l’elenco di Cloudflare lo contrassegna come bot verificato.
Gli strumenti anti-bot di Cloudflare sono progettati per un’ampia gamma di siti web, applicazioni e modelli di traffico. La protezione anti-bot di Kinsta è ottimizzata specificamente per i siti WordPress ospitati su Kinsta, quindi le sue impostazioni predefinite riflettono i modelli di traffico, gli endpoint, le automazioni e le integrazioni di WordPress che vediamo ogni giorno.
Capire le opzioni di protezione dai bot di Cloudflare
Prima di confrontare la protezione anti-bot di Kinsta con quella di Cloudflare, è utile chiarire cosa si intende esattamente per “protezione anti-bot di Cloudflare”, dato che Cloudflare non offre un unico prodotto. Esistono tre livelli, ciascuno con un diverso grado di controllo e complessità operativa.
Modalità Bot Fight di Cloudflare
La modalità Bot Fight è l’opzione più semplice, disponibile come un unico pulsante on/off, ed è inclusa in tutti i piani Cloudflare, compreso quello gratuito. Il suo vantaggio principale è la semplicità: puoi attivarla e ottenere una protezione di base contro i bot senza scrivere una sola regola.
Il compromesso è il controllo. La documentazione di Cloudflare specifica chiaramente che la modalità Bot Fight protegge interi domini e non può essere aggirata o bypassata utilizzando regole WAF personalizzate o Regole di pagina, poiché non viene eseguita affatto sul Ruleset Engine di Cloudflare. In pratica, se la modalità Bot Fight mette in discussione traffico che non volevi fosse messo in discussione, le tue uniche opzioni concrete sono disattivarla del tutto o passare a un piano superiore.
Questo compromesso può essere un problema per i siti WordPress con traffico automatizzato legittimo, come client API, strumenti di monitoraggio, integrazioni di plugin, flussi di pagamento o altri servizi che richiedono un accesso prevedibile.
Modalità Super Bot Fight di Cloudflare
La modalità Super Bot Fight (disponibile nei piani Pro, Business ed Enterprise senza l’add-on Bot Management) ti offre un controllo maggiore rispetto alla semplice opzione on/off. Ti permette di scegliere azioni separate come consentire, verificare o bloccare per ampie categorie di traffico come “sicuramente automatizzato”, “probabilmente automatizzato” e “bot verificati”.
A differenza della modalità “Bot Fight”, questa funziona sul Ruleset Engine, il che significa che puoi usare regole WAF personalizzate con un’azione “Salta” per definire eccezioni per traffico specifico.
Questo controllo aggiuntivo è utile, ma rimane comunque uno strumento di ampio respiro. Non offre il targeting per singolo endpoint né il punteggio granulare dei bot per singola richiesta che invece garantisce Bot Management. Per quel livello di controllo, la stessa Cloudflare consiglia agli utenti di utilizzare Bot Management.
Bot Management di Cloudflare e regole personalizzate
Bot Management è l’opzione più flessibile di Cloudflare, disponibile come add-on Enterprise. Genera un punteggio bot compreso tra 1 e 99 per ogni richiesta e ti permette di intervenire utilizzando le regole personalizzate del WAF o i Workers, facendo riferimento a segnali come punteggio bot, percorso URI, Paese, ASN, intervallo IP, header e user agent.
È qui che Cloudflare diventa davvero potente. Potresti, ad esempio, bloccare le richieste con punteggio basso su una pagina di accesso, lasciando invece inalterato un blog pubblico.
Ma questa flessibilità comporta una vera e propria responsabilità. Devi capire il tuo traffico, creare le regole, verificare la presenza di falsi positivi, monitorare i risultati e continuare a ottimizzare il sistema man mano che il comportamento dei bot cambia.
Dove si inserisce Protezione bot di Kinsta
Protezione bot di Kinsta si colloca a metà strada tra la modalità “Bot Fight” di Cloudflare e la funzione Bot Management di Cloudflare con regole personalizzate. È più specifica per WordPress rispetto a un semplice interruttore on/off, ma non ti chiede di creare e gestire da zero una strategia personalizzata di gestione dei bot.
Invece di partire da punteggi grezzi dei bot, espressioni di regole o logica a livello di endpoint, Protezione bot di Kinsta parte dal contesto dell’hosting WordPress: visitatori normali, crawler di ricerca, crawler AI, monitor di uptime, automazioni WordPress, integrazioni di plugin, attività di e-commerce, flussi di lavoro amministrativi e richieste automatizzate sospette.
Un modo semplice per spiegarlo è:
| Approccio | Cosa ti offre | Cosa ti chiede |
| Modalità Bot Fight di Cloudflare | Ampia mitigazione dei bot | Configurazione minima, ma controllo limitato |
| Protezione bot di Kinsta | Protezione gestita specifica per WordPress | Scegli il giusto livello di protezione e monitora l’impatto |
| Gestione dei bot di Cloudflare | Personalizzazione approfondita | Crea, testa, monitora e gestisci le regole in autonomia |
Cosa aggiunge Kinsta alle funzionalità di Cloudflare
Protezione bot di Kinsta aggiunge un livello gestito specifico per WordPress alle funzionalità di rilevamento e verifica dei bot di Cloudflare. Ecco come funziona nella pratica.
Quattro livelli di protezione invece di un unico interruttore
Protezione bot di Kinsta offre quattro livelli preimpostati, applicati per ogni ambiente:
I quattro livelli sono:
- Blocca traffico dannoso: il livello base applicato a ogni sito Kinsta per impostazione predefinita, senza alcuna configurazione aggiuntiva. Include la mitigazione degli attacchi DDoS e regole globali per gli IP e gli endpoint utilizzati esclusivamente dal traffico dannoso. Da solo, questo livello base filtra in genere circa il 15-20% del traffico chiaramente dannoso prima ancora che raggiunga il tuo sito.
- Blocca automazioni: blocca sia il traffico automatizzato che quello dannoso.
- Verifica bot: blocca il traffico automatizzato e dannoso, poi verifica i potenziali bot e il traffico non classificato.
- Verifica tutti: l’impostazione più rigorosa. Blocca il traffico automatizzato e dannoso e sottopone a verifica sia gli utenti che potrebbero essere umani, sia i bot, sia il traffico non classificato. Da riservare preferibilmente a un sito sotto attacco attivo o a un picco insolito che richiede una mitigazione immediata.
Dato che questi livelli vengono impostati per ogni ambiente, puoi applicare un’impostazione più rigorosa sull’ambiente di produzione mantenendo quella di staging più permissiva, o viceversa.
Una verifica non significa sempre un CAPTCHA visibile. Può trattarsi di un controllo basato sul browser, una convalida in background o un test interattivo. I visitatori umani legittimi in genere superano la verifica con un’interruzione minima o nulla, e una volta che un visitatore supera una verifica, non verrà sottoposto a un’altra verifica per almeno 10 giorni, purché continui a utilizzare lo stesso browser e lo stesso indirizzo IP.
Classificazione del traffico
Le Statistiche di MyKinsta mostrano come è stata classificata ogni richiesta: probabilmente persone, bot verificati, probabilmente bot, traffico non classificato, traffico automatizzato, traffico dannoso e crawler AI con frequenza eccessiva.
Mostra anche come ogni richiesta è stata gestita alla fine, se è stata consentita, sottoposta a verifica o bloccata.
Questa distinzione è importante perché “automatizzato” non significa automaticamente “indesiderato”. Il traffico automatizzato può includere strumenti perfettamente legittimi che non figurano ancora nell’elenco dei bot verificati di nessuno, come integrazioni API personalizzate, monitor di uptime o script di distribuzione.
Un sistema che ragiona solo in termini di “accetta o blocca” è troppo rigido per il modo in cui funzionano effettivamente i siti WordPress.
Una allow list gestita pensata per WordPress
I siti WordPress dipendono da molte attività automatizzate legittime, come le richieste alle API REST, le attività pianificate, le integrazioni dei plugin, l’invio di moduli, gli strumenti SEO, gli strumenti di sincronizzazione e i flussi di lavoro dell’e-commerce.
Se una protezione più rigorosa contro i bot inizia a interferire con una di queste attività, puoi abilitare “Consenti le automazioni tipiche di WordPress”, che attiva l’elenco di autorizzazioni gestito da Kinsta contenente endpoint e servizi WordPress affidabili.
Oppure aggiungi un’eccezione specifica nella sezione “Consenti sempre” utilizzando un indirizzo IP, un percorso o uno user agent.
Non chiediamo a ogni cliente di scoprire da solo quali integrazioni necessitano di protezione dalle regole anti-bot più rigide. L’elenco dei siti autorizzati viene gestito e ampliato per conto tuo.
Un controllo separato per i crawler AI
La gestione dei crawler AI è volutamente separata dal livello di protezione generale perché i crawler AI non sono automaticamente sinonimo di bot dannosi. Alcuni si identificano chiaramente e rispettano i limiti di scansione. Altri creano carico semplicemente scansionando in modo aggressivo o accedendo a percorsi costosi e non memorizzati nella cache.
L’opzione dedicata di Kinsta “Blocca crawler AI” blocca completamente i crawler AI, compresi quelli verificati, senza interferire con i crawler dei motori di ricerca come Googlebot o Bing. È una leva separata proprio perché il traffico dei crawler AI e quello generale dei bot spesso richiedono decisioni diverse.
Controlli in blocco su tutti gli ambienti
Per le agenzie, il traffico dei bot raramente è un problema limitato a un solo sito. Kinsta supporta le azioni in blocco dall’elenco dei siti WordPress, così puoi modificare i livelli di protezione, consentire o bloccare i crawler AI e aggiornare la whitelist delle automazioni di WordPress su più ambienti contemporaneamente, senza dover aprire ogni sito singolarmente.
Supporto da parte di esperti di hosting WordPress
I problemi legati al traffico dei bot raramente sono isolati dal resto dello stack di WordPress. Un picco improvviso potrebbe essere causato da bot dannosi, da un crawler AI, da un’integrazione configurata male, da un conflitto tra plugin, da un’operazione di sincronizzazione di WooCommerce o da una campagna di marketing legittima.
Con la protezione dai bot di Kinsta, il supporto viene fornito dallo stesso team che conosce già il tuo ambiente di hosting, invece di costringerti a mettere in relazione due dashboard separate di due fornitori diversi.
Se stai già usando il tuo account Cloudflare
Questa è la domanda più frequente che ci è stata posta durante il webinar, quindi vale la pena essere precisi al riguardo, piuttosto che liquidarla con un generico “non usare entrambi”.
Riguardo all’utilizzo delle funzionalità anti-bot di Cloudflare (Bot Fight Mode, Super Bot Fight Mode o Bot Management) insieme alla protezione anti-bot di Kinsta, Laszlo ha chiarito che tecnicamente funziona, ma non è una cosa che consiglierebbe:
Tecnicamente funzionano insieme, ma in genere non consiglierei di abilitarle entrambe… Usarle entrambe può anche creare inutili intoppi. Ad esempio, un visitatore potrebbe ritrovarsi a dover superare più verifiche gestite invece di una sola alla sua prima visita.
Interrogato in diretta durante il webinar, il nostro CTO, Daniel Pataki, l’ha spiegato in modo ancora più semplice: “Puoi usarle entrambe, ma non c’è un vero motivo per farlo. È molto più sicuro usare solo l’una o l’altra.” Quindi, in questo scenario, lo svantaggio è rappresentato da attrito e verifiche ridondanti per i visitatori reali, non da una configurazione non funzionante.
Inoltre, non ti consigliamo di inserire un altro CDN, un proxy inverso o un WAF davanti al tuo sito insieme alla protezione bot di Kinsta. Questo include il tuo account Cloudflare, se sta gestendo attivamente il traffico tramite proxy con le funzionalità WAF o anti-bot attivate, così come altri servizi come AWS, Microsoft Azure, Sucuri o Fortinet che fungono da proxy inversi. Quando qualcos’altro si frappone al tuo traffico e lo gestisce per primo, Kinsta non riesce più a vedere la vera origine di ogni richiesta, il che significa che la protezione anti-bot non può distinguere in modo affidabile il traffico automatizzato da quello umano.
Se al momento stai utilizzando il tuo account Cloudflare con regole personalizzate per i bot o il WAF davanti a un sito Kinsta e non sei sicuro di quale di queste due situazioni si applichi alla tua configurazione, la cosa più sicura da fare è verificare con l’assistenza Kinsta prima di apportare modifiche, piuttosto che tirare a indovinare.
Monitoraggio: Cloudflare vs. Kinsta
Dove dovresti effettivamente monitorare il tuo traffico giorno per giorno? Dipende da cosa stai cercando.
Cloudflare ti offre una flessibilità significativamente maggiore per le analisi. Puoi approfondire le singole richieste con filtri personalizzati e cercare praticamente qualsiasi attributo delle richieste. Ma l’analisi dei bot di Cloudflare si basa su dati campionati, non su un conteggio completo di ogni richiesta, il che la rende eccellente per individuare modelli e indagare sugli incidenti, ma meno affidabile come fonte di dati precisi sul traffico.
Kinsta, al contrario, riporta il 100% delle richieste che arrivano sul tuo sito, con statistiche aggregate su base oraria e giornaliera in MyKinsta. Questo la rende la fonte migliore per conteggi e tendenze accurati a livello di piattaforma, anche se non ti offre i filtri ad hoc e di approfondimento di Cloudflare.
Quindi, se hai bisogno di un’indagine approfondita su un incidente specifico, gli strumenti di Cloudflare la fanno da padrone. Se invece vuoi metriche precise e affidabili su ciò che effettivamente arriva sul tuo sito nel tempo, Kinsta ha un vantaggio.
A quale livello opera la protezione bot di Kinsta?
La Protezione bot di Kinsta opera all’edge, al Livello 7 (il livello applicativo), lo stesso livello in cui vengono valutate le richieste HTTP.
Quando sia la protezione Cloudflare del cliente che quella di Kinsta contro i bot sono attive sullo stesso percorso di richiesta, l’elaborazione di Cloudflare avviene per prima, mentre la logica di Kinsta viene eseguita in seguito. Questo è un motivo in più per cui sovrapporre le due protezioni raramente aggiunge valore. Quando una richiesta raggiunge la logica di Kinsta, Cloudflare ha già preso la sua decisione.
Quale approccio dovresti usare?
La scelta giusta dipende da quanto controllo serve e da quanta parte del lavoro di gestione dei bot il tuo team vuole assumersi.
Usa la protezione bot di Kinsta se vuoi una protezione gestita per WordPress
Se ospiti WordPress su Kinsta e non vuoi che la mitigazione dei bot diventi un’attività ricorrente nel calendario di qualcuno, la protezione anti-bot di Kinsta è l’impostazione predefinita giusta.
Questo copre la maggior parte dei siti WordPress: agenzie che gestiscono il traffico di decine di clienti, team senza un reparto di sicurezza dedicato e chiunque preferisca dedicare il proprio tempo alla gestione dell’attività piuttosto che alla manutenzione delle regole anti-bot.
Usa gli strumenti avanzati di Cloudflare per i bot se hai bisogno di un controllo totale
Cloudflare potrebbe essere la scelta migliore se utilizzi i suoi controlli anti-bot più avanzati, come la modalità Super Bot Fight insieme a WAF e regole personalizzate, e hai il tempo e le competenze per gestire correttamente tale configurazione.
Non è la stessa cosa della modalità “Bot Fight” di base di Cloudflare, che è più simile a un semplice controllo on/off. L’approccio avanzato di Cloudflare ha senso quando conosci il tuo traffico nei dettagli, hai endpoint specifici che richiedono una gestione diversa e vuoi definire comportamenti personalizzati per determinati modelli di richiesta.
Questa precisione è reale, ma comporta un costo continuo, poiché richiede un’attenzione costante piuttosto che una configurazione una tantum. Come ha detto Laszlo:
Se hai le competenze e il tempo per mettere a punto tutto questo in autonomia, probabilmente è la scelta migliore per te. Se invece non li hai e vuoi concentrarti sulla tua attività piuttosto che sui dettagli minuziosi del controllo del traffico, la soluzione di Kinsta è l’opzione migliore perché è gestita, ottimizzata per WordPress e mantenuta per te.
Evita di usarli entrambi, a meno che tu non abbia un motivo specifico
Nella maggior parte dei casi, scegli un unico livello primario di protezione dai bot:
- Se stai usando la modalità Bot Fight o Super Bot Fight di Cloudflare su un sito ospitato da Kinsta, la protezione bot di Kinsta è solitamente la scelta migliore per gestire questa attività, dato che è ottimizzata per WordPress e gestita all’interno della tua piattaforma di hosting.
- Se stai utilizzando Cloudflare Bot Management con un set di regole personalizzate già definito, la decisione dipende più dalla situazione specifica; dipende da cosa fanno quelle regole, da come interagirebbero con la protezione bot di Kinsta e se sono ancora necessarie una volta attivata la protezione gestita da Kinsta. Verifica questa configurazione con il supporto di Kinsta piuttosto che affidarti a una risposta generica.
- Se utilizzi un tuo account Cloudflare separato come proxy prima di Kinsta, consulta la sezione sopra; questo è l’unico caso in cui combinare i due non è solo un “attrito inutile”, ma può impedire attivamente alla protezione bot di funzionare come previsto.
La protezione anti-bot sta diventando parte integrante delle operazioni su WordPress
La protezione dai bot non è più qualcosa che i proprietari dei siti possono considerare come un’impostazione di sicurezza da configurare una volta sola. Come ha spiegato Daniel Pataki durante il nostro webinar, i bot sono un’arma a doppio taglio: possono creare problemi di prestazioni, costi e analisi, ma contribuiscono anche a rendere il web utile.
Man mano che crawler, strumenti di intelligenza artificiale, scraper e sistemi automatizzati diventano sempre più attivi sul web, i team di WordPress hanno bisogno di un modo per gestire il traffico non umano senza trasformare ogni sito in un progetto di creazione di regole personalizzate. È proprio questo il ruolo per cui è stata pensata la protezione dai bot di Kinsta: un punto di partenza gestito con livelli di protezione, controlli dei crawler basati sull’IA, impostazioni predefinite ottimizzate per WordPress e visibilità all’interno di MyKinsta.
Per approfondire, guarda il webinar “Tutta la verità sul traffico bot”, leggi il report di Kinsta su traffico AI e bot, oppure attiva la Protezione bot dalla tua dashboard di MyKinsta per vedere quale traffico automatizzato sta effettivamente raggiungendo il tuo sito.
