Botbescherming beheren en botverkeer analyseren met de Kinsta API

Je kunt de Botbescherming van Kinsta nu instellen via de Kinsta API, en via dezelfde API gedetailleerde analytics over botverkeer opvragen.

We hebben 13 nieuwe endpoints toegevoegd. Daarmee controleer en wijzig je beschermingsniveaus, blokkeer je AI-crawlers, beheer je de instellingen voor WordPress automatiseringen en maak je custom uitzonderingsregels. Je kunt ook analytics opvragen die laten zien hoe verkeer wordt geclassificeerd, hoe requests worden afgehandeld en welke bronnen voor de meeste activiteit zorgen.

Zo kun je Botbescherming opnemen in je tools voor sitebeheer, je monitoringsystemen en je geautomatiseerde workflows.

Botbeschermingsniveaus controleren en wijzigen

Met twee nieuwe endpoints vraag je het botbeschermingsniveau van een WordPress omgeving op, en pas je het aan.

Het endpoint Get bot protection level geeft de huidige configuratie van de omgeving terug:

curl --request GET \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/level \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>'

Het antwoord hieronder laat bijvoorbeeld zien dat de omgeving is ingesteld om geautomatiseerd verkeer te blokkeren:

{
  "bot_protection": {
    "id": "54fb80af-576c-4fdc-ba4f-b596c83f15a1",
    "level": "block-automations"
  }
}

Met het nieuwe endpoint Set bot protection level wissel je tussen vier ondersteunde niveaus:

block-malicious-traffic blokkeert bekend kwaadaardig verkeer, als onderdeel van de basisbescherming van Kinsta.
block-automations blokkeert geautomatiseerd en kwaadaardig verkeer.
challenge-bots geeft ook waarschijnlijke bots en ongeclassificeerd verkeer een challenge.
challenge-everyone geeft al het niet-geverifieerde verkeer een challenge, ook bezoekers die waarschijnlijk mensen zijn.

Heeft een site bijvoorbeeld last van meer scraping of verdachte geautomatiseerde requests, dan kun je overstappen op Daag bots uit:

curl --request PUT \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/level \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "level": "challenge-bots"
  }'

De API geeft een 202 antwoord terug met een operation ID:

{
  "message": "Setting a bot protection level in progress. Use the operation_id to check the status.",
  "status": 202,
  "operation_id": "environment:set-bot-protection-level-54fb80af-576c-4fdc-ba4f-b596c83f15a1"
}

Met de teruggegeven operation_id volg je de request tot de wijziging is afgerond.

Hogere beschermingsniveaus kunnen gevolgen hebben voor legitieme geautomatiseerde requests, en op het strengste niveau krijgen ook bezoekers een challenge. Kijk eerst hoe het gekozen niveau het normale verkeer op je site beïnvloedt voordat je het breder toepast.

AI-crawlers blokkeren of deblokkeren

De API heeft ook twee endpoints voor de instelling Blokkeer AI crawlers. Met het endpoint Get AI crawler block status controleer je of de blokkade aanstaat:

curl --request GET \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/ai-crawlers \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>'

Het antwoord bevat het veld ai_crawlers_blocking, dat aangeeft of de instelling enabled of disabled is.

Wil je de instelling wijzigen, stuur dan een PUT request naar hetzelfde pad:

curl --request PUT \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/ai-crawlers \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "status": "enabled"
  }'

Zet je status op enabled, dan worden AI-crawlers geblokkeerd, ook geverifieerde crawlers die websitecontent verzamelen voor AI-training en vergelijkbare doeleinden. Met disabled zet je deze specifieke beperking uit.

De instelling Blokkeer AI crawlers van Kinsta blokkeert geen traditionele zoekmachinecrawlers zoals Googlebot en Bingbot, geen AI-zoekcrawlers zoals OAI-SearchBot en geen AI-agents die door gebruikers worden aangestuurd, zoals ChatGPT-User. Requests van deze bronnen kunnen bij strengere beschermingsniveaus wel een challenge krijgen als ze zich buitensporig gedragen.

Zo bepaal je los van het algemene beschermingsniveau van je site of AI-crawlers je content mogen verzamelen.

Bekijk de API documentatie over AI-crawlers blokkeren of deblokkeren voor alle details over requests en antwoorden.

WordPress automatiseringen beheren

Sommige WordPress features en integraties zijn afhankelijk van geautomatiseerde requests aan je site. Denk aan externe diensten die de WordPress REST API gebruiken, plugins die data uitwisselen met diensten van derden, of automatiseringsplatforms die webhooks versturen.

Met twee nieuwe endpoints controleer en bepaal je of Botbescherming typische WordPress automatiseringen doorlaat.

Het endpoint Get WP automations allow status geeft de huidige instelling terug:

{
  "bot_protection": {
    "id": "54fb80af-576c-4fdc-ba4f-b596c83f15a1",
    "wp_automations": "enabled"
  }
}

Met het endpoint Allow or block WP automations wijzig je die daarna. De volgende request staat bijvoorbeeld typische WordPress automatiseringen toe:

curl --request PUT \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/wp-automations \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "status": "enabled"
  }'

De request geeft een operation ID terug waarmee je de wijziging volgt. Deze instelling gebruikt een door Kinsta beheerde allowlist met veelgebruikte WordPress endpoints en diensten. Dat helpt als een strenger beschermingsniveau een externe integratie of geautomatiseerd proces verstoort waar je site van afhankelijk is.

Requests vanuit de eigen container van de site of vanuit de interne infrastructuur die Kinsta beheert, worden al doorgelaten. Normale interne WordPress taken merken dus niets van deze instelling.

Uitzonderingen in Botbescherming toevoegen, opvragen en verwijderen

Soms heb je preciezere regels nodig dan een algemeen beschermingsniveau biedt. Je wilt bijvoorbeeld requests van een vertrouwde monitoringdienst doorlaten, terwijl ander geautomatiseerd verkeer nog wel een challenge krijgt.

Met drie nieuwe endpoints beheer je uitzonderingen in Botbescherming per WordPress omgeving.

Een uitzondering maak je aan met het endpoint Add bot protection exception rule. Elke regel heeft drie verplichte velden:

type bepaalt waarop wordt gematcht: ip, path, user_agent of country.
action bepaalt wat er met verkeer gebeurt dat matcht: skip, challenge of block.
value bevat het IP-adres, pad, de user agent of het land waarop wordt gematcht.

De volgende request voegt bijvoorbeeld een uitzondering toe waarmee requests van een vertrouwd IP-adres de regels van Botbescherming overslaan:

curl --request POST \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/exception-rules \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "type": "ip",
    "action": "skip",
    "value": "192.0.2.1"
  }'

Accepteert de API de request, dan krijg je een operation ID terug. De ingestelde uitzonderingen bekijk je met het endpoint Get bot protection exception rules:

curl --request GET \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/exception-rules \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>'

Het antwoord toont de regels, met hun ID’s, de waarden waarop ze matchen en hun acties:

{
  "bot_protection": {
    "id": "54fb80af-576c-4fdc-ba4f-b596c83f15a1",
    "exception_rules": [
      {
        "id": "ip:skip:192.0.2.1",
        "type": "ip",
        "action": "skip",
        "value": "192.0.2.1"
      }
    ],
    "has_custom_waf_rules": false
  }
}

Met het ID van een regel verwijder je die via het nieuwe endpoint Remove bot protection exception rule:

curl --request DELETE \
  --url https://api.kinsta.com/v2/sites/environments/{env_id}/bot-protection/exception-rules \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>' \
  --header 'Content-Type: application/json' \
  --data '{
    "exception_rule_id": "ip:skip:192.0.2.1"
  }'

Uitzonderingen gelden per omgeving. Een regel die je voor een testomgeving aanmaakt, geldt dus niet automatisch voor productie.

De actie skip slaat de regels van Botbescherming over, maar gaat niet boven de onderliggende platformbeveiliging of de Kwetsbaarheidsbescherming van Kinsta.

Botverkeer analyseren via de API

Naast de negen endpoints voor het beheer van Botbescherming hebben we vier endpoints toegevoegd aan de sectie Analytics.

Die geven je data over de requests die je site bereiken, hoe Kinsta dat verkeer classificeert en wat er met die requests gebeurt nadat Botbescherming ze heeft beoordeeld.

Zien hoe Botbescherming inkomend verkeer afhandelt

Het nieuwe endpoint Get bot traffic flow geeft het totaal aantal requests terug per verkeersclassificatie en beschermingsresultaat.

Zo zie je hoeveel requests zijn geclassificeerd als waarschijnlijk mensen, waarschijnlijk bots, AI-crawlers of een ander type verkeer, en hoeveel er zijn toegestaan, een challenge kregen of zijn geblokkeerd.

De volgende request haalt bijvoorbeeld de data van de afgelopen 30 dagen op:

curl --request GET \
  --url 'https://api.kinsta.com/v2/sites/environments/{env_id}/analytics/bot-protection/traffic-flow?company_id={company_id}&time_span=30_days' \
  --header 'Authorization: Bearer <YOUR_TOKEN_HERE>'

Het antwoord bevat binnen traffic_flow drie hoofdsecties: traffic_types, results en flows. Het object flows koppelt elke verkeersclassificatie aan de bijbehorende beschermingsresultaten.

Je ziet dus wat er met het verkeer is gebeurd, en niet alleen hoeveel requests er in totaal zijn geblokkeerd.

Het verloop van botverkeer en beschermingsresultaten volgen

Twee extra endpoints laten het verloop over een periode zien:

Get bot traffic requests over time geeft het aantal requests terug, gegroepeerd per verkeersclassificatie.
Get bot protection results over time geeft terug hoeveel requests in de gekozen periode zijn toegestaan, een challenge kregen of zijn geblokkeerd.

Beide geven data per uur als time_span op 24_hours staat, en data per dag voor langere periodes.

Het endpoint requests-over-time geeft bijvoorbeeld data terug die er zo uitziet:

{
  "analytics": {
    "requests_over_time": [
      {
        "traffic_type": "likely_humans",
        "label": "Likely humans",
        "total": 10572,
        "timeline": [
          {
            "date": "2026-09-14T00:00:00.000Z",
            "requests": 5286
          }
        ]
      }
    ]
  }
}

Met deze data onderzoek je ongebruikelijke verkeerspieken en zie je of wijzigingen in de instellingen van Botbescherming invloed hebben op het aantal requests dat een challenge krijgt of wordt geblokkeerd.

De grootste bronnen van botverkeer opsporen

Het nieuwe endpoint Get bot traffic top breakdown laat meer zien over de bronnen achter elke verkeersclassificatie. Het geeft de meest opgevraagde paden, user agents, landen en IP-adressen terug, telkens met het aantal requests.

Krijgt je site bijvoorbeeld plotseling meer geautomatiseerde requests, dan kun je controleren of die zich concentreren op /wp-login.php of een bepaald API-pad, of van specifieke IP-adressen komen.

Het endpoint geeft de informatie terug onder analytics.top_requests_breakdown, met per verkeerscategorie aparte arrays voor top_paths, top_user_agents, top_countries en top_ips.

Alle vier de nieuwe analytics endpoints ondersteunen 24_hours, 7_days, 30_days en 60_days, met 7_days als standaard. Met de optionele parameters from en to vraag je ook een custom periode op. Bij elke request is de query parameter company_id verplicht.

Botbescherming opnemen in je workflows voor sitebeheer

Met deze endpoints regel je Botbescherming op dezelfde plek als de andere taken die je via de Kinsta API beheert.

Een monitoringtool kan bijvoorbeeld tijdens een verkeerspiek analytics over botverkeer ophalen, terwijl een intern beheersysteem het huidige beschermingsniveau van een omgeving controleert en zo nodig een andere instelling toepast. Je kunt ook uitzonderingen voor vertrouwde diensten beheren zonder elke omgeving met de hand in te stellen.

Hoe de requests en antwoorden er precies uitzien, lees je in de API referentie voor WordPress Botbescherming en in de Analytics sectie van de Kinsta API Docs.