WooCommerce: автоматическое отключение заказов по IP и User-Agent

Диагностика проблемы: почему нужно автоматически отклонять заказы по IP и User-Agent

В WooCommerce иногда возникает необходимость блокировать заказы, которые поступают с подозрительных IP-адресов или через нежелательные User-Agent. Это помогает предотвратить мошенничество, спам-заказы и снизить нагрузку на сервер. Часто можно столкнуться с ситуацией, когда вручную отслеживать такие заказы неудобно и неэффективно.

Для диагностики проблемы следует проанализировать логи заказов, выявить повторяющиеся IP и User-Agent, которые вызывают подозрения, и проверить, не поступают ли с них нежелательные заказы.

Пошаговое решение: создание автоматического отклонения заказов по IP и User-Agent

1. Определение списка запрещённых IP и User-Agent

Создайте массивы с IP-адресами и строками User-Agent, по которым нужно блокировать заказы.

function get_blocked_ips() {
    return ['192.168.1.100', '203.0.113.42'];
}

function get_blocked_user_agents() {
    return ['BadBot', 'SpamScanner'];
}

2. Использование хука WooCommerce для проверки заказа при оформлении

Хук woocommerce_checkout_process позволяет проверять данные клиента в момент оформления заказа и выдавать ошибку, которая остановит процесс оформления.

add_action('woocommerce_checkout_process', 'wc_block_order_by_ip_and_ua');
function wc_block_order_by_ip_and_ua() {
    $client_ip = $_SERVER['REMOTE_ADDR'] ?? '';
    $user_agent = $_SERVER['HTTP_USER_AGENT'] ?? '';

    $blocked_ips = get_blocked_ips();
    $blocked_uas = get_blocked_user_agents();

    foreach ($blocked_ips as $ip) {
        if ($client_ip === $ip) {
            wc_add_notice('Заказы с вашего IP адреса временно не принимаются.', 'error');
            return;
        }
    }

    foreach ($blocked_uas as $ua) {
        if (stripos($user_agent, $ua) !== false) {
            wc_add_notice('Ваш браузер не поддерживается для оформления заказа.', 'error');
            return;
        }
    }
}

3. Автоматическое отклонение уже созданных заказов (например, для админ-панели)

Если заказы уже созданы, можно программно изменить их статус на "отклонён" на основе IP и User-Agent, сохранённых в метаданных заказа.

add_action('woocommerce_order_status_processing', 'wc_auto_cancel_order_by_ip_ua');
function wc_auto_cancel_order_by_ip_ua($order_id) {
    $order = wc_get_order($order_id);
    $ip = $order->get_meta('_customer_ip_address');
    $ua = $order->get_meta('_customer_user_agent');

    $blocked_ips = get_blocked_ips();
    $blocked_uas = get_blocked_user_agents();

    if (in_array($ip, $blocked_ips)) {
        $order->update_status('cancelled', 'Заказ отменён автоматически из-за заблокированного IP');
        return;
    }

    foreach ($blocked_uas as $blocked_ua) {
        if (stripos($ua, $blocked_ua) !== false) {
            $order->update_status('cancelled', 'Заказ отменён автоматически из-за заблокированного User-Agent');
            return;
        }
    }
}

4. Сохранение IP и User-Agent при оформлении заказа

Чтобы иметь данные для проверки, их нужно сохранять в метаполях заказа:

add_action('woocommerce_checkout_create_order', 'wc_save_order_ip_and_ua', 20, 2);
function wc_save_order_ip_and_ua($order, $data) {
    $ip = $_SERVER['REMOTE_ADDR'] ?? '';
    $ua = $_SERVER['HTTP_USER_AGENT'] ?? '';

    if ($ip) {
        $order->update_meta_data('_customer_ip_address', $ip);
    }
    if ($ua) {
        $order->update_meta_data('_customer_user_agent', $ua);
    }
}

Проверка результата после внедрения

• Попробуйте оформить заказ с IP из списка get_blocked_ips(). Вы должны увидеть ошибку при оформлении.
• Попробуйте оформить заказ с User-Agent из get_blocked_user_agents() (можно изменить User-Agent в браузере с помощью расширений). Должна появиться ошибка.
• Создайте заказ, затем измените IP или User-Agent в метаданных вручную и смените статус на "в обработке" — заказ автоматически перейдёт в "отменён".
• Проверьте логи ошибок и уведомления WooCommerce на наличие сообщений об отклонении.

Частые ошибки и как их исправить

• Ошибка: Заказы не блокируются, несмотря на IP/User-Agent из списка. Проверьте, правильно ли сохраняются метаданные заказа (IP и UA). Убедитесь, что хуки подключены и нет конфликтов с другими плагинами.
• Ошибка: Сообщения об ошибке при оформлении не отображаются. Убедитесь, что функция wc_add_notice вызывается во время woocommerce_checkout_process. Проверьте, не переопределяется ли шаблон оформления заказа.
• Ошибка: IP-адрес клиента не совпадает с ожидаемым. Если сайт использует прокси или CDN (Cloudflare и т.п.), определяйте IP через $_SERVER['HTTP_X_FORWARDED_FOR'] или используйте специальные плагины.

Практические советы по безопасности и производительности

• Обновляйте списки заблокированных IP и User-Agent регулярно — вредоносные адреса могут меняться.
• Используйте кеширование и минимизируйте нагрузку — проверка в процессе оформления заказа происходит быстро, но большие списки блокировок лучше хранить в кешах (например, transient API).
• Логируйте попытки блокировки — это поможет анализировать активность и улучшать защиту.
• Для масштабных решений рассмотрите интеграцию с WAF или специализированными сервисами защиты — тогда можно снизить нагрузку на WordPress.

Сравнение подходов для блокировки заказов по IP и User-Agent

Метод	Плюсы	Минусы
PHP-код в теме или плагине (как выше)	Гибкость, быстрое внедрение, полный контроль	Требует поддержки, не масштабируется для больших списков
Плагины безопасности (например, Wordfence)	Автоматические обновления, комплексная защита	Могут влиять на производительность, менее гибкие под WooCommerce
Внешние WAF и CDN (Cloudflare, Sucuri)	Высокая производительность, защита на уровне сети	Дополнительная настройка, стоимость