Запретить сканирование безопасных ссылок Microsoft

Question

Итак, сегодня мой клиент разослал маркетинговый бюллетень примерно 140 тысячам клиентов, в котором была ссылка на наше веб-приложение.

Далее произошло то, что мое веб-приложение испытало поток трафика (более 9000 запросов за 15 минут) с принадлежащих Microsoft IP-адресов в диапазоне 40.94././, запрашивающих эту конкретную страницу на моем сайте. Это отключило приложение для всех моих клиентов, пока мне не удалось его перезапустить.

Кажется, что сканирование происходило независимо от того, щелкнул ли пользователь ссылку или нет, поскольку в этот период в журналах запросов нет других IP-адресов для того же URL-адреса.

Итак, мой вопрос: была ли эта Microsoft предварительно просканирована этой ссылкой, когда она была доставлена ​​подписчикам информационного бюллетеня? Или сканирование происходит только при нажатии на ссылку - я нашел противоречивую информацию по этому поводу, и, как уже упоминалось, я не вижу других запросов IP-адресов в течение этого периода.

И во-вторых, как я могу предотвратить это в будущем - единственный ли у меня вариант занести этот диапазон IP в черный список или есть другие стратегии?

Answer 1

Итак, для тех, кто борется с чем-то подобным, я могу подтвердить, что Microsoft предварительно сканирует ссылки в полученном электронном письме, прежде чем оно попадет в почтовый ящик получателя.

В результате, если огромный информационный бюллетень рассылается сотням тысяч получателей, Microsoft эффективно запускает волну трафика на ваш сервер.

Казалось бы, единственное решение - занести их диапазон IP-адресов в черный список или убедиться, что у вас есть какой-то механизм регулирования.

Answer 2

Одним из решений, упомянутых в другом ответе, является блокировка диапазона IP-адресов, принадлежащих Microsoft Safelink, чтобы предотвратить доступ сканирования к веб-сайту.

Другим решением может быть использование JS Challenge, такого как этот, доступный в Cloudflare. С таким решением каждый пользователь должен пройти через веб-сайт, который сначала проверяет, использует ли он настоящий браузер, и только в этом случае он перенаправляется на целевой веб-сайт.

Такой JS Challenge может быть включен только для тех, кто заходит на веб-сайт по ссылкам в электронном письме, чтобы это не повлияло на любого, кто использует браузер для прямого доступа к веб-сайту.