Почему-то принято считать, что хорошая защита сайта — это всегда дорого, сложно и требует отдельного специалиста в штате. Раньше так и было. Но сейчас рынок выглядит иначе, и компании с небольшим бюджетом тоже могут закрыть вопрос безопасности без серьезных вложений. В этом материале разбираем, сколько реально стоят разные варианты WAF, где переплата, а где экономия, и почему облачный формат выходит на первые роли в сегменте МСБ.

Что такое WAF

Web Application Firewall — это барьер между пользователем и веб-приложением. Он проверяет поступающие запросы и пресекает подозрительные действия до того, как они достигнут сайта, API или приложения. WAF отсеивает SQL-инъекции, XSS-скрипты, прикладные DDoS-атаки и другие типичные угрозы.

Без такой защиты веб-ресурс остается уязвимым для автоматических атак, которые сегодня стали повседневностью.

Кто чаще всего сталкивается с необходимостью защиты:

• Интернет-магазины. Через формы заказа и личные кабинеты могут похищать данные покупателей. А если сайт ляжет в час пик, потери будут исчисляться не только упущенной выручкой.

• Сервисы с открытым API. Публичные эндпоинты почти постоянно находятся под сканированием ботами. Атаки на API — один из самых распространенных сценариев сегодня.

• Веб-студии и агентства. Защита клиентских проектов без необходимости создавать собственную ИБ-инфраструктуру для каждого сайта.

• Медийные и корпоративные площадки. Взлом такого ресурса может обернуться репутационными потерями — например, если злоумышленники используют его для фишинга, поисковики могут навсегда пометить домен как небезопасный.

• Сайты на популярных CMS — WordPress, Bitrix, Joomla. Уязвимости в ядре, плагинах или модулях — один из наиболее частых способов проникновения. Разработчики регулярно выпускают патчи, но администраторы далеко не всегда успевают их установить. WAF перехватывает попытки эксплуатации таких уязвимостей до того, как они нанесут вред, даже если сайт временно работает на необновленной версии.

Сравнение моделей WAF по стоимости

Цена защиты напрямую зависит от выбранного способа внедрения. Рассмотрим три варианта.

Собственная инфраструктура. Компания приобретает оборудование или разворачивает WAF на своих мощностях, нанимает инженеров, оплачивает лицензии и поддержку.

Примерный расчет:

• серверы или оборудование — от 500 000 ₽ (разовый платеж);

• лицензия WAF на год — от 300 000 ₽;

• зарплата ИБ-специалиста — от 200 000 ₽ ежемесячно;

• обновление правил и техподдержка — от 100 000 ₽ в год.

Для МСБ такая схема практически недоступна.

Что дает такой подход: полный контроль и возможность гибкой настройки. Но цена, длительный запуск и необходимость держать в штате профильного инженера делают его тяжелым для малого бизнеса.

Готовый продукт с привлечением интегратора. Компания покупает WAF-решение у вендора — то же самое оборудование или программный комплекс, что и в on-premise сценарии. Интегратор помогает внедрить его под конкретную архитектуру и задачи бизнеса. Это обходится дешевле, чем строить всё с нуля и нанимать штатного специалиста, но для МСБ по-прежнему дорого.

Примерный состав расходов:

• годовая лицензия — от 300 000 ₽;

• услуги интегратора (внедрение, адаптация, обучение) — от 200 000 ₽ разово;

• ежемесячное сопровождение — от 50 000 ₽.

Итого в первый год — от 600 000 ₽, и это без учета времени, которое внутренняя команда потратит на согласования.

Такой вариант подходит организациям, у которых уже есть ИТ-департамент, но нет профильных безопасников. Однако порог входа всё еще высок, а процесс может растянуться на месяцы.

Облачный WAF по подписке. Наиболее динамичный сегмент. Компания ничего не закупает и не разворачивает самостоятельно. Защита подключается через личный кабинет вендора.

Цены на рынке облачных WAF для МСБ варьируются в широком диапазоне — бюджет может составлять до 100 000 ₽ в месяц и выше — в зависимости от количества доменов, необходимости защиты API, глубины логирования и объема проверяемого трафика, то есть числа запросов в секунду (RPS).

Плюсы: низкая цена входа, запуск за минуты, не нужно нанимать безопасников для базовых сценариев. 

Минусы: ограниченная кастомизация и менее обширная функциональность. Но для большинства бизнес-задач стандартных настроек хватает.

При этом попробовать облачный WAF можно бесплатно. Сейчас открыта бета-версия WAFaaS от Рег.облака — подключение через личный кабинет, без дополнительной инфраструктуры и сложных настроек.

Почему облачный формат вытесняет традиционные решения

Еще недавно облачный WAF считался компромиссным вариантом, а сегодня он становится основным инструментом защиты в сегменте МСБ. У этого есть несколько причин.

Финансы. В облачной модели бизнес платит только за реальное использование. Нет капитальных вложений. Можно подключать один ресурс или несколько, менять объемы — затраты остаются понятными и предсказуемыми.

Время. В 2026 году компании не могут ждать месяцы, пока интегратор завершит настройку. Угрозы появляются быстро, и реагировать нужно также быстро. Облачный WAF запускается в течение нескольких минут через личный кабинет.

Кадры. Квалифицированных специалистов по безопасности на рынке не хватает. Их зарплаты растут быстрее, чем у разработчиков. Содержать такого сотрудника только для поддержки WAF — неэффективно для большинства компаний, особенно на ранних этапах.

Атакуют всех, независимо от размера. Злоумышленники автоматически сканируют сеть и атакуют всё, что доступно. МСБ — такая же цель, как и крупный бизнес, но без облачного WAF у небольших компаний просто нет ресурсов для сопоставимой защиты.

Когда пора задуматься о WAF: короткая проверка

Если хотя бы три пункта из списка — про вас, стоит присмотреться к защите:

• через сайт проходят платежи или передаются персональные данные;

• сайт — основной или один из главных каналов привлечения клиентов;

• у компании есть публичное API, доступное внешним системам;

• двухчасовой простой ресурса в рабочие часы приведет к ощутимым потерям;

• вы уже сталкивались с необычным трафиком или попытками подбора паролей;

• в штате нет специалиста, который отвечает за безопасность веб-приложений.

Выбор между сложным дорогим решением и полным отсутствием защиты больше не стоит так остро. Облачные WAF-сервисы сделали безопасность доступной для небольших интернет-магазинов, стартапов и веб-студий. Защита сайта, приложения или API больше не требует серьезных вложений, собственной команды безопасности или длительных внедрений.

При этом по своим возможностям облачный WAF почти не уступает традиционным решениям: он эффективно отрабатывает SQL-инъекции, XSS-скрипты, вредоносных ботов и прикладные DDoS, но при этом стоит на порядки дешевле и подключается за минуты. Такая комбинация функциональности и доступности делает его оптимальным выбором для малого и среднего бизнеса, у которого нет ресурсов на собственную инфраструктуру безопасности.

Как я всё-таки опубликовала свою игру в Google Play из России

Я сейчас разрабатываю PanzerShrek — карточную онлайн-игру про танки и бронетехнику Второй мировой войны. И в какой-то момент столкнулась с задачей, которая на первый взгляд казалась довольно обычной: нужно было опубликовать Android-версию игры в Google Play.

Я была уверена, что главные сложности будут техническими — сборка, подпись приложения, требования магазина, модерация. Но довольно быстро выяснилось, что разработка самой игры в этой истории была едва ли не самой простой частью.

Стоило начать искать информацию о публикации приложений из России, как картина стала довольно унылой. В одних статьях советовали сразу заводить иностранную карту, в других — регистрировать аккаунт из другой страны, в третьих автор вообще жил в Грузии, Казахстане или Сербии, поэтому его опыт к человеку с российскими документами и российскими банковскими счетами подходил весьма условно.

У меня ничего этого не было. Был обычный российский паспорт, российские банки и готовое приложение.

Поэтому я решила просто попробовать пройти весь путь до конца и посмотреть, на каком именно этапе Google скажет: «Нет, спасибо».

Как ни странно, не сказал.

Сначала всё казалось очень просто

До Google Play я уже публиковала Android-версию игры в RuStore, и, наверное, именно поэтому немного расслабилась. Там всё оказалось довольно понятно: авторизация, создание приложения, загрузка сборки, модерация.

Интерфейс тоже устроен довольно логично — заходишь и примерно сразу понимаешь, где нужный раздел и что делать дальше.

После этого я решила, что с Google Play процесс будет примерно таким же, только с чуть большим количеством проверок.

Это была первая ошибка.

Первый квест — 25 долларов

Чтобы зарегистрировать аккаунт разработчика Google Play, нужно заплатить регистрационный сбор — 25 долларов.

На бумаге это звучит совсем не страшно.

Подумаешь, двадцать пять долларов.

Но если вы находитесь в России, то вокруг этих двадцати пяти долларов внезапно начинает разворачиваться отдельная история.

У меня были карты, которыми можно оплачивать некоторые иностранные сервисы и подписки, поэтому я сначала даже не ожидала здесь каких-то проблем. Но Google использует собственную процедуру проверки платёжного средства, и те варианты, которые нормально работали в других местах, здесь внезапно не подошли.

В итоге пришлось воспользоваться сторонним сервисом оплаты.

То есть формально мои двадцать пять долларов в Google отправились при участии какого-то условного Джона Смита из штата Монтана.

Я уже ожидала, что после этого Google задаст несколько вопросов о том, почему российский аккаунт разработчика оплачивается человеком из США.

Но, судя по всему, Google интересовало только одно: пришли ли деньги.

Деньги пришли.

На этом вопросов не возникло.

Теперь докажите, что вы существуете

Следующим этапом Google попросил подтвердить мою личность.

И вот здесь я уже почти была уверена, что сейчас всё закончится, потому что сочетание «международный сервис + российский разработчик + российские документы» в 2026 году не выглядит особенно многообещающим.

Но произошло неожиданное.

Google совершенно спокойно принял обычный российский паспорт.

Причём не заграничный, а внутренний паспорт с русским текстом.

Этот этап прошёл настолько просто, что я даже начала подозревать подвох.

Он нашёлся на следующем шаге.

Нужно было подтвердить адрес проживания.

И тут возникла чисто российская особенность паспорта: данные владельца находятся на одной странице, а регистрация — на другой. Для человека всё очевидно, потому что номер документа на страницах повторяется, но автоматическая система Google, видимо, такой логикой не впечатлилась.

Тогда мне предложили предоставить другой документ, где одновременно будут указаны имя и адрес.

Я скачала обычную банковскую выписку из российского банка.

Без нотариуса, без перевода, без апостиля и без каких-либо экзотических процедур.

Просто банковскую выписку с моими данными.

Отправила её и приготовилась ждать отказа.

Через несколько дней документ приняли.

Вот это, пожалуй, удивило меня сильнее всего. Получалось, что российский паспорт Google устраивает, российская банковская выписка тоже устраивает, и никаких иностранных документов на этом этапе мне вообще не понадобилось.

После этого меня наконец пустили в Google Play Console.

И тут началась следующая часть приключения.

Google Play Console — интерфейс, который нужно победить

Я понимаю, что Google Play Console — профессиональный инструмент и в нём действительно огромное количество возможностей: страны распространения, версии, тестирование, безопасность, политика конфиденциальности, возрастные рейтинги, сбор данных и ещё десятки разных настроек.

Но субъективно интерфейс местами выглядит так, будто его начали делать где-то в середине 2000-х, а потом просто много лет подряд добавляли новые разделы.

После RuStore контраст особенно заметен.

В одном случае ты примерно сразу понимаешь, где приложение, версия и публикация. В другом сначала пытаешься найти ответ на очень простой вопрос: «Что мне вообще нужно сделать, чтобы выпустить приложение?»

Один раздел сообщает, что необходимо заполнить другой. Второй отправляет в третий. В третьем выясняется, что сначала нужно вернуться в первый и поставить ещё одну галочку.

Через какое-то время логику начинаешь понимать, но первое знакомство с консолью довольно бодрит.

Постепенно я заполнила все необходимые разделы и решила, что теперь-то осталось просто отправить приложение на публикацию.

Но Google сообщил, что сначала нужно провести закрытое тестирование.

И для этого нужны 12 тестировщиков.

Найти двенадцать человек оказалось неожиданно сложно

Когда я увидела число 12, то сначала вообще не восприняла его всерьёз.

Ну что такое двенадцать человек?

Есть знакомые, друзья, люди, которым интересна разработка игры. Казалось бы, это задача максимум на один вечер.

Но затем начинается реальная жизнь.

У одного iPhone.

У другого Huawei без сервисов Google.

Третий не помнит пароль от Google-аккаунта.

Четвёртый обещает всё установить вечером, но через несколько дней выясняется, что он забыл.

Пятый вроде всё сделал, но потом оказывается, что не вступил в программу тестирования.

В какой-то момент задача «найти 12 человек» превращается в гораздо более конкретную задачу: найти двенадцать человек, у которых одновременно есть Android, Google Play, рабочий Google-аккаунт, немного свободного времени и желание внимательно выполнить несколько пунктов инструкции.

Вот это уже оказалось заметно сложнее.

В итоге нужные 12 человек всё-таки нашлись, и началось обязательное закрытое тестирование продолжительностью 14 дней.

Нужно ли тестировщикам заходить каждый день

Перед запуском тестирования я, конечно же, полезла читать чужой опыт.

И там довольно быстро обнаружилось огромное количество страшилок.

Кто-то писал, что все двенадцать тестировщиков должны запускать приложение каждый день. Кто-то утверждал, что Google анализирует активность. У кого-то после двух недель тестирование вообще не засчитывалось, и процесс приходилось повторять.

Поэтому я решила перестраховаться и попросила участников регулярно запускать приложение.

Но, разумеется, все двенадцать человек ежедневно этого не делали. Примерно восемь пользовались приложением более-менее регулярно, остальные появлялись время от времени.

К концу двух недель я уже была почти уверена, что Google посмотрит на статистику и отправит меня ещё на один круг тестирования.

Но этого не произошло.

Четырнадцать дней закончились, я отправила заявку на доступ к публикации, прошла очередную проверку — и приложение одобрили.

То есть в моём случае ежедневный запуск всеми двенадцатью тестировщиками не потребовался.

Все участники установили приложение, находились в программе тестирования нужный срок, часть из них действительно пользовалась им регулярно — и этого оказалось достаточно.

Разумеется, это только мой опыт, а не универсальная инструкция. Google меняет правила, а результат проверки вполне может зависеть от конкретного приложения и аккаунта.

И всё-таки получилось

Через несколько недель после начала всей этой истории приложение наконец прошло публикацию.

Самое интересное для меня оказалось в том, что главные препятствия возникли совсем не там, где я их ожидала.

Я думала, что Google откажется принимать российский паспорт.

Не отказался.

Я думала, что возникнут проблемы с подтверждением российского адреса.

Обычная банковская выписка сработала.

Я переживала, что тестирование не засчитают из-за недостаточной активности части участников.

В моём случае засчитали.

А вот то, что первоначально казалось мелочью — оплата регистрационного сбора и поиск двенадцати тестировщиков, — в итоге потребовало едва ли не больше всего организационных усилий.

Так можно ли сейчас опубликовать приложение в Google Play из России?

Если говорить исключительно о моём опыте — получилось.

Мне удалось зарегистрировать аккаунт разработчика, оплатить регистрационный сбор, подтвердить личность российским паспортом, подтвердить место проживания российской банковской выпиской, пройти обязательное закрытое тестирование и получить доступ к публикации.

При этом мне не понадобился иностранный паспорт или документы о проживании в другой стране.

Конечно, я не могу гарантировать, что у другого разработчика завтра всё пройдёт точно так же. Google периодически меняет требования, проверки могут отличаться, а какие-то этапы со временем наверняка станут другими.

Но по крайней мере утверждение «из России сейчас вообще невозможно опубликовать приложение в Google Play» на моём опыте не подтвердилось.

Возможно.

Просто сначала нужно найти способ отдать Google 25 долларов, потом убедить его российским паспортом, что вы существуете, банковской выпиской объяснить, где вы живёте, победить интерфейс Play Console, найти двенадцать человек, у которых почему-то обязательно окажется либо iPhone, либо Huawei, две недели надеяться, что никто из них не исчезнет, пройти ещё одну проверку — и только после этого приложение наконец появится в магазине.

В общем, совершенно ничего сложного.