Bot AppHealthMeter

Czym jest ten ruch

AppHealthMeter to usługa monitoringu dostępności. Nasi użytkownicy dodają adresy własnych stron i API, a my sprawdzamy je w stałych odstępach i alarmujemy, gdy coś przestaje działać. Jeśli widzisz nasz User-Agent w logach, ktoś dodał ten adres jako monitor — zwykle właściciel strony albo zespół, który ją utrzymuje.

• Jeden adres, jedno żądanie. Sprawdzenie odpytuje dokładnie ten URL, który został skonfigurowany. Nie crawlujemy, nie podążamy za linkami, nie odkrywamy innych podstron.
• Nie przechowujemy treści. Zapisujemy kod odpowiedzi HTTP, czas odpowiedzi i komunikat błędu (np. „Timeout”). Treść odpowiedzi jest odrzucana.
• Bez treści żądania. Nawet dla monitorów POST czy PUT wysyłamy puste żądanie — metoda służy wyłącznie do sprawdzenia, jak odpowiada Twój endpoint.

Jak go rozpoznać

Każde sprawdzenie HTTP identyfikuje się dokładnie tym nagłówkiem User-Agent:

AppHealthMeter/1.0 (+https://apphealthmeter.com/bot)

• Metoda: domyślnie HEAD lub GET; właściciel monitora może wybrać POST, PUT, PATCH, DELETE, OPTIONS lub QUERY.
• Częstotliwość: jedno żądanie na monitor na interwał. Najkrótszy interwał to 30 sekund (plany płatne); plan Free sprawdza najwyżej co 5 minut.
• Timeouty: 5 sekund na połączenie, potem do 60 sekund na odpowiedź (domyślnie 30 s). Przekierowania śledzimy do 5 skoków.
• Monitory certyfikatu SSL otwierają połączenie TLS z host:port, żeby odczytać datę ważności certyfikatu — bez żądania HTTP. Monitory domeny odpytują rejestr (RDAP), nie Twój serwer. Heartbeaty to ruch z Twoich systemów do nas, nigdy odwrotnie.
• Źródło: dziś wszystkie sprawdzenia pochodzą z jednego regionu w Unii Europejskiej (Niemcy).

robots.txt

Nasze sprawdzenia nie czytają robots.txt. Wolimy powiedzieć to wprost, niż twierdzić inaczej. Standard Robots Exclusion jest adresowany do crawlerów, które odkrywają i indeksują treści. Sprawdzenie dostępności niczego nie odkrywa: odpytuje jeden adres, na zlecenie właściciela tej strony, i odrzuca odpowiedź. W praktyce to to samo, co curl uruchamiany przez właściciela z crona na własnej stronie.

Jeśli żądania są niechciane, właściwym narzędziem są kroki poniżej — blokada po stronie serwera albo wiadomość do nas; reguła Disallow w robots.txt niczego nie zmieni.

Jak go ograniczyć lub zablokować

Porozmawiaj z tym, kto to skonfigurował

Najczęściej monitor założył Twój własny zespół, wykonawca albo klient — najprościej poprosić, żeby go wstrzymał, usunął lub wydłużył interwał. Pamiętaj, że blokada naszych żądań sprawi, że monitor pokaże właścicielowi „Nie działa” — szybko to zauważy i będzie mógł go usunąć.

Blokada po User-Agencie

Każdy serwer WWW, CDN i WAF potrafi odrzucić żądania po User-Agencie. Wystarczy dopasowanie do AppHealthMeter.

# nginx
if ($http_user_agent ~* "AppHealthMeter") {
    return 403;
}

# Apache (.htaccess)
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} AppHealthMeter [NC]
RewriteRule .* - [F]

W zarządzanym firewallu (Cloudflare, AWS WAF i podobne) utwórz regułę blokującą żądania, których User-Agent zawiera AppHealthMeter.

Zgłaszanie nadużyć i kontakt

Jeśli nie jesteś właścicielem adresu, nie autoryzowałeś monitoringu albo częstotliwość sprawia problemy, napisz na support@apphealthmeter.com. Podaj adres(y), znaczniki czasu ze strefą czasową i jedną linię logu z User-Agentem. Identyfikujemy konto, zatrzymujemy sprawdzenia i informujemy użytkownika dlaczego. Odpowiadamy tego samego dnia roboczego.

• Sprawdzenia nigdy nie mogą być kierowane na adresy prywatne (localhost, sieci wewnętrzne, endpointy metadanych chmury), więc naszej usługi nie da się użyć do sondowania Twojej infrastruktury wewnętrznej.
• Luki bezpieczeństwa w samym AppHealthMeter: patrz /.well-known/security.txt.