01 / СЕКРЕТЫ
Охота за конфигами
Не меньше 62 попыток забрать файлы настроек и «ключей» — те, что случайно уезжают на сервер вместе с кодом.
≥62Ловушки поставлены. Роботы пришли.
Starbound lab — это наша сеть приманок (honeypot, «горшок с мёдом»): пустые сайты-ловушки, которые записывают, что боты и атакующие пробуют на обычных веб-сайтах. Вот набор карточек: что мы увидели под линзой и что можно проверить у себя за вечер.
2 023обращения к ловушкам за 7 дней
279разных источников
86вернулись ещё раз
135запросов за ~90 секунд от самого шустрого
Что показала лаборатория
Окно: 18–25 октября 2026 (по восточному времени США). Только суммарные цифры, без адресов.
02 / БЭКАПЫ
Забытые резервные копии
Не меньше 32 запросов к архивам и дампам баз данных: «а вдруг кто-то оставил backup рядом с сайтом?»
≥3203 / ПАНЕЛИ
Открытые админки
Не меньше 31 стука в панели управления и страницы первичной установки, которые забыли закрыть.
≥3104 / СКОРОСТЬ
Это не человек
135 запросов за полторы минуты по 87 разным путям. Сканер проходит весь список, пока вы наливаете кофе.
машинная скорость05 / ВСЕХ ПОДРЯД
Жертву не выбирают
Наши ловушки никто не рекламировал — их всё равно нашли. Боты проверяют всё, что видно в интернете.
4 хоста-ловушки06 / КАК УСТРОЕНО
Ловушка, а не крепость
Только пассивная запись и безобидные файлы-заглушки. Никаких настоящих ключей, логинов или файлов для атаки.
Что не пишем
Cookie, заголовки авторизации и тела запросов никогда не сохраняются. Данные живут 30 дней.
Попробуй / проверь сам
Шесть быстрых проверок для своего проекта, пет-проекта или сайта друга (с его согласия).
TRY 01
Что уезжает в деплой?
Открой папку, которую реально публикуешь. Нет ли там файлов окружения, конфигов с паролями, папки Git?
5 минутTRY 02
Бэкапы — не рядом с сайтом
Найди файлы .zip, .sql, .bak в публичной папке и перенеси их в закрытое хранилище.
10 минутTRY 03
Админка за замком
Панели и страницы установки — за входом с двухфакторной проверкой (2FA, второй шаг входа) или вообще вне публичного доступа.
15 минутTRY 04
Прочитай свои логи
Загляни в журнал хостинга: увидишь те же «стуки» по чужим путям. Это нормально — важно, чтобы им ничего не отвечало.
кофе-брейкTRY 05
Поставь лимит частоты
Ограничение запросов (rate limit) у твоего CDN (Content Delivery Network, сеть доставки контента) отрежет сканер на 135 запросах в минуту.
1 настройкаTRY 06
Ключи — в секреты
Все токены — в менеджер секретов платформы, а старые, если когда-то светились, перевыпусти. Это не стыдно, это гигиена.
навсегдаЧестная оговорка. После смены классификатора помечаются только точные совпадения; 1 731 обращение попало в «прочие пробы». Поэтому цифры по категориям — нижняя граница, а доля категорий внутри «прочих» НЕ ПРОВЕРЕНА. Это не сдвиг в поведении атакующих.
Идея набора пришла от одного человека из нашей церкви. Подробнее — в выборе недели.
Traps set. The robots showed up.
The Starbound lab is our honeypot network: empty trap websites that record what bots and attackers try against ordinary websites. Here is the kit: what we saw under the lens, and what you can check on your own stuff in one evening.
2,023trap hits in 7 days
279distinct sources
86came back for more
135requests in ~90 s from the busiest one
What the lab revealed
Window: Oct 18–25, 2026 (US Eastern Time). Aggregate counts only, no addresses.
01 / SECRETS
Config hunting
At least 62 attempts to grab settings and "key" files, the kind that accidentally ship to the server with the code.
≥6202 / BACKUPS
Forgotten backups
At least 32 requests for archives and database dumps: "maybe someone left a backup next to the site?"
≥3203 / PANELS
Open admin panels
At least 31 knocks on control panels and first-time setup pages someone forgot to close.
≥3104 / SPEED
Not a human
135 requests in a minute and a half across 87 different paths. The scanner runs its whole list while you pour coffee.
machine speed05 / EVERYONE
No one is picked
We never advertised the traps, and they were found anyway. Bots check everything visible on the internet.
4 trap hosts06 / HOW IT WORKS
A trap, not a fortress
Passive logging and harmless placeholder files only. No real keys, logins or attack files.
What we never log
Cookies, authorization headers and request bodies are never stored. Data is kept 30 days.
Try it / check it yourself
Six quick checks for your project, side project, or a friend's site (with their OK).
TRY 01
What ships in your deploy?
Open the folder you actually publish. Any environment files, configs with passwords, or a Git folder in there?
5 minTRY 02
Backups live elsewhere
Find .zip, .sql, .bak files in your public folder and move them to private storage.
10 minTRY 03
Lock the admin
Panels and setup pages go behind a login with 2FA (two-factor authentication) or off the public internet entirely.
15 minTRY 04
Read your own logs
Peek at your host's access log: you'll see the same knocks on random paths. That's normal; what matters is they get nothing back.
coffee breakTRY 05
Add a rate limit
A request rate limit on your CDN (Content Delivery Network) cuts off a scanner doing 135 requests a minute.
1 settingTRY 06
Keys go in secrets
Move every token into your platform's secret manager, and rotate any that were ever exposed. Not shameful, just hygiene.
foreverHonest caveat. Since a classifier change, only exact matches get labelled; 1,731 hits landed in "other probe". So category counts are lower bounds, and the category share inside "other probe" is UNVERIFIED. This is not a real shift in attacker behavior.
The kit idea came from a guy from church. More in the pick of the week.