Uptimeify-Bots: Was sie abrufen und wie du sie blockierst

Du bist vermutlich hier, weil in deinen Logs einer unserer Namen auftaucht und du zwei Antworten brauchst: Was ist das, und wie stelle ich es ab. Beides steht auf dieser Seite, und für beides musst du uns nicht erst schreiben.

Wir betreiben drei automatisierte Clients gegen das öffentliche Internet. Jeder weist sich aus, jeder kommt aus einem veröffentlichten Adressbereich, jeder lässt sich an deiner Edge blockieren. Einer davon läuft in einem Prüfintervall, das jemand auf deiner Seite selbst gewählt hat. Den zu blockieren hat eine Folge, die du vorher kennen solltest.

Unsere Bots

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/149.0.0.0 Safari/537.36 SiteMonitorBot/1.0 (+https://uptimeify.io)

Adressen und Verifizierung

Jeder geplante Check kommt aus einer festen, veröffentlichten Flotte. Die Liste unten wird aus den Knoten erzeugt, die gerade tatsächlich aktiv sind, nicht aus einer handgepflegten Kopie. Eine Allowlist, die darauf aufbaut, bleibt also richtig, wenn sich die Flotte ändert.

Fertige Firewall-Snippets pro Anbieter stehen in der Firewall-Dokumentation. Wenn du es lieber automatisierst: /ips.txt ist reiner Text, eine Adresse pro Zeile, fünf Minuten gecacht.

Prüfen, ob wir durchkommen

Wenn schon eine Regel steht und du wissen willst, was sie mit uns macht: Lass uns dich abrufen. Wir fragen die Adresse mit dem User-Agent von SiteMonitorBot an und zeigen dir die Antwort, die dein eigener Server gibt.

Das fragt deinen Server und liest seine Antwort, mehr nicht. Es verrät nicht, ob diese Adresse bei uns überwacht wird, von wem oder wie oft. Das wäre eine Auskunft über fremde Konten an jeden, der einen Hostnamen erraten kann.

Warum das in deinem Log steht

Woran wir uns halten

Unsere Checks laufen gegen Infrastruktur, die uns nicht gehört. Da zählen die Grenzen mehr als die Absichten. Diese hier stehen im Code, nicht im Leitbild:

• Wir weisen uns aus. Jede geplante Anfrage trägt einen Namen und eine URL, die auf diese Seite führt. Die eine Ausnahme, die Keyword- und Expected-Response-Checks, steht oben benannt, statt dass du sie selbst herausfinden musst.
• Wir gehen zurück, statt zu wiederholen. Ein fehlgeschlagener Statusseiten-Abruf wartet auf den nächsten Zyklus. Er bedrängt keinen Host, der ohnehin schon kämpft.
• Wir fragen so wenig ab wie möglich. Bedingte Anfragen heißen: Eine unveränderte Statusseite antwortet mit HTTP-Statuscode 304 und schickt gar keinen Body. Erreichbarkeitsprüfungen lesen von vornherein keinen.
• Wir bleiben, wo wir hingeschickt wurden. Eine Weiterleitung beim Statusseiten-Abruf ist ein Fehlschlag, keine Einladung. Nichts entscheidet zur Laufzeit, einen ungeprüften Host abzurufen.
• Wir veröffentlichen, woher wir kommen. Die Adressliste oben entsteht aus der laufenden Flotte. Blockieren oder Freigeben hängt also nie daran, dass wir daran denken, eine Seite zu aktualisieren.

Was wir nicht tun: robots.txt lesen. Ein Disallow kostet dich zehn Minuten und ändert bei keinem der drei Clients etwas. Eine Regel an deinem CDN, deiner WAF oder deinem Webserver wirkt sofort.

Uns blockieren

Match auf die Teilzeichenkette, nie auf den ganzen User-Agent-String, und die Anfrage abweisen. Cloudflare, als Ausdruck einer eigenen WAF-Regel:

(http.user_agent contains "SiteMonitorBot") or
(http.user_agent contains "UptimeifyStatusBot") or
(http.user_agent contains "UptimeifyToolsBot")

nginx:

if ($http_user_agent ~* "(SiteMonitorBot|UptimeifyStatusBot|UptimeifyToolsBot)") {
    return 403;
}

Apache 2.4:

<If "%{HTTP_USER_AGENT} =~ /SiteMonitorBot|UptimeifyStatusBot|UptimeifyToolsBot/">
    Require all denied
</If>

Wenn du auch die Keyword- und Expected-Response-Checks stoppen willst, blockiere die Adressen aus /ips.txt statt der Namen, diese Anfragen tragen einen gewöhnlichen Chrome-User-Agent.

Eine Folge solltest du vorher abwägen: Wenn du SiteMonitorBot blockierst, stoppt das einen Check, auf den sich jemand in deinem eigenen Team verlässt, und er meldet dann einen Fehlalarm, einen Ausfall, der nicht stattfindet. Auch deshalb sind es drei getrennte Clients statt einem: Das Blockieren des einen darf die anderen nie stillschweigend mitnehmen.

Kontakt

Etwas stimmt nicht, ist zu häufig oder schlicht unerwünscht: hello@uptimeify.io. Wir lesen diese Adresse und antworten.