EMoneyBot: почему банкам и брокерам не стоит блокировать его не глядя

eMoneyBot стоит отдельного правила в антиботе: это не «ещё один hit», а повторяемый паттерн автоматизации в категории «Прочие краулеры и сервисы» — но, в отличие от многих соседей по категории, за этим токеном стоит крупная и легитимная финтех-компания. eMoneyBot — краулер eMoney Advisor, одного из крупнейших разработчиков программного обеспечения для финансового планирования в США. Бот запрашивает страницы в рамках функции агрегации финансовых данных: eMoney Advisor партнёрится с широким кругом финансовых организаций и собирает данные счетов через API или прямые фиды, чтобы консультанты могли видеть полную финансовую картину своих клиентов в одном месте. Оператор: eMoney Advisor, LLC — платформа финансового планирования, которой пользуются свыше 109 000 финансовых консультантов, обслуживающих более 6,3 млн домохозяйств в США. Ключевой момент: если ваш сайт — банк, брокер или другая финансовая организация, визиты этого бота почти наверняка связаны с реальными клиентами, подключившими свой аккаунт через консультанта на eMoney, а не со сторонним сбором данных без согласия.

Что такое eMoneyBot

Зачем eMoneyBot приходит на сайт

eMoney Advisor официально описывает себя как «клиентски высокооцененную платформу агрегации данных №1», партнёрящуюся с широким кругом финансовых институтов и агрегирующую свыше 82% счетов через API или прямые фиды. Это позволяет консультантам собирать данные из разных источников клиента в единый финансовый план.

• Какие зоны чаще трогает: страницы, связанные со счетами, инвестициями, финансовыми данными пользователей — в первую очередь на сайтах банков, брокеров и других финансовых организаций
• Что ищет: финансовую информацию по конкретным счетам, к которым клиент дал доступ через eMoney
• Чем отличается от браузерного пользователя: нет обычной пользовательской сессии в привычном виде — запрос идёт от лица агрегатора, действующего по авторизации конечного клиента

Типичный кейс для финансовой организации: в логах виден emoneybot на страницах, связанных со входом в личный кабинет или данными по счетам — прежде чем блокировать, стоит уточнить, не связано ли это с реальными клиентами, чьи финансовые консультанты используют eMoney для планирования.

Нагрузка и риски

Отдельной строки в публичной сводке top-bot TrafficVeil у emoneybot может не быть, но в категории «Прочие краулеры и сервисы» такие агенты дают характерный фон: на отдельных доменах серии запросов выглядят как мини-волны автоматизации без явных конверсий — что логично, поскольку задача бота не привести нового посетителя, а синхронизировать данные уже существующего клиента. Смотрите не только абсолютный RPS, но и качество хитов: если запросы сконцентрированы на разделах, связанных со счетами и авторизацией, а не на публичном контенте сайта — это отличает eMoneyBot от типичных контентных скраперов в этой же категории.

Как найти eMoneyBot в логах

# Базовый поиск
grep -i "emoneybot" /var/log/nginx/access.log

# Топ URL, которые вычитывает бот
grep -i "emoneybot" /var/log/nginx/access.log | awk '{print $7}' | sort | uniq -c | sort -rn | head

# Топ IP за этим UA
grep -i "emoneybot" /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head

# Суточная активность
grep -i "emoneybot" /var/log/nginx/access.log | awk '{print $4}' | cut -d: -f1 | sort | uniq -c

Верификация

Официального списка IP eMoney Advisor не публикует, поэтому строке UA напрямую доверять нельзя — её может присвоить себе любой скрипт. Смотрите связку UA + ASN/IP + частоту + набор URL:

IP="1.2.3.4"
whois -h whois.cymru.com " -v $IP"
dig +short -x "$IP"

robots.txt для eMoneyBot

# Жёсткий запрет
User-agent: emoneybot
Disallow: /

# Разрешить всё
User-agent: emoneybot
Allow: /

# Компромисс: закрыть служебные разделы, оставить публичку
User-agent: emoneybot
Disallow: /admin/
Disallow: /cart/
Disallow: /checkout/
Disallow: /account/
Disallow: /api/
Allow: /

Важно: если ваш сайт — финансовая организация и в нём есть раздел, к которому клиенты предоставляют доступ через агрегаторы вроде eMoney, широкий Disallow может сломать легитимную синхронизацию данных для реальных клиентов. Если агент игнорирует robots.txt, переходите к nginx/Apache или запрету в TrafficVeil, но сначала оцените бизнес-контекст.

Блокировка вручную и через TrafficVeil

Nginx

if ($http_user_agent ~* "emoneybot") {
    return 403;
}

limit_req_zone $binary_remote_addr zone=emoneybot:10m rate=10r/m;
location / {
    if ($http_user_agent ~* "emoneybot") {
        limit_req zone=emoneybot burst=20 nodelay;
    }
}

Apache (.htaccess)

RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} emoneybot [NC]
RewriteRule ^ - [F,L]

TrafficVeil

• Найдите emoneybot / eMoneyBot в ботах домена или в /system/bots
• Сайт не связан с финансовыми услугами — можно ставить запрет или rate-limit без риска
• Сайт — банк, брокер или финансовая организация — сначала выясните, есть ли клиенты, использующие агрегацию через eMoney, прежде чем блокировать
• После изменения сверьте логи: хиты eMoneyBot должны уйти в блок/лимит, а нужные поисковики остаться

Рекомендации: что делать с eMoneyBot

• Сайт не относится к финансовой сфере — Disallow/403, пользы от визитов нет
• Сайт — финансовая организация с реальными клиентами, использующими агрегаторов вроде eMoney — прежде чем блокировать, уточните бизнес-контекст, иначе рискуете разорвать легитимную синхронизацию данных клиентов
• Нагрузка мешает — сначала rate-limit, затем полный запрет
• Не режьте слишком широко User-agent: *, чтобы случайно не закрыть Googlebot/YandexBot вместе с emoneybot

С кем не путать eMoneyBot

Прямых подтверждённых «соседей» с такой же функцией финансовой агрегации данных под похожим UA-паттерном в открытых источниках не нашлось — если в логах встречается похожий, но не идентичный токен, не считайте его автоматически тем же оператором: сверяйте отдельно.