Коли межа вашої автоматизації проходить нижче за API

Що саме блокують в Іспанії

За реконструкцією OONI, з 18 грудня 2024 року в Іспанії діє рішення Комерційного суду №6 Барселони у справі, поданій LaLiga разом із Telefónica Audiovisual Digital: на час трансляцій матчів провайдери блокують IP-адреси, з яких ідуть піратські стріми. Блокують саме по IP, не по домену і не по SNI. Один edge-адрес Cloudflare обслуговує десятки тисяч чужих доменів, тому разом із піратами лягають усі сусіди. Спроби Cloudflare і RootedCON скасувати рішення суд відхилив 26 березня 2025 року, без права оскарження.

Який масштаб має ця колатеральна шкода

Масштаб порахували в OONI. З 9,2 мільйона доменів, просканованих з Іспанії з 1 січня по 1 червня 2026 року, 554 507 хоча б раз були недоступні. На Cloudflare припадає 501 305 із них — 90,4% усієї шкоди, і йде вона всього з 2 218 адрес. Щоб на одну годину покласти понад 400 тисяч доменів, достатньо вимкнути від чотирьох до двадцяти IP. Самі автори називають ці числа нижньою межею.

Чому це ламає не сайт, а платіж

Для бізнесу наслідок не «клієнт не зайшов на сайт». Іспанська агенція WAM разом з Interactiv4 розібрала випадок, де під блок потрапили зворотні виклики платіжного шлюзу Redsys до магазинів на Adobe Commerce: платіж проходив, а сповіщення про нього не долітало, тому замовлення не позначалися оплаченими, рахунки не виставлялися, невдалі замовлення не скасовувалися. Після перенесення приймача сповіщень на піддомен поза Cloudflare частка провалених підтверджень впала з 48,88% до 1,62%. У списку заблокованого в OONI поруч із сайтами лежать s3.amazonaws.com і registry.terraform.io, а навесні 2026-го в Іспанії масово перестав працювати docker pull. Ламається саме machine-to-machine — той шар, у якому нема кому поскаржитися.

Як перевірити власну експозицію

Перевірка займає годину. Подивіться, за якими адресами резолвиться ваш домен і домени, з яких до вас ходять чужі інтеграції: якщо і клієнти, і webhook-приймач стоять за тим самим edge-провайдером, вони падають разом. Далі накладіть провали ingest — прийому вхідних даних — за останні місяці на календар турніру. Наш власний продакшн-сервіс у серпні 2026-го кілька вечорів поспіль був недоступний з Іспанії саме через таке блокування, поки всі його метрики лишалися зеленими.

Що з цим робити

• Винесіть приймач машинних сповіщень — вебхуки, платіжні callback, ingest — на окремий піддомен з окремим маршрутом, не за спільним edge-адресом із сайтом.
• Тримайте власний журнал подій на своєму боці й періодичну звірку поруч із вебхуками: те, що не доїхало під час блокування, добере саме звірка.
• Якщо у вас є клієнти або підрядники в Іспанії, перевіряйте розклад турніру як частину календаря релізів — це дешевше за розбір інциденту заднім числом.

Ця межа — окремий випадок ширшого правила: автоматизація, зібрана поверх чужої платформи, успадковує її точки відмови разом із нею. Повний перелік зобов'язань, яких ваш вендор на себе не брав, розібраний у сусідній нотатці, посилання нижче.