Bot Detection

يحدِّد نظام كشف البوتات في TRACIO المتصفحات الآلية والأدوات التي تعمل بلا واجهة (headless) والهجمات المكتوبة برمجيًا باستخدام بنية من طبقتين: جمع الإشارات من جهة العميل والتحليل من جهة الخادم. يكتشف النظام أطر الأتمتة الشائعة والمتصفحات التي تعمل بلا واجهة ووكلاء التصفح بالذكاء الاصطناعي ومتصفحات مقاومة البصمة مع نسبة إيجابيات خاطئة شبه معدومة، مع إدراج زواحف محركات البحث المشروعة تلقائيًا في قائمة السماح.

ما الذي يكتشفه TRACIO

• أطر الأتمتة — Selenium وPuppeteer وPlaywright وCypress وPhantomJS وNightmareJS وغيرها، عبر آثار window/document وسلوك تتبُّع المكدس (stack-trace).
• المتصفحات التي تعمل بلا واجهة — Headless Chrome وبيئات التشغيل ذات الصلة (آثار CDP، والعرض عبر معالج رسوميات برمجي، وغياب كائنات المتصفح).
• وكلاء التصفح بالذكاء الاصطناعي — Browser-Use وClaude Computer Use وFellou وGenspark وSkyvern وبيئات تشغيل وكلاء مشابهة.
• متصفحات مقاومة البصمة — Multilogin وGoLogin وDolphin وغيرها من المتصفحات المزيِّفة للبصمة، عبر فحوص CSS/الخصائص/السلامة.
• الزواحف الموثَّقة — Googlebot وBingbot وApplebot وGPTBot وYandex وDuckDuckGo وغيرها، موثَّقة عبر DNS العكسي حتى لا تمر وكلاء المستخدم المزيَّفة.

بنية الكشف

الجمع من جهة العميل

يجمع وكيل المتصفح مجموعة من الإشارات الخاصة بالبوتات وإشارات التحقق المتقاطع التي تغذّي القرارات على جهة الخادم. معرّفات الإشارات أدناه توضيحية — فالمعرّفات الداخلية ليست عقدًا عامًا ثابتًا:

التحليل من جهة الخادم

يشغّل الخادم مجموعة من الكواشف التي تُدمج مخرجاتها الموزونة في درجة بوت (bot score). تُربَط الدرجة بحكم عبر عتبات — bot عندما تكون ≥ 0.70، وsuspicious عندما تكون ≥ 0.30، وإلا فـ human — وتفرض إشارة الفشل الحاد (مثل navigator.webdriver) حكم bot مباشرةً. تحمل أحكام البوت تسمية bot_type حرة الصياغة.

كواشف تمثيلية وتأثيرها:

الفئة والتوافر. يعمل كشف DevTools على خطتَي Business وEnterprise؛ وكشف الأجهزة الافتراضية (VM) حصري لـ Enterprise؛ ويعمل كشف المحاكيات على جميع الخطط. كل هذا يعمل في وكيل الويب. أما كشف الجذر (root) وكسر الحماية (jailbreak) والتطبيقات المستنسخة/المزدوجة وFrida وإعادة ضبط المصنع فيعتمد على إشارات الأجهزة المحمولة الأصلية، وهو غير فعّال في النشر المقتصر على الويب (قيد التطوير). اعتمد على أحكام الأتمتة والعمل بلا واجهة ووكلاء الذكاء الاصطناعي ومقاومة البصمة والأجهزة الافتراضية/المحاكيات والسلوك، وهي مفعَّلة بالكامل على الويب.

صيغة النتيجة

يكتب كشف البوتات حقل bot_result في كل حدث (وbot.result في الحمولة الخاصة بالـ webhook).

قيم النتيجة

bot_result هي إحدى ثلاث قيم قياسية:

يُربَط هذا بحقل القرار التجاري decision (real أو fake أو suspicious) المستخدَم عبر لوحة التحكم، وبـ bot.result في حمولة الـ webhook.

أنواع البوتات (عندما تكون النتيجة "bot")

bot_type سلسلة نصية حرة الصياغة. القيم أدناه أمثلة توضيحية على ما تصدره الكواشف، وليست تعدادًا شاملًا:

شرح طرق الكشف

1. علَم Webdriver

الكشف الأكثر مباشرة. تضبط جميع أطر الأتمتة الرئيسية navigator.webdriver = true وفقًا لمواصفة WebDriver. يُفحص هذا في الإطار الرئيسي (s300) وفي iframe مخفي (s158) لالتقاط الأدوات التي ترقّع الإطار الرئيسي فقط.

2. فحص أطر الأتمتة

فحص شامل لخصائص window وdocument بحثًا عن آثار خاصة بالأطر:

يستخدم الفحص أيضًا النمط النظامي /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ لاكتشاف متغيّرات Selenium المساعدة العامة المحقونة.

3. كشف المتصفحات العاملة بلا واجهة

يجري تقييم 11 مؤشرًا، بعتبة اثنين أو أكثر للتصنيف:

4. التحقق من البوتات الجيدة

تُعرَف البوتات الجيدة المعروفة عبر نمط وكيل المستخدم. ويُتحقَّق من كل منها عبر DNS العكسي لمنع التزييف:

1. بحث DNS عكسي على عنوان IP المتصل للحصول على اسم المضيف
2. مطابقة لاحقة اسم المضيف مع النطاقات المسموح بها (مثل .googlebot.com)
3. بحث DNS أمامي على اسم المضيف للتحقق من تطابق عنوان IP

إذا ادّعى طلبٌ أنه Googlebot لكن DNS العكسي لعنوان IP الخاص به يُحلَّل إلى نطاق أجنبي (عدم تطابق PTR مؤكَّد، وليس مجرد بحث مفقود/انتهت مهلته)، فإنه يُصنَّف على أنه bot (النوع spoofed:google).

5. التحليل السلوكي

كشف قائم على المعدل مع تسجيل للإنتروبيا:

قاعدة إضافية: عدم وجود أحداث فأرة/لوحة مفاتيح بعد مرور 30 ثانية أو أكثر على عمر الجلسة يصنّف الزيارة على أنها bot بالنوع noInteraction.

6. تحليل طول Eval

يُنتج eval.toString().length قيمًا ثابتة لكل محرك:

• 33: Chrome، Edge (V8)
• 37: Firefox (SpiderMonkey)، Safari (JavaScriptCore)

أي قيمة أخرى تدل على أن دالة eval قد جرى اعتراضها (hooked) من قبل إطار أتمتة، ما يصنّف الزيارة على أنها bot بالنوع unknown.

أمثلة على الدمج

حجب البوتات عند تسجيل الدخول (العميل)

يوفّر الـ SDK على جهة العميل قيمة منطقية مريحة، result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

فحص البوتات من جهة الخادم

على خادمك، تصرَّف بناءً على تسليم الـ webhook. يوجد كشف البوتات داخل كائن bot — bot.result وbot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

التعامل مع الإيجابيات الخاطئة

صُمِّم كشف البوتات في TRACIO لتحقيق نسبة إيجابيات خاطئة شبه معدومة. ومع ذلك، قد تحدث حالات حافّة:

إذا واجهت إيجابيات خاطئة، فراجع حقل bot.type لفهم أي كاشف جرى تفعيله واضبط سياستك وفقًا لذلك.