Bot Detection

Systém detekce botů TRACIO identifikuje automatizované prohlížeče, headless nástroje a skriptované útoky pomocí dvouvrstvé architektury: sběr signálů na straně klienta a analýza na straně serveru. Detekuje běžné automatizační frameworky, headless prohlížeče, AI agenty pro procházení webu a antidetekční prohlížeče s téměř nulovou mírou falešně pozitivních výsledků a zároveň automaticky přidává legitimní crawlery vyhledávačů na allowlist.

Co TRACIO detekuje

• Automatizační frameworky — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS a další, prostřednictvím artefaktů window/document a chování zásobníku volání (stack trace).
• Headless prohlížeče — headless Chrome a související běhová prostředí (artefakty CDP, softwarové GPU renderování, chybějící objekty prohlížeče).
• AI agenti pro procházení webu — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern a podobná agentní běhová prostředí.
• Antidetekční prohlížeče — Multilogin, GoLogin, Dolphin a další prohlížeče falšující fingerprint, prostřednictvím CSS/property/integritních sond.
• Ověřené crawlery — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo a další, ověřené přes reverzní DNS, aby podvržené user-agenty neprošly.

Architektura detekce

Sběr na straně klienta

Agent prohlížeče sbírá řadu signálů specifických pro boty a signálů pro křížovou validaci, které vstupují do rozhodování na straně serveru. Níže uvedená ID signálů jsou ilustrativní — interní ID nejsou stabilním veřejným kontraktem:

Analýza na straně serveru

Server spouští sadu detektorů, jejichž vážené výstupy se kombinují do bot skóre. Skóre se přes prahové hodnoty mapuje na verdikt — bot, když je ≥ 0,70, suspicious, když je ≥ 0,30, jinak human — a hard-fail signál (například navigator.webdriver) vynutí verdikt bot napřímo. Verdikty typu bot nesou volný štítek bot_type.

Reprezentativní detektory a jejich efekt:

Tarif a dostupnost. Detekce DevTools běží na tarifech Business a Enterprise; detekce VM je pouze Enterprise; detekce emulátoru běží na všech tarifech. To vše funguje ve webovém agentovi. Detekce rootu, jailbreaku, klonovaných/duálních aplikací, Fridy a továrního resetu závisí na nativních mobilních signálech a v čistě webovém nasazení není účinná (ve vývoji). Spoléhejte na verdikty ohledně automatizace, headless, AI agentů, antidetekce, VM/emulátoru a chování, které jsou na webu plně aktivní.

Formát výsledku

Detekce botů zapisuje pole bot_result ke každé události (a bot.result ve webhookovém payloadu).

Hodnoty výsledku

bot_result je jedna ze tří kanonických hodnot:

To se mapuje na obchodní pole decision (real, fake nebo suspicious) používané napříč dashboardem a na bot.result ve webhookovém payloadu.

Typy botů (když je výsledek "bot")

bot_type je volný řetězec. Níže uvedené hodnoty jsou ilustrativní příklady toho, co detektory vydávají, nikoli vyčerpávající výčet:

Vysvětlení metod detekce

1. Příznak webdriver

Nejpřímější detekce. Všechny hlavní automatizační frameworky nastavují navigator.webdriver = true podle specifikace WebDriver. Toto se kontroluje jak v hlavním rámci (s300), tak ve skrytém iframu (s158), aby se zachytily nástroje, které opraví pouze hlavní rámec.

2. Skenování automatizačních frameworků

Komplexní skenování vlastností window a document na artefakty specifické pro frameworky:

Sken také používá regulární výraz /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ k detekci pomocných globálů injektovaných Seleniem.

3. Detekce headless prohlížečů

Vyhodnocuje se 11 markerů s prahem 2 a více pro klasifikaci:

4. Ověření dobrých botů

Známé dobré boty se rozpoznávají podle vzoru User-Agent. Každý je ověřen přes reverzní DNS, aby se zabránilo spoofingu:

1. Reverzní DNS lookup na připojující se IP k získání hostname
2. Kontrola přípony hostname proti povoleným doménám (např. .googlebot.com)
3. Dopředný DNS lookup na hostname k ověření, že IP souhlasí

Pokud požadavek tvrdí, že je Googlebot, ale reverzní DNS jeho IP se rozliší na cizí doménu (potvrzený nesoulad PTR, nikoli pouze chybějící/vypršelý lookup), je klasifikován jako bot (typ spoofed:google).

5. Behaviorální analýza

Detekce založená na rychlosti s hodnocením entropie:

Doplňující pravidlo: Žádné události myši/klávesnice po 30+ sekundách stáří relace klasifikují návštěvu jako bot s typem noInteraction.

6. Analýza délky eval

eval.toString().length produkuje konzistentní hodnoty pro každý engine:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

Jakákoli jiná hodnota naznačuje, že funkce eval byla zaháknuta automatizačním frameworkem, což klasifikuje návštěvu jako bot s typem unknown.

Příklady integrace

Blokování botů při přihlášení (klient)

Klientské SDK vystavuje praktický boolean result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Kontrola botů na straně serveru

Na svém serveru reagujte na doručení webhooku. Detekce botů se nachází v objektu bot — bot.result a bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Zacházení s falešně pozitivními výsledky

Detekce botů TRACIO je navržena pro téměř nulovou míru falešně pozitivních výsledků. Přesto se mohou vyskytnout hraniční případy:

Pokud narazíte na falešně pozitivní výsledky, prohlédněte si pole bot.type, abyste pochopili, který detektor byl spuštěn, a upravte podle toho svou politiku.