Detekce botů

Detekce botů v TRACIO identifikuje automatizované prohlížeče, headless nástroje a skriptované útoky pomocí dvouvrstvé architektury: sběr na straně klienta v prohlížečovém agentovi a analýza na straně serveru. Pokrývá běžné automatizační frameworky, headless prohlížeče, AI agenty pro procházení webu a anti-detect prohlížeče s téměř nulovou mírou falešně pozitivních výsledků a zároveň automaticky přidává legitimní crawlery vyhledávačů na allowlist.

Co TRACIO detekuje

• Automatizační frameworky — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS a podobné nástroje.
• Headless prohlížeče — headless Chrome a příbuzná běhová prostředí.
• AI agenti pro procházení webu — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern a podobná běhová prostředí agentů.
• Anti-detect prohlížeče — sestavení prohlížečů, jejichž účelem je podvrhovat nebo rotovat otisk.
• Ověřené crawlery — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo a další; ověření je nastaveno tak, aby podvržený user-agent neprošel.

Jak vzniká verdikt

Prohlížečový agent spouští širokou sadu kontrol a hlásí jejich výsledky. Na serveru se výsledky váženě sloučí do skóre bota a skóre se mapuje na verdikt. Malý počet jednoznačných indikátorů je rozhodující sám o sobě a vynutí verdikt bot bez ohledu na zbytek.

Které kontroly běží, jak jsou váženy a kde leží prahy, se nezveřejňuje — v žádném tarifu. Popsat to by provozovatelům botů přesně řeklo, co změnit, aby ochranu obešli. Místo toho dostáváte verdikt, označení typu bota a — v tarifu Business a vyšším — kódy důvodů, které pojmenovávají třídu pozorování stojící za rozhodnutím.

Formát výsledku

Každá identifikace nese verdikt o botovi. Dorazí k vám jako bot.result v payloadu webhooku a jako result.bot v klientském SDK.

Hodnoty verdiktu

To se mapuje na byznysové pole decision.action (real, fake nebo suspicious), které se používá v celém dashboardu i v payloadu webhooku.

Verdikt doprovází bot.score. Ve verzi 2 payloadu webhooku jde o desetinné číslo na škále 0..100 — přesně to číslo, které pro danou návštěvu ukazuje dashboard. (V zamrzlém schématu verze 1 jde o zlomek na škále 0..1; viz Webhooks.)

Typy botů

bot.type je přítomen, když je výsledek bot. Je to buď název rozpoznaného bota či běhového prostředí, nebo rodina, pokud by pojmenování konkrétní kontroly prozradilo vnitřní fungování detektoru:

Seznam je uzavřený záměrně: kontrola přidaná do detektoru zítra se projeví jako other, místo aby prozradila svůj interní název. Berte bot.type jako označení, podle kterého se větvíte, nikoli jako vyčerpávající enum k validaci — nová pojmenovaná běhová prostředí přibývají v čase.

Kódy důvodů (Business a vyšší)

V tarifech Business a Enterprise nese payload webhooku pole reasons — nejvýše osm položek seřazených podle důležitosti. Kód pojmenovává třídu pozorování, nikdy kontrolu, která za ním stojí:

severity nabývá hodnot high, medium nebo low a znamená podíl verdiktu, který na tuto třídu při této návštěvě připadá — nikoli pevnou vlastnost kódu. Tentýž kód může u jedné návštěvy dorazit jako high a u jiné jako low, takže si jej neukládejte do cache jako konstantu.

Zvláštní pozornost si zaslouží privacy_hardening: spouští se u běžných návštěvníků, kteří dbají na soukromí, stejně jako u pokusů o obcházení. Važte jej spolu se zbytkem, místo abyste podle něj jednali samostatně.

virtual_environment pochází z detekce emulátorů. Na webu neexistuje samostatný verdikt „běží pod hypervizorem“: vodítka, která prohlížeč vidí — obecný softwarový renderer, neobvykle nízký počet jader — se stejně často objevují i na běžných strojích bez ovladače GPU a uvnitř relací vzdálené plochy, takže z nich neděláme verdikt, který byste museli zpochybňovat.

Dostupnost podle tarifů

Anti-detect skóre se stále kalibruje. bot.antidetectScore se vykazuje proto, abyste jej mohli sledovat a ladit vlastní politiku — berte jej jako vstup do svého rozhodnutí o riziku, nikoli jako samostatný důvod k zablokování.

Kontroly určené jen pro mobilní zařízení na webu nefungují. Detekce rootu, jailbreaku, klonovaných/duálních aplikací a nástroje Frida závisí na nativních signálech, které prohlížeč nedokáže sebrat. TRACIO dodává pouze prohlížečové SDK, spoléhejte se tedy na verdikty o automatizaci, headless prostředí, AI agentech, anti-detect sestaveních, emulátorech a chování — ty jsou na webu plně aktivní.

Ověřené crawlery

Známí „hodní“ boti se rozpoznají podle svého user-agenta a poté se ověří proti IP adrese, ze které se připojují — reverzní DNS dotaz na IP adresu, kontrola, že získané hostname patří do domény provozovatele, a dopředný dotaz potvrzující, že se překládá zpět na tutéž IP adresu. Je to přesně ten ověřovací postup, který provozovatelé crawlerů sami zveřejňují.

Ověřený crawler se vyhodnotí jako human. Požadavek, který o sobě tvrdí, že je Googlebot, zatímco jeho IP prokazatelně patří někomu jinému, je klasifikován jako bot — pouhý chybějící dotaz nebo dotaz vypršený časovým limitem se za důkaz podvrhu nepovažuje.

Behaviorální analýza

Dynamika interakce — pohyb ukazatele, kadence klávesnice, scrollování — vstupuje do verdiktu jako důkaz o tom, zda je přítomen člověk, nikoli o tom, který člověk to je. V tarifu Business a vyšším se agregát doručuje v bloku behavior webhooku:

{
  "behavior": {
    "score": 87,
    "verdict": "human",
    "confidence": 0.92
  }
}

score běží na škále 0..100 (vyšší = lidštější), verdict nabývá hodnot human, uncertain nebo bot a confidence (0..1) říká, o kolik důkazů se verdikt opírá — krátká návštěva se dvěma pohyby ukazatele zde dostane nízkou hodnotu i tehdy, když verdikt vypadá jednoznačně.

Blok je přítomen jen tehdy, když behaviorální skórování pro danou návštěvu skutečně proběhlo. Chybějící blok znamená „žádná data“, nikdy „nic podezřelého“ — nečtěte jeho nepřítomnost jako čistý signál.

Příklady integrace

Blokování botů při přihlášení (klient)

Klientské SDK nabízí pohodlný boolean result.bot.detected a k tomu confidence na škále 0..100:

const result = await tracio.getResult()

if (result.bot.detected) {
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

await login(credentials)

Kontrola botů na straně serveru

Na svém serveru jednejte podle doručení webhooku. Verdikt o botovi je v objektu bot — bot.result a bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot?.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Nulové a prázdné hodnoty se z payloadu vynechávají, takže bot.type čtěte obezřetně a nevyžadujte jej ve svých schématech.

Řešení falešně pozitivních výsledků

Detekce botů v TRACIO je navržena na téměř nulovou míru falešně pozitivních výsledků, hraniční případy ale existují:

Pokud narazíte na falešně pozitivní výsledky, projděte bot.type (a reasons v tarifu Business a vyšším), abyste zjistili, která třída pozorování se spustila, a upravte podle toho svou politiku. Běžné příčiny najdete v části Řešení problémů.