How It Works

TRACIO je identifikační systém typu klient–server. Klient sbírá signály prohlížeče a odesílá je na server, který vypočítá stabilní identifikátor návštěvníka, spustí detekční algoritmy a vrátí obohacené výsledky. Tato část vysvětluje každou fázi celého procesu.

Přehled architektury

Browser                              TRACIO Cloud
  |                                      |
  |-- Tracio.init({ publicKey }) ---------> |  (init, no network)
  |                                      |
  |-- tracio.getResult() ----------------> |
  |   1. Collect 130+ browser signals    |
  |   2. Encrypt (XOR + deflate + B64)   |
  |   3. POST to ingress endpoint        |
  |                                      |
  |                                      |-- Decrypt & extract signals
  |                                      |-- Compute visitor ID (MurmurHash3-128)
  |                                      |-- Run bot detection (weighted scoring)
  |                                      |-- Run smart signals (server-side enrichment)
  |                                      |-- Run IP intelligence (VPN/proxy/Tor)
  |                                      |-- Store visit event
  |                                      |
  |<-- JSON response ------------------- |
  |    visitorId, confidence,            |
  |    bot detection, smart signals      |
  |                                      |
  |-- Store visitor cookie (_vid_t) -----> |  (365-day persistence)

Fáze 1: Sběr signálů

Když je zavolána metoda tracio.getResult(), klient sesbírá více než 130 různých signálů prohlížeče uspořádaných do úrovní (tiers). Sběr využívá vícefázový proces s Web Workery a sdílenými iframy kvůli výkonu.

Kategorie signálů

Proces sběru

Proces sběru probíhá ve čtyřech fázích, aby se minimalizovalo blokování hlavního vlákna:

1. Fáze 1 (okamžitá): Signály s vysokou prioritou, které lze sesbírat rychle (vlastnosti navigatoru, obrazovka, časové pásmo). Zde se také spouští TURN probe, protože běží souběžně.

2. Fáze 2 (idle callback): Synchronní signály, které těží z období nečinnosti (CSS media queries, storage probes, testy cookies).

3. Fáze 3 (async): Signály vyžadující asynchronní API nebo rendering (canvas, WebGL, audio fingerprint, detekce písem, vykreslování emoji).

4. Web Worker: Izolovaný sběr signálů ve vyhrazeném vlákně (detekce funkcí WASM, doNotTrack).

Sdílený skrytý iframe je vytvořen jednou a znovu použit více kolektory (emoji, MathML, systémové barvy, písma, screen frame), aby se předešlo režii vytváření samostatných iframů pro každý signál.

Formát signálu

Každý signál má konzistentní strukturu:

interface Signal<T> {
  s: number // Status code
  v: T // Value (when successful)
}

Stavové kódy:

Fáze 2: Šifrovaný přenos

Sesbírané signály jsou serializovány do JSON a poté před přenosem zašifrovány a komprimovány:

1. Serializace do JSON: Všechny hodnoty signálů jsou zabaleny do objektu JSON s klíči podle signálu, plus metadatová pole (c pro API klíč, t pro tag, lid pro linked ID).

2. Komprese: Pokud payload přesáhne 1024 bajtů, je zkomprimován pomocí CompressionStream("deflate-raw").

3. XOR šifrování: Payload je zabalen do šifrovací obálky:

   • Náhodný bajt XOR klíče
   • Hlavičkové bajty (validační značky)
   • Náhodná výplň (0–3 bajty)
   • 9bajtová XOR maska
   • Payload zpracovaný operací XOR s opakující se maskou

4. Kódování Base64: Šifrovaný payload je zakódován ve formátu Base64url a odeslán jako tělo POST požadavku.

Požadavek je odeslán na ingress endpoint s query parametry pro verzi klienta a API klíč. Zahrnují se CORS credentials, aby se odeslaly first-party cookies.

Fáze 3: Zpracování na straně serveru

Server přijme šifrovaný payload a zpracuje jej prostřednictvím několika subsystémů:

Extrakce signálů

Server dekóduje XOR obálku, v případě potřeby dekomprimuje a parsuje data signálů ve formátu JSON. Stavový kód a hodnota každého signálu jsou extrahovány a validovány.

Výpočet ID návštěvníka

ID návštěvníka se vypočítá pomocí přístupu víceúrovňového hashování (tiered hashing, V3):

Tier 1 (Frozen): 20 base62 characters
  - Stable hardware signals that rarely change
  - Canvas, WebGL renderer, audio fingerprint, fonts
  - Provides long-term visitor identity

Tier 2 (Semi-stable): 10 base62 characters
  - Signals that change with browser updates
  - User-Agent data, Client Hints, plugins
  - Extensible without breaking Tier 1

Tier 3 (Volatile): 10 base62 characters
  - Signals that change frequently
  - Screen resolution, timezone, language
  - Used for confidence scoring, not identity

Každá úroveň extrahuje své přidělené signály, sestaví kanonický řetězec a zahashuje jej pomocí MurmurHash3-x64-128. Tři hashe jednotlivých úrovní se zřetězí a zakódují do base62, čímž vznikne finální ID návštěvníka.

Skórování jistoty

Skóre jistoty (confidence, 0.0 až 1.0) udává, jak jistě systém tohoto návštěvníka správně identifikoval:

• Shoda cookie (1.0): Pokud se šifrované cookie _vid_t shoduje, jistota je maximální.
• První návštěva (0.90): Noví návštěvníci bez předchozího záznamu začínají na 0.90.
• Vracející se návštěvník: Jistota se vypočítá z váhování frekvence signálů (na bázi IDF) a fuzzy porovnání s uloženými fingerprinty pomocí Hammingovy vzdálenosti na úrovni bitů.

Bot detection

Engine pro detekci botů spouští několik detektorů, jejichž vážené výstupy se kombinují do bot skóre (prahové hodnoty: bot ≥ 0,70, suspicious ≥ 0,30; signál typu hard-fail vynutí verdikt bota). Mezi přispívající detektory patří:

1. Kontrola webdriver flag (nejvyšší priorita)
2. Analýza kompozitního automatizačního signálu
3. Porovnání UA dobrých botů + ověření IP (reverse DNS)
4. Detekce headless prohlížeče (11 markerů, práh 2+)
5. Detekce anomálie eval length
6. Porovnání vzorů UA škodlivých botů
7. Klasifikace automatizačního frameworku (Puppeteer, Playwright, Cypress, Selenium)
8. Detekce VM (VMware, VirtualBox, Parallels, QEMU, Hyper-V)
9. Detekce emulátoru (skórování mobilních emulátorů)
10. Detekce Frida/instrumentace
11. Detekce DevTools
12. Klasifikace privacy prohlížečů (Tor, Brave, Firefox ETP, Safari ITP)
13. Detekce klonovaných aplikací
14. Behaviorální analýza (rychlost/entropie/interakce)

Obohacení smart signaly

Obohacovací signály na straně serveru se počítají ze surových dat signálů a z IP intelligence. Patří sem detekce VPN/proxy/Tor, IP geolokace, analýza manipulace s prohlížečem (browser tampering) a skórování podezřelosti.

IP intelligence

Subsystém IP intelligence poskytuje:

• VPN / Proxy / Tor / datacentrum: klasifikace na základě připojující se IP pomocí komerčních databází IP intelligence (IP2Location)
• Geolokace: přesnost na úrovni města a ASN prostřednictvím MaxMind GeoIP2

Fáze 4: Odpověď

Server vrátí odpověď ve formátu JSON obsahující:

{
  "visitorId": "X7fh2Hg9LkMn3pQr",
  "bot": {
    "detected": false,
    "confidence": 2,
    "reasons": []
  }
}

Toto je výsledek, na který se tracio.getResult() v prohlížeči rozhodne (resolve). Kompletní, obohacená událost — včetně kanonického bot_result (human / bot / uncertain), geolokace a smart signals — je doručena na straně serveru prostřednictvím webhooků a zobrazena v dashboardu.

Klient ukládá token návštěvníka jak do first-party cookie (platnost 365 dní, SameSite=Lax), tak do localStorage kvůli perzistenci napříč relacemi.

Shrnutí toku dat

Celkový round-trip: Typicky 80–300 ms v závislosti na síťových podmínkách a možnostech prohlížeče.