Capa de comportamiento
Un programa se delata por cómo actúa, no por lo que hace
Cada visita produce movimiento: un cursor que viaja hacia un botón, teclas que se pulsan y se sueltan, una página que se desplaza, una pantalla que se toca. TRACIO puntúa ese movimiento de forma continua y le dice si vino de una mano o de un programa.
Lo que observamos
Cuatro canales de entrada, ponderados según el dispositivo que el visitante tiene en la mano
Cada canal se puntúa por separado y después se combinan. Los pesos no son fijos: siguen al dispositivo que el visitante está usando de verdad. En un teléfono, el toque decide el veredicto y la ausencia de cursor no significa nada. En un escritorio, el cursor es el canal más fuerte y la ausencia de flujo táctil es sencillamente lo esperable.
Ratón y cursor
Principal en escritorioLa velocidad y cuánto varía, los cambios de dirección por tramo recorrido, cómo se curva la trayectoria hacia un objetivo, la aceleración y el frenado antes de un clic, y el temblor fino de una mano humana que un movimiento programado no reproduce.
Ritmo de tecleo
Solo tiemposCuánto permanece pulsada cada tecla, el hueco entre una liberación y la siguiente pulsación, el solapamiento cuando la siguiente tecla baja antes de que suba la anterior, ráfagas y pausas, correcciones y retrocesos. Tiempos — nunca los caracteres. Vea la sección de privacidad más abajo.
Scroll
Ambos formatosLa varianza de la velocidad, con qué frecuencia se invierte la dirección, la inercia que decae como decae un impulso físico y las pausas que encajan con la cantidad de texto que hay realmente en pantalla.
Toque
Principal en móvilEl área de contacto y cómo cambia a lo largo de un toque, la presión reportada cuando el dispositivo la expone, la pequeña deriva de un dedo que nunca cae dos veces sobre el mismo píxel y los tiempos entre varios contactos.
La misma sesión, ponderada de dos maneras distintas
El ratón y el teclado llevan el peso. Aquí no se espera flujo táctil, así que su ausencia no le cuesta nada al visitante.
El toque y el movimiento del dispositivo llevan el peso. Una visita sin ningún movimiento de cursor es normal en un teléfono, no sospechosa.
La ausencia no es evidencia
Un canal que el dispositivo nunca ofreció se excluye de la puntuación en lugar de contar en contra del visitante. Suena obvio y es la forma más común en que una puntuación de comportamiento ingenua convierte a clientes reales en sospechosos: un teléfono no tiene ratón, quien usa un lector de pantalla no traza una trayectoria de cursor suave, y ninguno de esos dos hechos dice nada sobre ser un bot.
La evidencia
Tres cosas que hace el software y unas manos no pueden hacer
Son ejemplos, no el conjunto completo de reglas, pero muestran la forma de la evidencia sobre la que actuamos. Cada una es una imposibilidad física para una mano, y cada una está condicionada para que un momento raro aislado nunca se convierta en un veredicto.
Pulsaciones de metrónomo
Qué medimos
Todas las teclas mantenidas pulsadas casi exactamente el mismo número de milisegundos a lo largo de toda la entrada.
Por qué una mano no puede hacerlo
Cuánto se queda un dedo sobre una tecla depende de qué tecla sea, de qué mano venga y de lo cansada que esté esa mano. Los tiempos humanos se dispersan. Las pulsaciones inyectadas se generan a partir de una constante, y la dispersión se colapsa casi a cero.
Qué lo mantiene honesto
La regla necesita suficientes pulsaciones en la ventana antes de contar siquiera. Una entrada de cuatro caracteres no es una muestra, y no se puntúa como tal.
Clics que se teletransportan
Qué medimos
Un clic cae sobre un control al que el cursor nunca viajó: el puntero simplemente aparece en las coordenadas y dispara.
Por qué una mano no puede hacerlo
Una persona se acerca a su objetivo: la trayectoria se curva al llegar, la velocidad baja al final y suele haber un instante de hover antes de la pulsación. La automatización fija coordenadas y despacha un evento; no hay aproximación porque nada se movió físicamente.
Qué lo mantiene honesto
Un clic teletransportado aislado es un artefacto plausible de navegación por teclado o de trackpad. Solo cuenta cuando es la mayoría de los clics de una sesión que tuvo clics suficientes para juzgarla.
Escribir en una pestaña oculta
Qué medimos
Siguen llegando pulsaciones mientras la página está en segundo plano y nunca se ha traído al frente.
Por qué una mano no puede hacerlo
Una persona no puede escribir en una página que no está mirando. El software de granja maneja decenas de pestañas en paralelo y no se molesta en enfocar cada una antes de ponerse a rellenar formularios.
Qué lo mantiene honesto
Un evento en el instante de un cambio de pestaña es una carrera entre eventos del navegador, no una evidencia. Cuenta cuando la entrada se repite con la página aún nunca visible.
Privacidad
Medimos el ritmo. No podemos reconstruir el texto.
La recogida de comportamiento funciona en toda la página, incluidos los campos de contraseña, de correo y de número de tarjeta. Es una decisión deliberada, y merece explicarse entera en lugar de quedar enterrada en un documento de política.
Por qué los campos sensibles son justo los que importan
El credential stuffing (relleno de credenciales), las pruebas de tarjetas y el robo de cuentas ocurren dentro exactamente de esos campos. Un detector que se apaga ahí está ciego en el único sitio donde vive de verdad el ataque. Ese era el comportamiento anterior: la recogida se desactivaba por completo en los campos sensibles, así que los segundos de mayor riesgo de una visita no producían ninguna medición.
Qué se conserva
Los tiempos. Cuándo bajó una tecla, cuánto estuvo abajo, cuánto pasó hasta la siguiente, si dos pulsaciones se solaparon. Con eso basta para distinguir una mano de un generador, y es todo lo que el detector ha pedido jamás.
Qué no se conserva
Qué tecla era. Dentro de los campos sensibles, la identidad de cada pulsación se sustituye por un sustituto grueso en el navegador, antes de que nada salga de la página — uno de un puñado pequeño de cubos, no un carácter. No hay camino de vuelta. El flujo que llega a nuestros servidores no contiene texto, ni texto parcial, ni nada que pueda recomponerse en texto.
La consecuencia que tuvimos que resolver
Como la identidad de la tecla desaparece de verdad en esos campos, cualquier regla que dependa de distinguir unas teclas de otras tiene que excluir esas pulsaciones de su propio recuento — de lo contrario una contraseña normal parecería una misma tecla golpeada una y otra vez, y marcaríamos a personas por escribir correctamente. Las reglas basadas en tiempos no se ven afectadas y siguen funcionando sobre el flujo completo.
Apagar la recogida nunca protegió el contenido
Los caracteres nunca se recogieron en ninguno de los dos diseños. Lo único que quitaba la vieja exclusión general era la evidencia: dejaba ciego al detector sin hacer a nadie más privado. El enfoque del sustituto mantiene exactamente la misma garantía sobre su texto y le devuelve al detector sus mediciones. Mejor detección y mejor privacidad salieron de una sola decisión, algo bastante raro como para decirlo con claridad.
Cómo se publican las reglas
Una regla nueva corre a ciegas antes de que se le permita tocar un veredicto
La detección empeora en cuanto se pone lista sin evidencia. Cada regla de comportamiento se añade primero en sombra: se evalúa contra tráfico de producción real y su resultado se registra, pero no aporta nada a la puntuación que ve cualquiera.
Publicada en sombra
La regla se evalúa sobre tráfico real desde el primer día. Su salida va solo a la analítica: el veredicto de ningún cliente se mueve porque se haya añadido una regla.
Medida contra las dos poblaciones
Observamos con qué frecuencia se dispara en sesiones juzgadas humanas de forma independiente y en sesiones juzgadas automatizadas de forma independiente, sobre tráfico real suficiente para que signifique algo.
Deciden dos umbrales
Tiene que separar al menos diez a uno — dispararse al menos diez veces más a menudo sobre automatización que sobre personas — y tiene que mantenerse por debajo de una tasa de disparo del 0,5 % sobre sesiones humanas reales.
Promovida, o dejada a oscuras
Una regla que supera las dos puertas recibe peso en la puntuación. Una regla que no lo hace se queda en sombra o se retira del todo. La promoción es un cambio deliberado y revisado: nada se enciende automáticamente.
Esto es lo que le protege de un detector que se puso listo de la noche a la mañana y empezó a rechazar a sus propios clientes. Su tasa de falsos positivos no se mueve porque a alguien se le ocurriera una idea un viernes por la tarde.
Lo que recibe
Tres campos, entregados con el evento de identificación
El veredicto de comportamiento llega junto al resto del evento: sin segunda llamada, sin polling, sin un endpoint aparte que integrar.
Extracto del evento
{
"visitorId": "X7fh2Hg9LkMn3pQr",
"behavior": {
"score": 87.4,
"verdict": "human",
"confidence": 0.82
}
}Disponible en el plan Business y superiores. Se entrega en webhooks y está disponible a través de la Data API.
El bloque de comportamiento es una señal, no una acción. Por sí solo no bloquea nada: usted lo combina con el resto del evento y con su propia política, que es donde debe estar la decisión.
Límites
Lo que el comportamiento no le dice
El comportamiento responde bien a una pregunta: humano o programa. No responde «qué humano», y no lo vendemos como si lo hiciera.
No es una señal de identidad
No afirmamos reconocer a un individuo que vuelve por su forma de teclear ni por su ratón. Lo medimos sobre tráfico real: emparejar a una persona concreta entre dos navegadores que esa persona usa no funcionó mejor que el azar. A cualquier proveedor que venda «biometría de comportamiento que identifica al usuario» habría que pedirle que publique ese mismo número.
No sustituye a la identificación
Quién es el dispositivo viene de la capa de dispositivo y navegador. El comportamiento le dice qué clase de actor está manejando ese dispositivo. Responden a preguntas distintas y ninguno sustituye al otro.
Necesita entrada para funcionar
Un visitante que llega y se va en dos segundos no produce casi nada que puntuar. La salida honesta ahí es «uncertain» con confianza baja, no una suposición disfrazada de veredicto.
Preguntas frecuentes
Vea el veredicto de comportamiento sobre su propio tráfico
Instale el agente, observe cómo llega la puntuación con cada evento de identificación y decida usted mismo cuánto vale.