Detección de bots

El sistema de detección de bots de TRACIO identifica navegadores automatizados, herramientas headless y ataques con scripts usando una arquitectura de dos capas: recopilación de señales en el cliente y análisis en el servidor. Detecta los frameworks de automatización más habituales, los navegadores headless, los agentes de navegación con IA y los navegadores anti-detección con falsos positivos casi nulos, a la vez que incluye automáticamente en la allowlist a los rastreadores legítimos de motores de búsqueda.

Qué detecta TRACIO

• Frameworks de automatización — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS y más, mediante artefactos de window/document y el comportamiento del stack trace.
• Navegadores headless — Chrome headless y runtimes relacionados (artefactos de CDP, renderizado con GPU por software, objetos de navegador ausentes).
• Agentes de navegación con IA — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern y runtimes de agente similares.
• Navegadores anti-detección — Multilogin, GoLogin, Dolphin y otros navegadores que suplantan la huella digital, mediante sondas de CSS/propiedades/integridad.
• Rastreadores verificados — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo y otros, verificados mediante DNS inverso para que los user-agents suplantados no pasen.

Arquitectura de detección

Recopilación en el cliente

El agente del navegador recopila una serie de señales específicas de bots y de validación cruzada que alimentan las decisiones del servidor. Los IDs de señal de abajo son ilustrativos: los IDs internos no son un contrato público estable:

Análisis en el servidor

El servidor ejecuta un conjunto de detectores cuyas salidas ponderadas se combinan en una puntuación de bot. La puntuación se asigna a un veredicto mediante umbrales —bot cuando es ≥ 0.70, suspicious cuando es ≥ 0.30, y human en el resto de casos— y una señal de fallo forzado (como navigator.webdriver) fuerza directamente un veredicto bot. Los veredictos de bot llevan una etiqueta bot_type de forma libre.

Detectores representativos y su efecto:

Nivel y disponibilidad. La detección de DevTools se ejecuta en Business y Enterprise; la detección de VM es de Enterprise; la detección de emuladores se ejecuta en todos los planes. Todas funcionan en el agente web. La detección de root, jailbreak, apps clonadas/duales, Frida y restablecimiento de fábrica depende de señales de móvil nativo y no es efectiva en el despliegue solo web (en desarrollo). Apóyese en los veredictos de automatización, headless, agente de IA, anti-detección, VM/emulador y comportamentales, que están totalmente activos en web.

Formato del resultado

La detección de bots escribe un campo bot_result en cada evento (y bot.result en el payload del webhook).

Valores del resultado

bot_result es uno de tres valores canónicos:

Esto se asigna al campo de negocio decision (real, fake o suspicious) usado en todo el panel, y a bot.result en el payload del webhook.

Tipos de bot (cuando el resultado es "bot")

bot_type es una cadena de forma libre. Los valores de abajo son ejemplos ilustrativos de lo que emiten los detectores, no un enum exhaustivo:

Métodos de detección explicados

1. Flag de webdriver

La detección más directa. Todos los frameworks de automatización principales establecen navigator.webdriver = true según la especificación de WebDriver. Esto se comprueba tanto en el frame principal (s300) como en un iframe oculto (s158) para atrapar herramientas que parchean solo el frame principal.

2. Escaneo de frameworks de automatización

Escaneo exhaustivo de las propiedades de window y document en busca de artefactos específicos de cada framework:

El escaneo también usa un patrón regex /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ para detectar las globales auxiliares inyectadas por Selenium.

3. Detección de navegadores headless

Se evalúan 11 marcadores, con un umbral de 2 o más para la clasificación:

4. Verificación de bots buenos

Los bots buenos conocidos se reconocen por el patrón de User-Agent. Cada uno se verifica mediante DNS inverso para prevenir la suplantación:

1. Búsqueda de DNS inverso sobre la IP de conexión para obtener el hostname
2. Comprobación del sufijo del hostname frente a los dominios permitidos (p. ej., .googlebot.com)
3. Búsqueda de DNS directo sobre el hostname para verificar que la IP coincide

Si una solicitud afirma ser Googlebot pero el DNS inverso de su IP se resuelve a un dominio ajeno (una discrepancia de PTR confirmada, no solo una búsqueda ausente o con timeout), se clasifica como bot (tipo spoofed:google).

5. Análisis comportamental

Detección basada en tasa con puntuación de entropía:

Regla adicional: la ausencia de eventos de ratón/teclado después de 30+ segundos de antigüedad de la sesión clasifica la visita como bot con tipo noInteraction.

6. Análisis de eval length

eval.toString().length produce valores consistentes por motor:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

Cualquier otro valor indica que la función eval ha sido interceptada por un framework de automatización, clasificando la visita como bot con tipo unknown.

Ejemplos de integración

Bloquear bots en el login (cliente)

El SDK del cliente expone un booleano de conveniencia, result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Comprobación de bots en el servidor

En su servidor, actúe sobre la entrega del webhook. La detección de bots vive en el objeto bot — bot.result y bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Gestión de falsos positivos

La detección de bots de TRACIO está diseñada para falsos positivos casi nulos. Sin embargo, pueden darse casos límite:

Si se encuentra con falsos positivos, revise el campo bot.type para entender qué detector se activó y ajuste su política en consecuencia.