Couche comportementale
Un programme se trahit par sa façon d'agir, pas par ce qu'il fait
Chaque visite produit du mouvement : un curseur qui file vers un bouton, des touches enfoncées puis relâchées, une page que l'on fait défiler, un écran que l'on touche. TRACIO évalue ce mouvement en continu et vous dit s'il vient d'une main ou d'un logiciel.
Ce que nous observons
Quatre canaux de saisie, pondérés selon l'appareil que le visiteur a en main
Chaque canal est évalué séparément, puis les résultats sont combinés. Les pondérations ne sont pas figées : elles suivent l'appareil que le visiteur utilise réellement. Sur un téléphone, le tactile porte le verdict et l'absence de curseur ne signifie rien. Sur un ordinateur, le curseur est le canal le plus fort et l'absence de flux tactile est simplement attendue.
Souris et curseur
Principal sur ordinateurLa vitesse et son degré de variation, les changements de direction par portion de trajet, la façon dont la trajectoire s'incurve vers une cible, l'accélération et le freinage avant un clic, et le tremblement fin d'une main humaine qu'un déplacement scripté ne reproduit pas.
Rythme de frappe
Uniquement les tempsCombien de temps chaque touche reste enfoncée, l'écart entre un relâchement et l'appui suivant, le chevauchement quand la touche suivante descend avant que la précédente ne remonte, les rafales et les pauses, les corrections et les retours arrière. Des temps — jamais les caractères. Voir la section confidentialité plus bas.
Défilement
Les deux formatsLa variance de la vitesse, la fréquence des inversions de direction, l'inertie qui décroît comme décroît une impulsion physique, et les pauses qui correspondent à la quantité de texte réellement présente à l'écran.
Tactile
Principal sur mobileLa surface de contact et son évolution pendant un appui, la pression rapportée quand l'appareil l'expose, la légère dérive d'un doigt qui ne retombe jamais deux fois sur le même pixel, et les temps entre plusieurs contacts.
La même session, pondérée de deux façons différentes
La souris et le clavier portent le poids. Aucun flux tactile n'est attendu ici, son absence ne coûte donc rien au visiteur.
Le tactile et le mouvement de l'appareil portent le poids. Une visite sans le moindre mouvement de curseur est normale sur un téléphone, pas suspecte.
L'absence n'est pas une preuve
Un canal que l'appareil n'a jamais proposé est exclu du score au lieu d'être retenu contre le visiteur. Cela paraît évident et c'est pourtant la façon la plus courante dont un score comportemental naïf transforme de vrais clients en suspects : un téléphone n'a pas de souris, une personne qui utilise un lecteur d'écran ne trace pas de trajectoire de curseur fluide, et ni l'un ni l'autre ne dit quoi que ce soit sur le fait d'être un bot.
Les preuves
Trois choses que fait un logiciel et que des mains ne peuvent pas faire
Ce sont des exemples et non l'ensemble des règles, mais ils montrent la forme des preuves sur lesquelles nous agissons. Chacune est une impossibilité physique pour une main, et chacune est encadrée pour qu'un seul moment étrange ne devienne jamais un verdict.
Appuis de métronome
Ce que nous mesurons
Chaque touche maintenue enfoncée presque exactement le même nombre de millisecondes sur toute la saisie.
Pourquoi une main ne peut pas le faire
La durée pendant laquelle un doigt reste sur une touche dépend de la touche, de la main à laquelle il appartient et de la fatigue de cette main. Les durées humaines se dispersent. Les frappes injectées sont générées à partir d'une constante, et la dispersion s'effondre presque à zéro.
Ce qui garde la règle honnête
La règle exige assez de frappes dans la fenêtre avant même de compter. Une saisie de quatre caractères n'est pas un échantillon, et elle n'est pas évaluée comme tel.
Des clics qui se téléportent
Ce que nous mesurons
Un clic atterrit sur un contrôle vers lequel le curseur n'a jamais voyagé — le pointeur apparaît simplement aux coordonnées et déclenche.
Pourquoi une main ne peut pas le faire
Une personne approche sa cible : la trajectoire s'incurve à l'arrivée, la vitesse chute vers la fin, et il y a d'ordinaire un instant de survol avant l'appui. L'automatisation fixe des coordonnées et envoie un événement ; il n'y a pas d'approche parce que rien n'a physiquement bougé.
Ce qui garde la règle honnête
Un clic téléporté isolé est un artefact plausible de navigation au clavier ou de pavé tactile. Il ne compte que lorsqu'il représente la majorité des clics d'une session qui en comptait assez pour être jugée.
Saisir dans un onglet caché
Ce que nous mesurons
Les frappes continuent d'arriver alors que la page est en arrière-plan et n'a jamais été ramenée au premier plan.
Pourquoi une main ne peut pas le faire
Une personne ne peut pas taper dans une page qu'elle ne regarde pas. Les logiciels de ferme pilotent des dizaines d'onglets en parallèle et ne prennent pas la peine d'activer chacun avant de remplir les formulaires.
Ce qui garde la règle honnête
Un événement à l'instant d'un changement d'onglet est une course entre événements du navigateur, pas une preuve. Cela compte lorsque la saisie se répète alors que la page n'a toujours jamais été visible.
Confidentialité
Nous mesurons le rythme. Nous ne pouvons pas reconstituer le texte.
La collecte comportementale fonctionne partout sur la page, y compris dans les champs de mot de passe, d'e-mail et de numéro de carte. C'est une décision délibérée, et elle mérite d'être expliquée entièrement plutôt qu'enfouie dans un document de politique.
Pourquoi ce sont justement les champs sensibles qui comptent
Le credential stuffing (bourrage d'identifiants), le test de cartes et la prise de contrôle de compte se produisent précisément à l'intérieur de ces champs. Un détecteur qui s'y éteint est aveugle au seul endroit où l'attaque vit réellement. C'était le comportement précédent : la collecte était désactivée en bloc dans les champs sensibles, si bien que les secondes les plus à risque d'une visite ne produisaient aucune mesure.
Ce qui est conservé
Les temps. Quand une touche est descendue, combien de temps elle est restée enfoncée, combien de temps jusqu'à la suivante, si deux appuis se sont chevauchés. Cela suffit à distinguer une main d'un générateur, et c'est tout ce que le détecteur a jamais demandé.
Ce qui n'est pas conservé
De quelle touche il s'agissait. Dans les champs sensibles, l'identité de chaque frappe est remplacée par un substitut grossier dans le navigateur, avant que quoi que ce soit ne quitte la page — l'un d'une petite poignée de catégories, pas un caractère. Il n'existe aucun chemin de retour. Le flux qui atteint nos serveurs ne contient aucun texte, aucun texte partiel, et rien qui puisse être réassemblé en texte.
La conséquence qu'il a fallu traiter
Comme l'identité de la touche disparaît véritablement dans ces champs, toute règle qui dépend de la distinction entre touches doit exclure ces frappes de son propre décompte — sinon un mot de passe normal ressemblerait à une seule touche frappée encore et encore, et nous signalerions des gens pour avoir tapé correctement. Les règles fondées sur les temps ne sont pas affectées et continuent de fonctionner sur le flux complet.
Couper la collecte n'a jamais protégé le contenu
Les caractères n'ont jamais été collectés, ni dans l'une ni dans l'autre conception. Tout ce que l'ancienne exclusion générale retirait, c'était la preuve : elle rendait le détecteur aveugle sans rendre personne plus discret. L'approche par substitut conserve exactement la même garantie sur votre texte et rend au détecteur ses mesures. Une meilleure détection et une meilleure confidentialité sont sorties d'une seule décision, ce qui est assez rare pour être dit clairement.
Comment les règles sont déployées
Une nouvelle règle tourne à l'aveugle avant d'avoir le droit de toucher à un verdict
La détection empire dès l'instant où elle devient astucieuse sans preuve. Chaque règle comportementale est d'abord ajoutée en mode ombre : elle est évaluée sur du trafic de production réel et son résultat est enregistré, mais elle ne contribue en rien au score que voit qui que ce soit.
Déployée en mode ombre
La règle s'évalue sur du trafic réel dès le premier jour. Sa sortie ne va qu'aux analyses : le verdict d'aucun client ne bouge parce qu'une règle a été ajoutée.
Mesurée sur les deux populations
Nous observons à quelle fréquence elle se déclenche sur des sessions jugées humaines de façon indépendante et sur des sessions jugées automatisées de façon indépendante, sur assez de trafic réel pour que cela veuille dire quelque chose.
Deux seuils décident
Elle doit séparer au moins dix contre un — se déclencher au moins dix fois plus souvent sur de l'automatisation que sur des personnes — et elle doit rester sous un taux de déclenchement de 0,5 % sur les sessions humaines réelles.
Promue, ou laissée dans le noir
Une règle qui franchit les deux portes reçoit du poids dans le score. Une règle qui échoue reste en mode ombre ou est purement retirée. La promotion est un changement délibéré et revu : rien ne s'allume automatiquement.
C'est ce qui vous protège d'un détecteur devenu astucieux du jour au lendemain et qui se met à éconduire vos propres clients. Votre taux de faux positifs ne bouge pas parce que quelqu'un a eu une idée un vendredi après-midi.
Ce que vous recevez
Trois champs, livrés avec l'événement d'identification
Le verdict comportemental arrive avec le reste de l'événement : pas de second appel, pas de scrutation, pas d'endpoint séparé à intégrer.
Extrait d'événement
{
"visitorId": "X7fh2Hg9LkMn3pQr",
"behavior": {
"score": 87.4,
"verdict": "human",
"confidence": 0.82
}
}Disponible à partir de l<plans>offre Business</plans>. Livré dans les webhooks et accessible via la Data API.
Le bloc comportemental est un signal, pas une action. Il ne bloque rien par lui-même : vous le combinez avec le reste de l'événement et avec votre propre politique, et c'est là que la décision doit se prendre.
Limites
Ce que le comportement ne vous dit pas
Le comportement répond bien à une question : humain ou programme. Il ne répond pas à « quel humain », et nous ne le vendons pas comme s'il le faisait.
Ce n'est pas un signal d'identité
Nous ne prétendons pas reconnaître un individu qui revient à sa frappe ou à sa souris. Nous l'avons mesuré sur du trafic réel : apparier une personne précise entre deux navigateurs qu'elle utilise l'un et l'autre n'a pas fait mieux que le hasard. À tout fournisseur qui vend de la « biométrie comportementale qui identifie l'utilisateur », il faudrait demander de publier ce même chiffre.
Cela ne remplace pas l'identification
Qui est l'appareil vient de la couche appareil et navigateur. Le comportement vous dit quel type d'acteur pilote cet appareil. Les deux répondent à des questions différentes et aucun ne se substitue à l'autre.
Il lui faut de la saisie pour fonctionner
Un visiteur qui arrive et repart en deux secondes ne produit presque rien à évaluer. La sortie honnête est alors « uncertain » avec une faible confiance — pas une supposition déguisée en verdict.
Questions fréquentes
Voyez le verdict comportemental sur votre propre trafic
Installez l'agent, regardez le score arriver avec chaque événement d'identification, et jugez vous-même de sa valeur.