Bot Detection

Le système de détection des bots de TRACIO identifie les navigateurs automatisés, les outils headless et les attaques scriptées grâce à une architecture à deux couches : collecte de signaux côté client et analyse côté serveur. Il détecte les frameworks d'automatisation courants, les navigateurs headless, les agents de navigation IA et les navigateurs anti-détection avec des faux positifs quasi nuls, tout en plaçant automatiquement en allowlist les crawlers légitimes des moteurs de recherche.

Ce que TRACIO détecte

• Frameworks d'automatisation — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS et plus encore, via les artefacts window/document et le comportement de la stack trace.
• Navigateurs headless — Chrome headless et runtimes associés (artefacts CDP, rendu GPU logiciel, objets navigateur manquants).
• Agents de navigation IA — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern et runtimes d'agents similaires.
• Navigateurs anti-détection — Multilogin, GoLogin, Dolphin et autres navigateurs qui usurpent l'empreinte numérique, via des sondes CSS/propriétés/intégrité.
• Crawlers vérifiés — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo et autres, vérifiés par DNS inverse afin que les user-agents usurpés ne passent pas.

Architecture de détection

Collecte côté client

L'agent du navigateur collecte une série de signaux spécifiques aux bots et de validation croisée qui alimentent les décisions côté serveur. Les ID de signaux ci-dessous sont donnés à titre indicatif — les ID internes ne constituent pas un contrat public stable :

Analyse côté serveur

Le serveur exécute un ensemble de détecteurs dont les sorties pondérées se combinent en un score de bot. Le score est mappé sur un verdict via des seuils — bot lorsqu'il est ≥ 0.70, suspicious lorsqu'il est ≥ 0.30, sinon human — et un signal à échec forcé (comme navigator.webdriver) impose directement un verdict bot. Les verdicts de bot portent une étiquette bot_type de forme libre.

Détecteurs représentatifs et leur effet :

Niveau et disponibilité. La détection des DevTools s'exécute sur Business et Enterprise ; la détection de VM est réservée à Enterprise ; la détection d'émulateur s'exécute sur tous les plans. Toutes fonctionnent dans l'agent web. La détection de root, jailbreak, apps clonées/dupliquées, Frida et réinitialisation d'usine dépend de signaux mobiles natifs et n'est pas efficace dans le déploiement web uniquement (en développement). Appuyez-vous sur les verdicts d'automatisation, headless, agent IA, anti-détection, VM/émulateur et comportementaux, qui sont pleinement actifs sur le web.

Format du résultat

La détection des bots écrit un champ bot_result sur chaque événement (et bot.result dans le payload du webhook).

Valeurs du résultat

bot_result prend l'une des trois valeurs canoniques :

Cela est mappé sur le champ métier decision (real, fake ou suspicious) utilisé dans tout le tableau de bord, et sur bot.result dans le payload du webhook.

Types de bot (lorsque le résultat est "bot")

bot_type est une chaîne de forme libre. Les valeurs ci-dessous sont des exemples illustratifs de ce qu'émettent les détecteurs, et non un enum exhaustif :

Méthodes de détection expliquées

1. Flag webdriver

La détection la plus directe. Tous les principaux frameworks d'automatisation mettent navigator.webdriver = true conformément à la spécification WebDriver. Cela est vérifié à la fois dans le frame principal (s300) et dans une iframe cachée (s158) pour attraper les outils qui ne patchent que le frame principal.

2. Analyse des frameworks d'automatisation

Analyse exhaustive des propriétés window et document à la recherche d'artefacts spécifiques à chaque framework :

L'analyse utilise également un motif regex /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ pour détecter les globales auxiliaires injectées par Selenium.

3. Détection des navigateurs headless

11 marqueurs sont évalués, avec un seuil de 2 ou plus pour la classification :

4. Vérification des bons bots

Les bons bots connus sont reconnus par leur motif de User-Agent. Chacun est vérifié par DNS inverse pour empêcher l'usurpation :

1. Recherche DNS inverse sur l'IP de connexion pour obtenir le hostname
2. Vérification du suffixe du hostname par rapport aux domaines autorisés (p. ex. .googlebot.com)
3. Recherche DNS directe sur le hostname pour vérifier que l'IP correspond

Si une requête prétend être Googlebot mais que le DNS inverse de son IP se résout vers un domaine étranger (une incohérence PTR confirmée, et non simplement une recherche absente ou expirée), elle est classée comme bot (type spoofed:google).

5. Analyse comportementale

Détection basée sur le débit avec scoring d'entropie :

Règle supplémentaire : l'absence d'événements souris/clavier après plus de 30 secondes d'ancienneté de session classe la visite comme bot avec le type noInteraction.

6. Analyse d'eval length

eval.toString().length produit des valeurs cohérentes selon le moteur :

• 33 : Chrome, Edge (V8)
• 37 : Firefox (SpiderMonkey), Safari (JavaScriptCore)

Toute autre valeur indique que la fonction eval a été interceptée par un framework d'automatisation, ce qui classe la visite comme bot avec le type unknown.

Exemples d'intégration

Bloquer les bots à la connexion (client)

Le SDK client expose un booléen de commodité, result.bot.detected :

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Vérification des bots côté serveur

Sur votre serveur, agissez sur la livraison du webhook. La détection des bots réside dans l'objet bot — bot.result et bot.type :

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Gestion des faux positifs

La détection des bots de TRACIO est conçue pour des faux positifs quasi nuls. Toutefois, des cas limites peuvent survenir :

Si vous rencontrez des faux positifs, examinez le champ bot.type pour comprendre quel détecteur a été déclenché et ajustez votre politique en conséquence.