Deteksi Bot

Sistem deteksi bot TRACIO mengidentifikasi browser otomatis, alat headless, dan serangan berbasis skrip menggunakan arsitektur dua lapis: pengumpulan sinyal sisi klien dan analisis sisi server. Sistem ini mendeteksi framework otomasi umum, browser headless, agen penjelajahan AI, dan browser antidetect dengan false positive nyaris nol, sekaligus secara otomatis menempatkan crawler mesin pencari yang sah ke dalam allowlist.

Apa yang dideteksi TRACIO

• Framework otomasi — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS, dan lainnya, melalui artefak window/document serta perilaku stack-trace.
• Browser headless — Headless Chrome dan runtime terkait (artefak CDP, rendering GPU perangkat lunak, objek browser yang hilang).
• Agen penjelajahan AI — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern, dan runtime agen serupa.
• Browser antidetect — Multilogin, GoLogin, Dolphin, dan browser pemalsu fingerprint lainnya, melalui pemeriksaan CSS/properti/integritas.
• Crawler terverifikasi — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo, dan lainnya, diverifikasi melalui reverse DNS agar user-agent palsu tidak lolos.

Arsitektur Deteksi

Pengumpulan Sisi Klien

Agen browser mengumpulkan berbagai sinyal spesifik-bot dan sinyal cross-validation yang menjadi masukan bagi keputusan sisi server. ID sinyal di bawah ini bersifat ilustratif — ID internal bukanlah kontrak publik yang stabil:

Analisis Sisi Server

Server menjalankan sekumpulan detektor yang keluaran berbobotnya digabungkan menjadi bot score. Skor tersebut dipetakan ke sebuah verdict melalui ambang batas — bot saat ≥ 0,70, suspicious saat ≥ 0,30, selain itu human — dan sinyal hard-fail (seperti navigator.webdriver) langsung memaksa verdict bot. Verdict bot membawa label bot_type berbentuk bebas.

Detektor representatif dan efeknya:

Tier & ketersediaan. Deteksi DevTools berjalan pada Business dan Enterprise; deteksi VM adalah Enterprise; deteksi emulator berjalan pada semua paket. Semua ini bekerja di web agent. Deteksi root, jailbreak, aplikasi klon/ganda, Frida, dan factory-reset bergantung pada sinyal native-mobile dan tidak efektif pada penerapan web-saja (dalam pengembangan). Andalkan verdict otomasi, headless, agen AI, antidetect, VM/emulator, dan perilaku, yang sepenuhnya aktif di web.

Format Hasil

Deteksi bot menuliskan field bot_result pada setiap event (dan bot.result di payload webhook).

Nilai Hasil

bot_result adalah salah satu dari tiga nilai kanonis:

Ini dipetakan ke field bisnis decision (real, fake, atau suspicious) yang digunakan di seluruh dashboard, dan ke bot.result pada payload webhook.

Tipe Bot (saat hasilnya "bot")

bot_type adalah string berbentuk bebas. Nilai-nilai di bawah ini adalah contoh ilustratif dari apa yang dikeluarkan detektor, bukan enum yang lengkap:

Penjelasan Metode Deteksi

1. Flag Webdriver

Deteksi yang paling langsung. Semua framework otomasi utama menyetel navigator.webdriver = true sesuai spesifikasi WebDriver. Ini diperiksa baik di frame utama (s300) maupun di iframe tersembunyi (s158) untuk menangkap alat yang hanya menambal frame utama.

2. Pemindaian Framework Otomasi

Pemindaian menyeluruh terhadap properti window dan document untuk artefak spesifik-framework:

Pemindaian juga menggunakan pola regex /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ untuk mendeteksi global helper yang disuntikkan Selenium.

3. Deteksi Browser Headless

11 marker dievaluasi, dengan ambang batas 2 atau lebih untuk klasifikasi:

4. Verifikasi Bot Baik

Bot baik yang dikenal dikenali berdasarkan pola User-Agent. Masing-masing diverifikasi melalui reverse DNS untuk mencegah spoofing:

1. Reverse DNS lookup pada IP yang terhubung untuk mendapatkan hostname
2. Periksa suffix hostname terhadap domain yang diizinkan (mis. .googlebot.com)
3. Forward DNS lookup pada hostname untuk memverifikasi IP cocok

Jika sebuah permintaan mengaku sebagai Googlebot tetapi reverse DNS dari IP-nya menyelesaikan ke domain asing (ketidakcocokan PTR yang terkonfirmasi, bukan sekadar lookup yang hilang/timeout), permintaan tersebut diklasifikasikan sebagai bot (tipe spoofed:google).

5. Analisis Perilaku

Deteksi berbasis rate dengan penilaian entropi:

Aturan tambahan: Tidak adanya event mouse/keyboard setelah usia sesi 30+ detik mengklasifikasikan kunjungan sebagai bot dengan tipe noInteraction.

6. Analisis Eval Length

eval.toString().length menghasilkan nilai yang konsisten per engine:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

Nilai lain apa pun menandakan fungsi eval telah di-hook oleh framework otomasi, sehingga mengklasifikasikan kunjungan sebagai bot dengan tipe unknown.

Contoh Integrasi

Memblokir Bot saat Login (klien)

Client SDK menyediakan boolean praktis, result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Pemeriksaan Bot Sisi Server

Di server Anda, tanggapi pengiriman webhook. Deteksi bot berada di dalam objek bot — bot.result dan bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Penanganan False Positive

Deteksi bot TRACIO dirancang untuk false positive nyaris nol. Namun, kasus tepi dapat terjadi:

Jika Anda menemukan false positive, tinjau field bot.type untuk memahami detektor mana yang terpicu dan sesuaikan kebijakan Anda.