Deteksi Bot

Deteksi bot TRACIO mengidentifikasi browser otomatis, alat headless, dan serangan berbasis skrip menggunakan arsitektur dua lapis: pengumpulan di sisi klien oleh browser agent dan analisis di sisi server. Cakupannya meliputi framework otomasi arus utama, browser headless, agen penjelajah AI, dan browser antidetect dengan false positive nyaris nol, sekaligus secara otomatis memasukkan crawler mesin pencari yang sah ke dalam allowlist.

Apa yang dideteksi TRACIO

• Framework otomasi — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS, dan perkakas serupa.
• Browser headless — Chrome headless dan runtime terkait.
• Agen penjelajah AI — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern, dan runtime agen serupa.
• Browser antidetect — build browser yang tujuannya memang memalsukan atau merotasi fingerprint.
• Crawler terverifikasi — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo, dan lainnya, diverifikasi agar user-agent yang dipalsukan tidak lolos.

Bagaimana verdict dihasilkan

Browser agent menjalankan serangkaian pemeriksaan yang luas dan melaporkan hasilnya. Di server, hasil-hasil itu dibobot menjadi skor bot, dan skor tersebut dipetakan ke sebuah verdict. Sejumlah kecil indikator yang tak ambigu bersifat menentukan dengan sendirinya dan memaksa verdict bot terlepas dari hasil lainnya.

Pemeriksaan mana yang berjalan, bagaimana bobotnya, dan di mana ambangnya berada tidak dipublikasikan — pada paket mana pun. Mendokumentasikannya sama saja dengan memberi tahu operator bot secara persis apa yang harus diubah agar lolos dari proteksi. Sebagai gantinya Anda menerima verdict, label tipe bot, dan — pada paket Business ke atas — kode alasan yang menyebutkan kelas pengamatan di balik keputusan tersebut.

Format hasil

Setiap identifikasi membawa verdict bot. Verdict itu sampai kepada Anda sebagai bot.result di payload webhook dan sebagai result.bot di SDK klien.

Nilai verdict

Ini dipetakan ke field bisnis decision.action (real, fake, atau suspicious) yang dipakai di seluruh dashboard dan payload webhook.

bot.score menyertai verdict. Pada payload webhook versi 2 nilainya desimal 0..100 — angka yang sama dengan yang ditampilkan dashboard untuk kunjungan itu. (Pada skema versi 1 yang dibekukan, nilainya pecahan 0..1; lihat Webhooks.)

Tipe bot

bot.type hadir ketika hasilnya bot. Isinya bisa berupa nama bot atau runtime yang dikenali, atau sebuah famili ketika menyebut pemeriksaan spesifiknya akan mengungkap cara kerja internal detektor:

Daftar ini sengaja dibuat tertutup: pemeriksaan yang ditambahkan ke detektor besok akan muncul sebagai other, bukan membocorkan nama internalnya. Perlakukan bot.type sebagai label untuk percabangan logika, bukan sebagai enum lengkap yang harus divalidasi — runtime bernama terus bertambah dari waktu ke waktu.

Kode alasan (Business ke atas)

Pada paket Business dan Enterprise, payload webhook membawa array reasons — maksimal delapan entri, diurutkan berdasarkan tingkat kepentingan. Sebuah kode menyebutkan kelas pengamatan, tidak pernah pemeriksaan di baliknya:

severity bernilai high, medium, atau low, dan nilainya adalah porsi verdict yang disumbangkan kelas ini pada kunjungan tersebut — bukan properti tetap dari kodenya. Kode yang sama bisa datang sebagai high pada satu kunjungan dan low pada kunjungan lain, jadi jangan menyimpannya sebagai konstanta.

privacy_hardening perlu perhatian khusus: kode ini terpicu pada pengunjung biasa yang peduli privasi sama seringnya seperti pada upaya penghindaran. Timbanglah bersama sinyal lain, jangan bertindak hanya berdasarkan kode ini.

virtual_environment berasal dari deteksi emulator. Di web tidak ada verdict terpisah "berjalan di bawah hypervisor": petunjuk yang dapat dilihat browser — renderer perangkat lunak generik, jumlah inti yang luar biasa rendah — sama seringnya muncul pada mesin biasa tanpa driver GPU dan di dalam sesi remote desktop, jadi kami tidak mengubahnya menjadi verdict yang harus Anda ragukan lagi.

Ketersediaan menurut paket

Penilaian antidetect masih dikalibrasi. bot.antidetectScore dilaporkan agar Anda dapat mengamatinya dan menyetel kebijakan Anda sendiri — perlakukan sebagai masukan bagi keputusan risiko Anda, bukan sebagai alasan tunggal untuk memblokir.

Pemeriksaan khusus mobile tidak efektif di web. Deteksi root, jailbreak, aplikasi kloning/ganda, dan Frida bergantung pada sinyal native yang tidak dapat dikumpulkan browser. TRACIO hanya menyediakan SDK browser, jadi andalkan verdict otomasi, headless, agen AI, antidetect, emulator, dan perilaku yang sepenuhnya aktif di web.

Crawler terverifikasi

Bot baik yang dikenal diidentifikasi dari user-agent-nya, lalu diverifikasi terhadap IP yang terhubung — pencarian reverse DNS pada IP tersebut, pemeriksaan bahwa hostname yang dihasilkan memang milik domain operatornya, dan pencarian maju yang memastikan hostname itu kembali me-resolve ke IP yang sama. Inilah prosedur verifikasi yang dipublikasikan sendiri oleh para operator crawler.

Crawler terverifikasi menjadi human. Permintaan yang mengaku sebagai Googlebot padahal IP-nya jelas milik pihak lain diklasifikasikan sebagai bot — sekadar pencarian yang tidak ditemukan atau timeout tidak dianggap sebagai bukti pemalsuan.

Analisis perilaku

Dinamika interaksi — gerakan pointer, ritme ketikan, scrolling — masuk ke dalam verdict sebagai bukti apakah ada manusia yang hadir, bukan manusia yang mana. Pada paket Business ke atas, agregatnya dikirim di blok behavior pada webhook:

{
  "behavior": {
    "score": 87,
    "verdict": "human",
    "confidence": 0.92
  }
}

score berkisar 0..100 (makin tinggi makin manusiawi), verdict bernilai human, uncertain, atau bot, dan confidence (0..1) menyatakan seberapa banyak bukti yang menopang verdict itu — kunjungan singkat dengan dua gerakan pointer akan bernilai rendah di sini sekalipun verdict-nya tampak menentukan.

Blok ini hadir hanya ketika penilaian perilaku memang berjalan untuk kunjungan tersebut. Blok yang tidak ada berarti "tidak ada data", tidak pernah berarti "tidak ada yang mencurigakan" — jangan membaca ketiadaannya sebagai sinyal bersih.

Contoh integrasi

Memblokir bot saat login (klien)

SDK klien menyediakan boolean praktis result.bot.detected, plus confidence pada skala 0..100:

const result = await tracio.getResult()

if (result.bot.detected) {
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

await login(credentials)

Pemeriksaan bot di sisi server

Di server Anda, bertindaklah berdasarkan pengiriman webhook. Verdict bot berada di objek bot — bot.result dan bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot?.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Nilai nol dan kosong dihilangkan dari payload, jadi bacalah bot.type secara defensif alih-alih menjadikannya wajib di skema Anda.

Penanganan false positive

Deteksi bot TRACIO dirancang untuk false positive nyaris nol, tetapi kasus tepi tetap ada:

Jika Anda melihat false positive, tinjau bot.type (dan reasons pada Business ke atas) untuk memahami kelas pengamatan mana yang terpicu, lalu sesuaikan kebijakan Anda. Lihat Pemecahan Masalah untuk penyebab yang umum.