Livello comportamentale
Un programma si tradisce da come agisce, non da cosa fa
Ogni visita produce movimento: un cursore che viaggia verso un pulsante, tasti premuti e rilasciati, una pagina che scorre, uno schermo toccato. TRACIO valuta quel movimento in continuo e le dice se è arrivato da una mano o da un software.
Cosa osserviamo
Quattro canali di input, pesati in base al dispositivo che il visitatore ha in mano
Ogni canale viene valutato per conto proprio e poi combinato. I pesi non sono fissi: seguono il dispositivo che il visitatore sta davvero usando. Su un telefono è il touch a portare il verdetto e un cursore assente non significa nulla. Su un desktop il cursore è il canale più forte e l'assenza di un flusso touch è semplicemente attesa.
Mouse e cursore
Primario su desktopVelocità e quanto varia, cambi di direzione per tratto percorso, come la traiettoria curva verso il bersaglio, accelerazione e frenata prima di un clic, e il tremolio fine di una mano umana che un movimento scriptato non riproduce.
Ritmo della tastiera
Solo tempiQuanto a lungo ogni tasto resta premuto, l'intervallo tra un rilascio e la pressione successiva, la sovrapposizione quando il tasto seguente scende prima che il precedente risalga, raffiche e pause, correzioni e backspace. Tempi — mai i caratteri. Veda la sezione sulla privacy qui sotto.
Scroll
Entrambi i formatiVarianza della velocità, con quale frequenza la direzione si inverte, l'inerzia che decade come decade un movimento fisico, e pause che coincidono con quanto testo c'è davvero sullo schermo.
Touch
Primario su mobileArea di contatto e come cambia durante un tocco, pressione riportata dove il dispositivo la espone, la piccola deriva di un dito che non atterra mai due volte sullo stesso pixel, e i tempi tra contatti multipli.
La stessa sessione, pesata in due modi diversi
Mouse e tastiera portano il peso. Qui non ci si aspetta alcun flusso touch, quindi la sua assenza non costa nulla al visitatore.
Touch e movimento del dispositivo portano il peso. Una visita senza alcun movimento del cursore è normale su un telefono, non sospetta.
L'assenza non è una prova
Un canale che il dispositivo non ha mai offerto viene escluso dal punteggio invece di essere conteggiato contro il visitatore. Sembra ovvio ed è il modo più diffuso in cui una valutazione comportamentale ingenua trasforma clienti reali in sospetti: un telefono non ha un mouse, chi usa uno screen reader non ha una traiettoria fluida del cursore, e nessuno dei due fatti dice qualcosa sull'essere un bot.
Le prove
Tre cose che il software fa e le mani non possono fare
Sono esempi, non l'insieme completo delle regole, ma mostrano la forma delle prove su cui agiamo. Ognuna è un'impossibilità fisica per una mano, e ognuna è vincolata perché un singolo momento strano non diventi mai un verdetto.
Pressioni a metronomo
Cosa misuriamo
Ogni tasto tenuto premuto quasi esattamente per lo stesso numero di millisecondi lungo tutto l'input.
Perché una mano non può farlo
Quanto a lungo un dito resta su un tasto dipende da quale tasto è, da quale mano appartiene e da quanto quella mano è stanca. I tempi di pressione umani si disperdono. Le battute iniettate sono generate da una costante, e la dispersione crolla quasi a zero.
Cosa lo tiene onesto
La regola richiede abbastanza battute nella finestra prima di contare. Un input di quattro caratteri non è un campione, e non viene valutato come tale.
Clic che si teletrasportano
Cosa misuriamo
Un clic atterra su un controllo verso cui il cursore non ha mai viaggiato: il puntatore compare semplicemente alle coordinate e scatta.
Perché una mano non può farlo
Una persona si avvicina al bersaglio: la traiettoria curva verso l'interno, la velocità cala vicino alla fine e di solito c'è un momento di sorvolo prima della pressione. L'automazione imposta le coordinate e invia un evento; non c'è avvicinamento perché nulla si è mosso fisicamente.
Cosa lo tiene onesto
Un singolo clic teletrasportato è un plausibile artefatto della navigazione da tastiera o del trackpad. Conta solo quando è la maggioranza dei clic in una sessione che ne aveva abbastanza per essere giudicata.
Digitazione in una scheda nascosta
Cosa misuriamo
Le battute continuano ad arrivare mentre la pagina è in secondo piano e non è mai stata portata in primo piano.
Perché una mano non può farlo
Una persona non può digitare in una pagina che non sta guardando. I software da farm pilotano decine di schede in parallelo e non si preoccupano di mettere a fuoco ognuna prima di iniziare a riempire i moduli.
Cosa lo tiene onesto
Un evento nell'istante di un cambio scheda è una corsa tra eventi del browser, non una prova. Conta su input ripetuto con la pagina che resta comunque mai visibile.
Privacy
Misuriamo il ritmo. Non possiamo ricostruire il testo.
La raccolta comportamentale funziona ovunque nella pagina, inclusi i campi di password, email e numero di carta. È una decisione deliberata, e merita di essere spiegata per intero invece di essere sepolta in un documento di policy.
Perché i campi sensibili sono proprio quelli che contano
Credential stuffing, card testing e furto di account avvengono esattamente dentro quei campi. Un rilevatore che lì si spegne è cieco nell'unico punto in cui l'attacco vive davvero. Era questo il comportamento precedente: la raccolta veniva disattivata in blocco nei campi sensibili, così i secondi a rischio più alto di una visita non producevano alcuna misurazione.
Cosa viene conservato
I tempi. Quando un tasto è sceso, quanto è rimasto premuto, quanto è passato fino al successivo, se due pressioni si sono sovrapposte. È abbastanza per distinguere una mano da un generatore, ed è tutto ciò che il rilevatore abbia mai chiesto.
Cosa non viene conservato
Quale tasto fosse. Dentro i campi sensibili l'identità di ogni battuta viene sostituita nel browser con un surrogato grossolano, prima che qualsiasi cosa lasci la pagina — uno di un piccolo insieme di gruppi, non un carattere. Non esiste una via di ritorno. Il flusso che raggiunge i nostri server non contiene testo, né testo parziale, né nulla che possa essere ricomposto in testo.
La conseguenza che abbiamo dovuto gestire
Poiché in quei campi l'identità del tasto è davvero perduta, ogni regola che dipende dal distinguere i tasti deve escludere quelle battute dal proprio conteggio — altrimenti una password normale sembrerebbe un solo tasto premuto più e più volte, e segnaleremmo persone che stanno digitando correttamente. Le regole basate sui tempi non ne risentono e continuano a lavorare sull'intero flusso.
Spegnere la raccolta non ha mai protetto il contenuto
I caratteri non venivano raccolti in nessuno dei due progetti. La vecchia esclusione generalizzata toglieva solo le prove: rendeva cieco il rilevatore senza rendere nessuno più riservato. L'approccio a surrogati mantiene esattamente la stessa garanzia sul suo testo e restituisce al rilevatore le sue misurazioni. Rilevamento più forte e privacy migliore sono usciti da una sola decisione, il che è abbastanza raro da meritare di essere detto chiaramente.
Come vengono rilasciate le regole
Una regola nuova lavora al buio prima di poter toccare un verdetto
Il rilevamento peggiora nel momento in cui diventa astuto senza prove. Ogni regola comportamentale viene aggiunta prima in ombra: viene valutata sul traffico di produzione reale e il suo risultato viene registrato, ma non contribuisce in nulla al punteggio che qualcuno vede.
Rilasciata in ombra
La regola viene valutata sul traffico reale fin dal primo giorno. Il suo esito va solo nelle analisi: il verdetto di nessun cliente si sposta perché è stata aggiunta una regola.
Misurata su entrambe le popolazioni
Osserviamo con quale frequenza scatta sulle sessioni giudicate umane in modo indipendente e su quelle giudicate automatizzate in modo indipendente, su abbastanza traffico reale da avere un significato.
Decidono due soglie
Deve separare almeno dieci a uno — scattare almeno dieci volte più spesso sull'automazione che sulle persone — e deve restare sotto una frequenza di attivazione dello 0,5% sulle sessioni umane reali.
Promossa, o lasciata al buio
Una regola che supera entrambe le barriere ottiene peso nel punteggio. Una regola che non lo fa resta in ombra o viene rimossa del tutto. La promozione è una modifica deliberata e revisionata: nulla viene attivato automaticamente.
È questo che la protegge da un rilevatore diventato astuto da un giorno all'altro e messo a respingere i suoi stessi clienti. Il suo tasso di falsi positivi non si muove perché qualcuno ha avuto un'idea un venerdì pomeriggio.
Cosa riceve
Tre campi, consegnati con l'evento di identificazione
Il verdetto comportamentale arriva insieme al resto dell'evento: nessuna seconda chiamata, nessun polling, nessun endpoint separato da integrare.
Estratto dell'evento
{
"visitorId": "X7fh2Hg9LkMn3pQr",
"behavior": {
"score": 87.4,
"verdict": "human",
"confidence": 0.82
}
}Disponibile con il piano Business e superiori. Consegnato nei webhook e disponibile tramite la Data API.
Il blocco comportamentale è un segnale, non un'azione. Da solo non blocca nulla: lo combini con il resto dell'evento e con la sua policy, che è il posto a cui la decisione appartiene.
Limiti
Cosa il comportamento non le dice
Il comportamento risponde bene a una domanda: persona o programma. Non risponde a «quale persona», e non lo vendiamo come se lo facesse.
Non è un segnale di identità
Non affermiamo di riconoscere un individuo che ritorna dalla sua digitazione o dal suo mouse. L'abbiamo misurato su traffico reale: associare una persona specifica tra due browser che usa entrambi non ha fatto meglio del caso. A qualsiasi fornitore che venda «biometria comportamentale che identifica l'utente» andrebbe chiesto di pubblicare lo stesso numero.
Non sostituisce l'identificazione
Chi sia il dispositivo arriva dal livello del dispositivo e del browser. Il comportamento le dice che tipo di attore sta guidando quel dispositivo. I due rispondono a domande diverse e nessuno dei due sostituisce l'altro.
Ha bisogno di input per funzionare
Un visitatore che arriva e se ne va entro due secondi produce quasi nulla da valutare. Lì l'esito onesto è «uncertain» con bassa confidenza — non un'ipotesi travestita da verdetto.
Domande frequenti
Veda il verdetto comportamentale sul suo traffico
Installi l'agent, osservi il punteggio arrivare con ogni evento di identificazione e decida da sé quanto vale.