Bot Detection

TRACIOのボット検知システムは、クライアントサイドでのシグナル収集とサーバーサイドでの分析という二層アーキテクチャを用いて、自動化ブラウザ、ヘッドレスツール、スクリプト化された攻撃を識別します。主要な自動化フレームワーク、ヘッドレスブラウザ、AIブラウジングエージェント、アンチディテクトブラウザをほぼゼロの誤検知で検知し、同時に正規の検索エンジンクローラーを自動的に許可リストへ登録します。

TRACIOが検知するもの

• 自動化フレームワーク — Selenium、Puppeteer、Playwright、Cypress、PhantomJS、NightmareJSなどを、window/documentのアーティファクトやスタックトレースの挙動から検知します。
• ヘッドレスブラウザ — ヘッドレスChromeおよび関連ランタイム（CDPアーティファクト、ソフトウェアGPUレンダリング、欠落したブラウザオブジェクト）。
• AIブラウジングエージェント — Browser-Use、Claude Computer Use、Fellou、Genspark、Skyvernなどのエージェントランタイム。
• アンチディテクトブラウザ — Multilogin、GoLogin、Dolphinなど、フィンガープリントを偽装するブラウザを、CSS/プロパティ/整合性のプローブで検知します。
• 検証済みクローラー — Googlebot、Bingbot、Applebot、GPTBot、Yandex、DuckDuckGoなどを逆引きDNSで検証し、偽装されたuser-agentが通過しないようにします。

検知アーキテクチャ

クライアントサイドでの収集

ブラウザエージェントは、サーバーサイドの判断に用いるさまざまなボット固有シグナルおよびクロス検証シグナルを収集します。以下のシグナルIDは説明用であり、内部IDは安定した公開契約ではありません。

サーバーサイドでの分析

サーバーは一連の検知器を実行し、その重み付けされた出力を組み合わせてボットスコアを算出します。スコアはしきい値によって判定にマッピングされます —bot は0.70以上のとき、suspicious は0.30以上のとき、それ以外は human です — そしてハードフェイルシグナル（navigator.webdriver など）は無条件で bot 判定を強制します。ボット判定には自由形式の bot_type ラベルが付随します。

代表的な検知器とその効果:

プランと提供状況。 DevTools検知はBusinessおよびEnterpriseで動作します。 VM検知はEnterprise、エミュレータ検知はすべてのプランで動作します。これらはいずれも Webエージェントで動作します。root、jailbreak、クローン/デュアルアプリ、Frida、工場出荷時リセットの 検知はネイティブモバイルシグナルに依存しており、Web専用の デプロイ（開発中）では有効ではありません。Web上で完全に有効な、自動化、ヘッドレス、 AIエージェント、アンチディテクト、VM/エミュレータ、挙動に基づく判定を ご利用ください。

結果フォーマット

ボット検知は、すべてのイベントに bot_result フィールドを書き込みます（webhookのペイロードでは bot.result）。

結果の値

bot_result は3つの正規の値のいずれかです:

これはダッシュボード全体で使用されるビジネス上の decision フィールド（real、fake、suspicious）にマッピングされ、またwebhookペイロードの bot.result にも対応します。

ボットタイプ（結果が "bot" の場合）

bot_type は自由形式の文字列です。以下の値は検知器が出力する内容の説明用の例であり、網羅的なenumではありません:

検知方法の解説

1. Webdriverフラグ

最も直接的な検知です。主要な自動化フレームワークはすべて、WebDriver仕様に従って navigator.webdriver = true を設定します。これは、メインフレームのみにパッチを当てるツールを捕捉するために、メインフレーム（s300）と隠しiframe（s158）の両方でチェックされます。

2. 自動化フレームワークのスキャン

window および document のプロパティに対して、フレームワーク固有のアーティファクトを網羅的にスキャンします:

このスキャンでは、Seleniumが注入する補助グローバルを検出するために、正規表現パターン /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ も使用します。

3. ヘッドレスブラウザの検知

11個のマーカーを評価し、分類のしきい値は2個以上です:

4. 良性ボットの検証

既知の良性ボットはUser-Agentのパターンで認識されます。それぞれ偽装を防ぐために逆引きDNSで検証されます:

1. 接続元IPに対して逆引きDNSを行い、ホスト名を取得
2. ホスト名のサフィックスを許可ドメイン（例: .googlebot.com）と照合
3. ホスト名に対して正引きDNSを行い、IPが一致するか検証

あるリクエストがGooglebotを名乗っていても、そのIPの逆引きDNSが無関係なドメインに解決される場合（単なる欠落やタイムアウトではなく、確認されたPTR不一致）、bot（タイプ spoofed:google）として分類されます。

5. 挙動分析

エントロピースコアリングを伴うレートベースの検知:

追加ルール: セッション経過30秒以上でマウス/キーボードのイベントがない場合、その訪問はタイプ noInteraction の bot として分類されます。

6. eval length分析

eval.toString().length はエンジンごとに一貫した値を生成します:

• 33: Chrome、Edge（V8）
• 37: Firefox（SpiderMonkey）、Safari（JavaScriptCore）

それ以外の値は eval 関数が自動化フレームワークによってフックされていることを示し、その訪問はタイプ unknown の bot として分類されます。

統合の例

ログイン時にボットをブロックする（クライアント）

クライアントSDKは便利な真偽値 result.bot.detected を公開します:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

サーバーサイドでのボットチェック

サーバー側では、webhookの配信に基づいて処理します。ボット検知は bot オブジェクト内にあります — bot.result と bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

誤検知の扱い

TRACIOのボット検知は、ほぼゼロの誤検知を目指して設計されています。ただし、エッジケースは起こり得ます:

誤検知が発生した場合は、bot.type フィールドを確認してどの検知器が発火したかを把握し、それに応じてポリシーを調整してください。