Bot Detection

Het bot-detectiesysteem van TRACIO identificeert geautomatiseerde browsers, headless tools en scriptmatige aanvallen met behulp van een tweelaags architectuur: signaalverzameling aan de clientzijde en analyse aan de serverzijde. Het detecteert gangbare automatiseringsframeworks, headless browsers, AI-browsingagents en antidetect-browsers met vrijwel nul false positives, en plaatst legitieme zoekmachine-crawlers automatisch op de allowlist.

Wat TRACIO detecteert

• Automatiseringsframeworks — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS en meer, via window/document-artefacten en stack-trace-gedrag.
• Headless browsers — headless Chrome en verwante runtimes (CDP-artefacten, software-GPU-rendering, ontbrekende browserobjecten).
• AI-browsingagents — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern en vergelijkbare agent-runtimes.
• Antidetect-browsers — Multilogin, GoLogin, Dolphin en andere fingerprint-vervalsende browsers, via CSS-/eigenschaps-/integriteitscontroles.
• Geverifieerde crawlers — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo en andere, geverifieerd via reverse DNS zodat vervalste user-agents er niet doorheen komen.

Detectiearchitectuur

Verzameling aan de clientzijde

De browser-agent verzamelt een reeks bot-specifieke en cross-validatiesignalen die de beslissingen aan de serverzijde voeden. De onderstaande signaal-ID's zijn illustratief — de interne ID's vormen geen stabiel openbaar contract:

Analyse aan de serverzijde

De server voert een set detectoren uit waarvan de gewogen outputs worden gecombineerd tot een bot-score. De score wordt via drempelwaarden aan een verdict toegewezen — bot wanneer deze ≥ 0,70 is, suspicious bij ≥ 0,30, anders human — en een hard-fail-signaal (zoals navigator.webdriver) forceert direct een bot-verdict. Bot-verdicts dragen een vrij bot_type-label.

Representatieve detectoren en hun effect:

Tier & beschikbaarheid. DevTools-detectie draait op Business en Enterprise; VM-detectie is Enterprise; emulatordetectie draait op alle abonnementen. Dit alles werkt in de web-agent. Detectie van root, jailbreak, gekloonde/dual-apps, Frida en fabrieksreset is afhankelijk van native-mobielsignalen en is niet effectief in de uitsluitend web-gebaseerde uitrol (in ontwikkeling). Vertrouw op de verdicts voor automatisering, headless, AI-agents, antidetect, VM/emulator en gedrag, die op web volledig actief zijn.

Resultaatformaat

Bot-detectie schrijft bij elk event een bot_result-veld (en bot.result in de webhook-payload).

Resultaatwaarden

bot_result is een van drie canonieke waarden:

Dit wordt toegewezen aan het zakelijke decision-veld (real, fake of suspicious) dat overal in het dashboard wordt gebruikt, en aan bot.result in de webhook-payload.

Bot-types (wanneer het resultaat "bot" is)

bot_type is een vrije string. De onderstaande waarden zijn illustratieve voorbeelden van wat de detectoren uitgeven, geen uitputtende enum:

Detectiemethoden uitgelegd

1. Webdriver-vlag

De meest directe detectie. Alle belangrijke automatiseringsframeworks zetten navigator.webdriver = true conform de WebDriver-specificatie. Dit wordt gecontroleerd in zowel het hoofdframe (s300) als een verborgen iframe (s158) om tools te vangen die alleen het hoofdframe patchen.

2. Scannen van automatiseringsframeworks

Uitgebreid scannen van window- en document-eigenschappen op framework-specifieke artefacten:

De scan gebruikt ook een regex-patroon /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ om de door Selenium geïnjecteerde helper-globals te detecteren.

3. Headless-browserdetectie

Er worden 11 markers geëvalueerd, met een drempel van 2 of meer voor classificatie:

4. Verificatie van goede bots

Bekende goede bots worden herkend aan het User-Agent-patroon. Elk wordt geverifieerd via reverse DNS om spoofing te voorkomen:

1. Reverse-DNS-lookup op het verbindende IP om de hostnaam te verkrijgen
2. Controle van het hostnaam-suffix tegen toegestane domeinen (bijv. .googlebot.com)
3. Forward-DNS-lookup op de hostnaam om te verifiëren dat het IP overeenkomt

Als een verzoek beweert Googlebot te zijn, maar de reverse DNS van het IP naar een vreemd domein resolvt (een bevestigde PTR-mismatch, niet louter een ontbrekende/verlopen lookup), wordt het geclassificeerd als bot (type spoofed:google).

5. Gedragsanalyse

Rate-gebaseerde detectie met entropie-scoring:

Aanvullende regel: geen muis-/toetsenbordgebeurtenissen na 30+ seconden sessieduur classificeert het bezoek als bot met type noInteraction.

6. Eval-length-analyse

eval.toString().length produceert consistente waarden per engine:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

Elke andere waarde wijst erop dat de eval-functie door een automatiseringsframework is gehookt, wat het bezoek classificeert als bot met type unknown.

Integratievoorbeelden

Bots blokkeren bij het inloggen (client)

De client-SDK stelt een handige boolean beschikbaar, result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Bot-controle aan de serverzijde

Reageer op uw server op de webhook-levering. Bot-detectie bevindt zich in het bot-object — bot.result en bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Omgaan met false positives

De bot-detectie van TRACIO is ontworpen voor vrijwel nul false positives. Toch kunnen randgevallen voorkomen:

Als u false positives tegenkomt, bekijk dan het bot.type-veld om te begrijpen welke detector werd getriggerd en pas uw beleid dienovereenkomstig aan.