Bot Detection

System wykrywania botów TRACIO identyfikuje zautomatyzowane przeglądarki, narzędzia headless i ataki skryptowe przy użyciu dwuwarstwowej architektury: zbierania sygnałów po stronie klienta oraz analizy po stronie serwera. Wykrywa popularne frameworki automatyzacji, przeglądarki headless, agentów AI przeglądających sieć oraz przeglądarki antidetect z niemal zerową liczbą fałszywych alarmów, jednocześnie automatycznie dodając legalne crawlery wyszukiwarek do listy dozwolonych.

Co wykrywa TRACIO

• Frameworki automatyzacji — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS i inne, poprzez artefakty window/document oraz zachowanie stack trace.
• Przeglądarki headless — headless Chrome i pokrewne środowiska uruchomieniowe (artefakty CDP, renderowanie na programowym GPU, brakujące obiekty przeglądarki).
• Agenci AI przeglądający sieć — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern i podobne środowiska uruchomieniowe agentów.
• Przeglądarki antidetect — Multilogin, GoLogin, Dolphin i inne przeglądarki fałszujące fingerprint, poprzez sondy CSS/właściwości/integralności.
• Zweryfikowane crawlery — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo i inne, weryfikowane poprzez reverse DNS, aby sfałszowane user-agenty nie przechodziły.

Architektura wykrywania

Zbieranie po stronie klienta

Agent przeglądarki zbiera szereg sygnałów specyficznych dla botów oraz sygnałów walidacji krzyżowej, które zasilają decyzje po stronie serwera. Poniższe identyfikatory sygnałów mają charakter poglądowy — wewnętrzne identyfikatory nie stanowią stabilnego publicznego kontraktu:

Analiza po stronie serwera

Serwer uruchamia zestaw detektorów, których ważone wyniki łączą się w wynik botowy (bot score). Wynik jest mapowany na werdykt poprzez progi — bot, gdy wynosi ≥ 0,70, suspicious, gdy ≥ 0,30, w przeciwnym razie human — a sygnał typu hard-fail (taki jak navigator.webdriver) wymusza werdykt bot bez warunków. Werdykty bot niosą ze sobą swobodną etykietę bot_type.

Reprezentatywne detektory i ich efekt:

Plan i dostępność. Wykrywanie DevTools działa w planach Business i Enterprise; wykrywanie VM to Enterprise; wykrywanie emulatora działa we wszystkich planach. Wszystko to działa w agencie webowym. Wykrywanie roota, jailbreaka, sklonowanych/zdublowanych aplikacji, Fridy oraz przywrócenia ustawień fabrycznych zależy od natywnych sygnałów mobilnych i nie jest skuteczne we wdrożeniu wyłącznie webowym (w fazie rozwoju). Polegaj na werdyktach dotyczących automatyzacji, headless, agentów AI, antidetect, VM/emulatora i zachowania, które w środowisku webowym są w pełni aktywne.

Format wyniku

Wykrywanie botów zapisuje pole bot_result w każdym zdarzeniu (oraz bot.result w payloadzie webhooka).

Wartości wyniku

bot_result przyjmuje jedną z trzech kanonicznych wartości:

Jest to mapowane na biznesowe pole decision (real, fake lub suspicious) używane w całym dashboardzie oraz na bot.result w payloadzie webhooka.

Typy botów (gdy wynik to "bot")

bot_type to swobodny ciąg znaków. Poniższe wartości to poglądowe przykłady tego, co emitują detektory, a nie wyczerpujący enum:

Objaśnienie metod wykrywania

1. Flaga webdriver

Najbardziej bezpośrednie wykrywanie. Wszystkie główne frameworki automatyzacji ustawiają navigator.webdriver = true zgodnie ze specyfikacją WebDriver. Jest to sprawdzane zarówno w głównej ramce (s300), jak i w ukrytym iframe (s158), aby wykryć narzędzia, które łatają jedynie główną ramkę.

2. Skanowanie frameworków automatyzacji

Kompleksowe skanowanie właściwości window i document w poszukiwaniu artefaktów specyficznych dla frameworków:

Skan wykorzystuje również wzorzec regex /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ do wykrywania wstrzykniętych przez Selenium pomocniczych globalnych obiektów.

3. Wykrywanie przeglądarek headless

Oceniane jest 11 markerów, z progiem 2 lub więcej dla klasyfikacji:

4. Weryfikacja dobrych botów

Znane dobre boty są rozpoznawane po wzorcu User-Agent. Każdy jest weryfikowany poprzez reverse DNS, aby zapobiec spoofingowi:

1. Zapytanie reverse DNS na łączącym się IP w celu uzyskania nazwy hosta
2. Sprawdzenie sufiksu nazwy hosta względem dozwolonych domen (np. .googlebot.com)
3. Zapytanie forward DNS na nazwie hosta w celu weryfikacji zgodności IP

Jeśli żądanie podaje się za Googlebot, ale reverse DNS jego IP rozwiązuje się na obcą domenę (potwierdzona niezgodność PTR, a nie jedynie brakujące/przeterminowane zapytanie), jest klasyfikowane jako bot (typ spoofed:google).

5. Analiza behawioralna

Wykrywanie oparte na tempie z punktacją entropii:

Dodatkowa reguła: brak zdarzeń myszy/klawiatury po 30+ sekundach czasu trwania sesji klasyfikuje wizytę jako bot z typem noInteraction.

6. Analiza eval-length

eval.toString().length daje spójne wartości w zależności od silnika:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

Każda inna wartość wskazuje, że funkcja eval została podpięta (hooked) przez framework automatyzacji, co klasyfikuje wizytę jako bot z typem unknown.

Przykłady integracji

Blokowanie botów przy logowaniu (klient)

Klienckie SDK udostępnia wygodną wartość logiczną, result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Sprawdzanie botów po stronie serwera

Na swoim serwerze reaguj na dostarczenie webhooka. Wykrywanie botów znajduje się w obiekcie bot — bot.result i bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Obsługa fałszywych alarmów

Wykrywanie botów TRACIO zostało zaprojektowane z myślą o niemal zerowej liczbie fałszywych alarmów. Mogą jednak wystąpić przypadki brzegowe:

Jeśli napotkasz fałszywe alarmy, sprawdź pole bot.type, aby zrozumieć, który detektor został wyzwolony, i odpowiednio dostosuj swoją politykę.