Camada comportamental
Um programa se entrega pelo jeito como age, não pelo que faz
Toda visita produz movimento: um cursor viajando até um botão, teclas pressionadas e soltas, uma página rolada, uma tela tocada. A TRACIO pontua esse movimento continuamente e diz a você se ele veio de uma mão ou de um software.
O que observamos
Quatro canais de entrada, ponderados pelo dispositivo na mão do visitante
Cada canal é pontuado separadamente e depois combinado. Os pesos não são fixos: eles acompanham o dispositivo que o visitante está realmente usando. Em um celular, o toque decide o veredito e a ausência de cursor não significa nada. No desktop, o cursor é o canal mais forte e a ausência de fluxo de toque é simplesmente o esperado.
Mouse e cursor
Principal no desktopA velocidade e o quanto ela varia, as mudanças de direção por trecho percorrido, como a trajetória se curva na direção de um alvo, a aceleração e a frenagem antes de um clique, e o tremor fino de uma mão humana que um movimento programado não reproduz.
Ritmo de digitação
Apenas temposQuanto tempo cada tecla fica pressionada, o intervalo entre uma soltura e o toque seguinte, a sobreposição quando a próxima tecla desce antes de a anterior subir, rajadas e pausas, correções e backspaces. Tempos — nunca os caracteres. Veja a seção de privacidade abaixo.
Rolagem
Os dois formatosA variância da velocidade, com que frequência a direção se inverte, a inércia que decai como decai um impulso físico e as pausas que batem com a quantidade de texto realmente na tela.
Toque
Principal no celularA área de contato e como ela muda ao longo de um toque, a pressão informada quando o dispositivo a expõe, a pequena deriva de um dedo que nunca cai duas vezes no mesmo pixel e os tempos entre múltiplos contatos.
A mesma sessão, ponderada de duas formas diferentes
Mouse e teclado carregam o peso. Nenhum fluxo de toque é esperado aqui, então a ausência dele não custa nada ao visitante.
Toque e movimento do dispositivo carregam o peso. Uma visita sem nenhum movimento de cursor é normal em um celular, não suspeita.
Ausência não é evidência
Um canal que o dispositivo nunca ofereceu é excluído da pontuação em vez de contar contra o visitante. Isso parece óbvio e é a forma mais comum de uma pontuação comportamental ingênua transformar clientes reais em suspeitos: um celular não tem mouse, quem usa leitor de tela não traça uma trajetória de cursor suave, e nenhum desses dois fatos diz qualquer coisa sobre ser um bot.
A evidência
Três coisas que o software faz e mãos não conseguem
São exemplos, não o conjunto completo de regras, mas mostram o formato da evidência sobre a qual agimos. Cada uma é uma impossibilidade física para uma mão, e cada uma tem uma trava para que um único momento estranho nunca vire um veredito.
Toques de metrônomo
O que medimos
Todas as teclas mantidas pressionadas por quase exatamente o mesmo número de milissegundos ao longo de toda a entrada.
Por que uma mão não consegue
Quanto tempo um dedo fica em uma tecla depende de qual tecla é, de qual mão ele pertence e de quão cansada essa mão está. Os tempos humanos se dispersam. Toques injetados são gerados a partir de uma constante, e a dispersão despenca para quase zero.
O que mantém a regra honesta
A regra precisa de toques suficientes na janela antes mesmo de contar. Uma entrada de quatro caracteres não é uma amostra, e não é pontuada como tal.
Cliques que se teletransportam
O que medimos
Um clique cai em um controle até o qual o cursor nunca viajou — o ponteiro simplesmente aparece nas coordenadas e dispara.
Por que uma mão não consegue
Uma pessoa se aproxima do alvo: a trajetória se curva na chegada, a velocidade cai perto do fim e costuma haver um instante de hover antes do toque. A automação define coordenadas e despacha um evento; não há aproximação porque nada se moveu fisicamente.
O que mantém a regra honesta
Um clique teletransportado isolado é um artefato plausível de navegação por teclado ou de trackpad. Ele só conta quando é a maioria dos cliques de uma sessão que teve cliques suficientes para ser julgada.
Digitar em uma aba oculta
O que medimos
Os toques continuam chegando enquanto a página está em segundo plano e nunca foi trazida para a frente.
Por que uma mão não consegue
Uma pessoa não consegue digitar em uma página que não está olhando. Software de fazenda toca dezenas de abas em paralelo e não se dá ao trabalho de focar cada uma antes de começar a preencher formulários.
O que mantém a regra honesta
Um evento no instante de uma troca de aba é uma corrida entre eventos do navegador, não evidência. Ele conta com entrada repetida e a página ainda nunca visível.
Privacidade
Medimos o ritmo. Não conseguimos reconstruir o texto.
A coleta comportamental roda em toda a página, inclusive em campos de senha, e-mail e número de cartão. É uma decisão deliberada, e merece ser explicada por inteiro em vez de ficar enterrada em um documento de política.
Por que os campos sensíveis são justamente os que importam
Credential stuffing (preenchimento de credenciais), teste de cartões e roubo de conta acontecem exatamente dentro desses campos. Um detector que se desliga ali fica cego no único lugar em que o ataque realmente vive. Esse era o comportamento anterior: a coleta era desativada por completo nos campos sensíveis, então os segundos de maior risco de uma visita não produziam medição nenhuma.
O que é guardado
Tempos. Quando uma tecla desceu, quanto tempo ficou pressionada, quanto tempo até a seguinte, se dois toques se sobrepuseram. Isso basta para distinguir uma mão de um gerador, e é tudo o que o detector já pediu.
O que não é guardado
Qual tecla era. Dentro dos campos sensíveis, a identidade de cada toque é substituída por um substituto grosseiro no navegador, antes de qualquer coisa sair da página — um entre um punhado pequeno de baldes, não um caractere. Não existe caminho de volta. O fluxo que chega aos nossos servidores não contém texto, nem texto parcial, nem nada que possa ser remontado em texto.
A consequência que tivemos que resolver
Como a identidade da tecla realmente some nesses campos, qualquer regra que dependa de distinguir teclas precisa excluir esses toques da própria contagem — caso contrário uma senha normal pareceria uma mesma tecla batida repetidamente, e marcaríamos pessoas por digitar corretamente. As regras baseadas em tempos não são afetadas e seguem funcionando sobre o fluxo completo.
Desligar a coleta nunca protegeu o conteúdo
Os caracteres nunca foram coletados em nenhum dos dois desenhos. Tudo o que a velha exclusão generalizada removia era a evidência: deixava o detector cego sem tornar ninguém mais privado. A abordagem do substituto mantém exatamente a mesma garantia sobre o seu texto e devolve ao detector as suas medições. Detecção melhor e privacidade melhor saíram de uma única decisão, o que é raro o bastante para ser dito com todas as letras.
Como as regras entram em produção
Uma regra nova roda às cegas antes de poder tocar em um veredito
A detecção piora no momento em que fica esperta sem evidência. Toda regra comportamental é adicionada primeiro em sombra: ela é avaliada contra tráfego de produção real e o resultado é registrado, mas ela não contribui em nada para a pontuação que alguém vê.
Publicada em sombra
A regra avalia tráfego real desde o primeiro dia. A saída dela vai só para a análise — o veredito de nenhum cliente se move porque uma regra foi adicionada.
Medida contra as duas populações
Acompanhamos com que frequência ela dispara em sessões julgadas humanas de forma independente e em sessões julgadas automatizadas de forma independente, sobre tráfego real suficiente para significar alguma coisa.
Dois limiares decidem
Ela precisa separar pelo menos dez para um — disparar pelo menos dez vezes mais em automação do que em pessoas — e precisa ficar abaixo de uma taxa de disparo de 0,5% em sessões humanas reais.
Promovida, ou deixada no escuro
Uma regra que passa nas duas portas ganha peso na pontuação. Uma regra que não passa fica em sombra ou é removida de vez. A promoção é uma mudança deliberada e revisada — nada é ligado automaticamente.
É isso que protege você de um detector que ficou esperto da noite para o dia e começou a rejeitar os seus próprios clientes. A sua taxa de falsos positivos não se move porque alguém teve uma ideia numa sexta à tarde.
O que você recebe
Três campos, entregues com o evento de identificação
O veredito comportamental chega junto com o resto do evento — sem segunda chamada, sem polling, sem um endpoint separado para integrar.
Trecho do evento
{
"visitorId": "X7fh2Hg9LkMn3pQr",
"behavior": {
"score": 87.4,
"verdict": "human",
"confidence": 0.82
}
}Disponível no plano Business e acima. Entregue em webhooks e disponível pela Data API.
O bloco comportamental é um sinal, não uma ação. Ele não bloqueia nada sozinho — você o combina com o resto do evento e com a sua própria política, que é onde a decisão pertence.
Limites
O que o comportamento não conta a você
O comportamento responde bem a uma pergunta: humano ou programa. Ele não responde “qual humano”, e não vendemos como se respondesse.
Não é um sinal de identidade
Não afirmamos reconhecer um indivíduo que retorna pela digitação nem pelo mouse. Medimos isso em tráfego real: casar uma pessoa específica entre dois navegadores que ela usa não foi melhor do que o acaso. A qualquer fornecedor que venda “biometria comportamental que identifica o usuário” deveria ser pedido que publicasse esse mesmo número.
Não substitui a identificação
Quem é o dispositivo vem da camada de dispositivo e navegador. O comportamento conta a você que tipo de ator está dirigindo esse dispositivo. Os dois respondem perguntas diferentes e nenhum substitui o outro.
Precisa de entrada para funcionar
Um visitante que chega e sai em dois segundos quase não produz nada para pontuar. A saída honesta ali é “uncertain” com confiança baixa — não um chute vestido de veredito.
Perguntas frequentes
Veja o veredito comportamental no seu próprio tráfego
Instale o agente, acompanhe a pontuação chegando com cada evento de identificação e decida você mesmo quanto ela vale.