Bot Detection

O sistema de detecção de bots da TRACIO identifica navegadores automatizados, ferramentas headless e ataques com scripts usando uma arquitetura de duas camadas: coleta de sinais no cliente e análise no servidor. Ele detecta frameworks de automação populares, navegadores headless, agentes de navegação de IA e navegadores anti-detecção com quase zero falsos positivos, ao mesmo tempo que coloca automaticamente em allowlist os rastreadores legítimos de mecanismos de busca.

O que a TRACIO detecta

• Frameworks de automação — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS e outros, por meio de artefatos de window/document e comportamento de stack-trace.
• Navegadores headless — Chrome headless e runtimes relacionados (artefatos CDP, renderização por GPU em software, objetos de navegador ausentes).
• Agentes de navegação de IA — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern e runtimes de agentes similares.
• Navegadores anti-detecção — Multilogin, GoLogin, Dolphin e outros navegadores que falsificam impressões digitais, por meio de sondas de CSS/propriedades/integridade.
• Rastreadores verificados — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo e outros, verificados via DNS reverso para que user-agents falsificados não passem.

Arquitetura de Detecção

Coleta no Cliente

O agente de navegador coleta uma variedade de sinais específicos de bots e de validação cruzada que alimentam as decisões no servidor. Os IDs de sinais abaixo são ilustrativos — os IDs internos não são um contrato público estável:

Análise no Servidor

O servidor executa um conjunto de detectores cujas saídas ponderadas se combinam em uma pontuação de bot. A pontuação é mapeada para um veredito por meio de limiares — bot quando é ≥ 0.70, suspicious quando ≥ 0.30, caso contrário human — e um sinal de falha imediata (como navigator.webdriver) força um veredito bot de imediato. Vereditos de bot carregam um rótulo bot_type de formato livre.

Detectores representativos e seu efeito:

Camada e disponibilidade. A detecção de DevTools roda em Business e Enterprise; a detecção de VM é Enterprise; a detecção de emulador roda em todos os planos. Todas funcionam no agente web. A detecção de root, jailbreak, apps clonados/duplicados, Frida e restauração de fábrica depende de sinais nativos de mobile e não é eficaz na implantação apenas web (em desenvolvimento). Confie nos vereditos de automação, headless, agente de IA, anti-detecção, VM/emulador e comportamental, que estão totalmente ativos na web.

Formato do Resultado

A detecção de bots grava um campo bot_result em cada evento (e bot.result no payload do webhook).

Valores do Resultado

bot_result é um de três valores canônicos:

Isso é mapeado para o campo de negócio decision (real, fake ou suspicious) usado em todo o dashboard, e para bot.result no payload do webhook.

Tipos de Bot (quando o resultado é "bot")

bot_type é uma string de formato livre. Os valores abaixo são exemplos ilustrativos do que os detectores emitem, não um enum exaustivo:

Métodos de Detecção Explicados

1. Flag Webdriver

A detecção mais direta. Todos os principais frameworks de automação definem navigator.webdriver = true conforme a especificação WebDriver. Isso é verificado tanto no frame principal (s300) quanto em um iframe oculto (s158) para pegar ferramentas que corrigem apenas o frame principal.

2. Varredura de Frameworks de Automação

Varredura abrangente das propriedades de window e document em busca de artefatos específicos de frameworks:

A varredura também usa o padrão de regex /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ para detectar os globais auxiliares injetados pelo Selenium.

3. Detecção de Navegador Headless

11 marcadores são avaliados, com um limiar de 2 ou mais para classificação:

4. Verificação de Bons Bots

Bons bots conhecidos são reconhecidos pelo padrão de User-Agent. Cada um é verificado via DNS reverso para evitar falsificação:

1. Consulta de DNS reverso no IP conectado para obter o hostname
2. Verificação do sufixo do hostname contra domínios permitidos (ex.: .googlebot.com)
3. Consulta de DNS direto no hostname para verificar se o IP corresponde

Se uma requisição afirma ser o Googlebot mas o DNS reverso do seu IP resolve para um domínio estranho (uma incompatibilidade de PTR confirmada, não apenas uma consulta ausente/expirada), ela é classificada como bot (tipo spoofed:google).

5. Análise Comportamental

Detecção baseada em taxa com pontuação de entropia:

Regra adicional: nenhum evento de mouse/teclado após 30+ segundos de idade da sessão classifica a visita como bot com tipo noInteraction.

6. Análise de Eval Length

eval.toString().length produz valores consistentes por engine:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

Qualquer outro valor indica que a função eval foi interceptada por um framework de automação, classificando a visita como bot com tipo unknown.

Exemplos de Integração

Bloqueando Bots no Login (cliente)

O SDK do cliente expõe um booleano de conveniência, result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Verificação de Bot no Servidor

No seu servidor, aja sobre a entrega do webhook. A detecção de bots fica no objeto bot — bot.result e bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Tratamento de Falsos Positivos

A detecção de bots da TRACIO foi projetada para quase zero falsos positivos. No entanto, casos extremos podem ocorrer:

Se você encontrar falsos positivos, revise o campo bot.type para entender qual detector foi acionado e ajuste sua política de acordo.