Bot Detection

Система обнаружения ботов TRACIO выявляет автоматизированные браузеры, headless-инструменты и скриптовые атаки с помощью двухслойной архитектуры: клиентский сбор сигналов и серверный анализ. Она обнаруживает распространённые фреймворки автоматизации, headless-браузеры, ИИ-агенты для веб-сёрфинга и антидетект-браузеры с почти нулевым уровнем ложных срабатываний, автоматически добавляя легитимные поисковые краулеры в allowlist.

Что обнаруживает TRACIO

• Фреймворки автоматизации — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS и другие, по артефактам window/document и поведению стек-трейсов.
• Headless-браузеры — headless Chrome и связанные среды выполнения (артефакты CDP, программный GPU-рендеринг, отсутствующие объекты браузера).
• ИИ-агенты для веб-сёрфинга — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern и аналогичные среды выполнения агентов.
• Антидетект-браузеры — Multilogin, GoLogin, Dolphin и другие браузеры, подделывающие отпечаток, по проверкам CSS/свойств/целостности.
• Верифицированные краулеры — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo и другие, верифицированные через обратный DNS, чтобы поддельные user-agent не проходили.

Архитектура обнаружения

Клиентский сбор

Браузерный агент собирает набор специфичных для ботов и кросс-валидационных сигналов, которые поступают в серверные решения. Идентификаторы сигналов ниже приведены для иллюстрации — внутренние идентификаторы не являются стабильным публичным контрактом:

Серверный анализ

Сервер запускает набор детекторов, чьи взвешенные выходы объединяются в bot-score. Score сопоставляется с вердиктом по порогам — bot, когда он ≥ 0.70, suspicious, когда ≥ 0.30, иначе human, — а сигнал жёсткого отказа (такой как navigator.webdriver) сразу форсирует вердикт bot. Вердикты bot несут произвольную метку bot_type.

Репрезентативные детекторы и их эффект:

Тариф и доступность. Обнаружение DevTools работает на Business и Enterprise; обнаружение VM — Enterprise; обнаружение эмуляторов работает на всех планах. Всё это работает в веб-агенте. Обнаружение root, jailbreak, клонированных/сдвоенных приложений, Frida и заводского сброса зависит от нативных мобильных сигналов и неэффективно в web-only-развёртывании (в разработке). Полагайтесь на вердикты по автоматизации, headless, ИИ-агентам, антидетекту, VM/эмуляторам и поведению, которые полностью активны в вебе.

Формат результата

Обнаружение ботов записывает поле bot_result в каждое событие (и bot.result в payload вебхука).

Значения результата

bot_result — одно из трёх канонических значений:

Это сопоставляется с бизнес-полем decision (real, fake или suspicious), используемым по всему дашборду, и с bot.result в payload вебхука.

Типы ботов (когда результат "bot")

bot_type — произвольная строка. Значения ниже — иллюстративные примеры того, что выдают детекторы, а не исчерпывающий enum:

Разбор методов обнаружения

1. Флаг Webdriver

Наиболее прямое обнаружение. Все основные фреймворки автоматизации устанавливают navigator.webdriver = true согласно спецификации WebDriver. Это проверяется как в основном фрейме (s300), так и в скрытом iframe (s158), чтобы поймать инструменты, патчащие только основной фрейм.

2. Сканирование фреймворков автоматизации

Комплексное сканирование свойств window и document на специфичные для фреймворков артефакты:

Сканирование также использует regex-паттерн /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ для обнаружения внедрённых Selenium вспомогательных глобалов.

3. Обнаружение headless-браузеров

Оценивается 11 маркеров, порог классификации — 2 или больше:

4. Верификация «хороших» ботов

Известные «хорошие» боты распознаются по паттерну User-Agent. Каждый верифицируется через обратный DNS для предотвращения подделки:

1. Обратный DNS-запрос по подключающемуся IP для получения имени хоста
2. Проверка суффикса имени хоста по разрешённым доменам (например, .googlebot.com)
3. Прямой DNS-запрос по имени хоста для проверки совпадения IP

Если запрос заявляет, что он Googlebot, но обратный DNS его IP разрешается в чужой домен (подтверждённое несоответствие PTR, а не просто отсутствующий/истёкший по таймауту запрос), он классифицируется как bot (тип spoofed:google).

5. Поведенческий анализ

Обнаружение на основе частоты с оценкой энтропии:

Дополнительное правило: отсутствие событий мыши/клавиатуры после 30+ секунд возраста сессии классифицирует визит как bot с типом noInteraction.

6. Анализ длины Eval

eval.toString().length даёт согласованные значения для каждого движка:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

Любое другое значение указывает, что функция eval была перехвачена фреймворком автоматизации, и классифицирует визит как bot с типом unknown.

Примеры интеграции

Блокировка ботов на логине (клиент)

Клиентский SDK предоставляет удобный булев флаг result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Серверная проверка ботов

На своём сервере действуйте по доставке вебхука. Обнаружение ботов находится в объекте bot — bot.result и bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Обработка ложных срабатываний

Обнаружение ботов TRACIO спроектировано для почти нулевого уровня ложных срабатываний. Однако граничные случаи возможны:

Если вы столкнулись с ложными срабатываниями, изучите поле bot.type, чтобы понять, какой детектор сработал, и скорректируйте свою политику соответственно.