Обнаружение ботов

Обнаружение ботов в TRACIO выявляет автоматизированные браузеры, headless-инструменты и скриптовые атаки с помощью двухслойной архитектуры: клиентский сбор в браузерном агенте и серверный анализ. Оно покрывает распространённые фреймворки автоматизации, headless-браузеры, ИИ-агенты для веб-сёрфинга и антидетект-браузеры с почти нулевым уровнем ложных срабатываний, автоматически добавляя легитимные поисковые краулеры в allowlist.

Что обнаруживает TRACIO

• Фреймворки автоматизации — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS и подобные инструменты.
• Headless-браузеры — headless Chrome и родственные среды выполнения.
• ИИ-агенты для веб-сёрфинга — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern и аналогичные среды выполнения агентов.
• Антидетект-браузеры — сборки браузеров, назначение которых — подделывать или ротировать отпечаток.
• Верифицированные краулеры — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo и другие; верификация устроена так, что поддельный user-agent не проходит.

Как формируется вердикт

Браузерный агент выполняет широкий набор проверок и сообщает их результаты. На сервере результаты взвешиваются в оценку бота, а оценка сопоставляется с вердиктом. Небольшое число однозначных индикаторов решающи сами по себе и форсируют вердикт bot независимо от остальных.

Какие проверки выполняются, как они взвешиваются и где проходят пороги — не публикуется ни на одном тарифе. Описав это, мы бы прямо сообщили операторам ботов, что именно поменять, чтобы пройти защиту. Вместо этого вы получаете вердикт, метку типа бота и — на Business и выше — коды причин, которые называют класс наблюдения, стоящего за решением.

Формат результата

Каждая идентификация несёт вердикт по боту. До вас он доходит как bot.result в payload вебхука и как result.bot в клиентском SDK.

Значения вердикта

Это сопоставляется с бизнес-полем decision.action (real, fake или suspicious), которое используется по всему дашборду и в payload вебхука.

Вердикт сопровождается полем bot.score. В версии 2 payload вебхука это десятичное число в шкале 0..100 — то же самое, что дашборд показывает для этого визита. (В замороженной схеме версии 1 это доля в шкале 0..1; см. Вебхуки.)

Типы ботов

bot.type присутствует, когда результат — bot. Это либо имя распознанного бота или среды выполнения, либо семейство, когда называние конкретной проверки раскрыло бы внутреннее устройство детектора:

Список закрыт намеренно: проверка, добавленная в детектор завтра, проявится как other, а не утечёт своим внутренним именем. Относитесь к bot.type как к метке, по которой вы ветвитесь, а не как к исчерпывающему enum для валидации — новые именованные среды выполнения добавляются со временем.

Коды причин (Business и выше)

На тарифах Business и Enterprise payload вебхука несёт массив reasons — не более восьми записей, отсортированных по важности. Код называет класс наблюдения, но никогда — стоящую за ним проверку:

severity принимает значения high, medium или low и означает долю вердикта, которая приходится на этот класс в этом визите, а не фиксированное свойство кода. Один и тот же код может прийти как high в одном визите и как low в другом — не кешируйте его как константу.

privacy_hardening требует особой аккуратности: он срабатывает и на обычных пользователях, заботящихся о приватности, не только на попытках уклонения. Взвешивайте его вместе с остальным, а не действуйте по нему в одиночку.

virtual_environment приходит из обнаружения эмуляторов. Отдельного вердикта «работает под гипервизором» в вебе нет: улики, которые видит браузер, — универсальный программный рендерер, необычно малое число ядер — так же часто встречаются на обычных машинах без драйвера GPU и внутри сессий удалённого рабочего стола, поэтому мы не превращаем их в вердикт, в котором вам пришлось бы сомневаться.

Доступность по тарифам

Оценка антидетекта ещё калибруется. bot.antidetectScore сообщается, чтобы вы могли наблюдать за ним и настраивать собственную политику — воспринимайте его как вход в ваше решение о риске, а не как самостоятельное основание для блокировки.

Проверки только для мобильных не работают в вебе. Обнаружение root, jailbreak, клонированных/сдвоенных приложений и Frida опирается на нативные мобильные сигналы, которые браузер собрать не может. TRACIO поставляет только браузерные SDK, поэтому полагайтесь на вердикты по автоматизации, headless, ИИ-агентам, антидетекту, эмуляторам и поведению — они полностью активны в вебе.

Верифицированные краулеры

Известные «хорошие» боты распознаются по их user-agent, а затем верифицируются по подключающемуся IP: обратный DNS-запрос по IP, проверка, что полученное имя хоста принадлежит домену оператора, и прямой запрос, подтверждающий, что оно разрешается обратно в тот же IP. Это та процедура верификации, которую публикуют сами операторы краулеров.

Верифицированный краулер разрешается в human. Запрос, который заявляет, что он Googlebot, при том что его IP доказуемо принадлежит кому-то другому, классифицируется как бот — а просто отсутствующий или истёкший по таймауту запрос доказательством подделки не считается.

Поведенческий анализ

Динамика взаимодействия — движение указателя, ритм клавиатуры, скроллинг — питает вердикт как свидетельство того, присутствует ли человек, а не того, какой именно это человек. На Business и выше агрегат доставляется в блоке behavior вебхука:

{
  "behavior": {
    "score": 87,
    "verdict": "human",
    "confidence": 0.92
  }
}

score идёт в шкале 0..100 (выше — «человечнее»), verdict принимает значения human, uncertain или bot, а confidence (0..1) говорит, на каком объёме свидетельств держится вердикт: короткий визит с двумя движениями указателя получает здесь низкое значение, даже если сам вердикт выглядит решительным.

Блок присутствует только тогда, когда поведенческая оценка действительно выполнялась для этого визита. Отсутствие блока означает «нет данных», но никогда — «ничего подозрительного»; не читайте его отсутствие как чистый сигнал.

Примеры интеграции

Блокировка ботов на логине (клиент)

Клиентский SDK предоставляет удобный булев флаг result.bot.detected и поле confidence в шкале 0..100:

const result = await tracio.getResult()

if (result.bot.detected) {
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

await login(credentials)

Серверная проверка ботов

На своём сервере действуйте по доставке вебхука. Вердикт по боту находится в объекте bot — bot.result и bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot?.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Нулевые и пустые значения в payload опускаются, поэтому читайте bot.type защитно, а не делайте его обязательным в своих схемах.

Обработка ложных срабатываний

Обнаружение ботов TRACIO спроектировано для почти нулевого уровня ложных срабатываний, но граничные случаи возможны:

Если вы столкнулись с ложными срабатываниями, изучите bot.type (и reasons на Business и выше), чтобы понять, какой класс наблюдения сработал, и скорректируйте свою политику. Частые причины — в разделе Устранение неполадок.