Bot Detection

TRACIO:s system för botdetektering identifierar automatiserade webbläsare, headless-verktyg och skriptbaserade attacker med hjälp av en tvålagersarkitektur: klientsidig signalinsamling och serversidig analys. Det upptäcker gängse automatiseringsramverk, headless-webbläsare, AI-webbläsaragenter och antidetect-webbläsare med nära noll falska positiva, och sätter samtidigt automatiskt legitima sökmotor-crawlers på allowlistan.

Vad TRACIO upptäcker

• Automatiseringsramverk — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS med flera, via window/document-artefakter och stack-trace-beteende.
• Headless-webbläsare — headless Chrome och relaterade körmiljöer (CDP-artefakter, mjukvaru-GPU-rendering, saknade webbläsarobjekt).
• AI-webbläsaragenter — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern och liknande agentkörmiljöer.
• Antidetect-webbläsare — Multilogin, GoLogin, Dolphin och andra fingeravtrycksförfalskande webbläsare, via CSS-/egenskaps-/integritetsprober.
• Verifierade crawlers — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo med flera, verifierade via reverse DNS så att förfalskade user-agents inte släpps igenom.

Detekteringsarkitektur

Klientsidig insamling

Webbläsaragenten samlar in en rad botspecifika och korsvaliderande signaler som matas in i serversidans beslut. Signal-ID:na nedan är illustrativa — de interna ID:na är inte något stabilt offentligt kontrakt:

Serversidig analys

Servern kör en uppsättning detektorer vars viktade utdata kombineras till ett bot-score. Poängen mappas till ett verdikt via tröskelvärden — bot när det är ≥ 0,70, suspicious när ≥ 0,30, annars human — och en hard-fail-signal (såsom navigator.webdriver) framtvingar direkt ett bot-verdikt. Bot-verdikt bär en fri bot_type-etikett.

Representativa detektorer och deras effekt:

Nivå & tillgänglighet. DevTools-detektering körs på Business och Enterprise; VM-detektering är Enterprise; emulatordetektering körs på alla planer. Allt detta fungerar i webbagenten. Detektering av root, jailbreak, klonade/dubbla appar, Frida och fabriksåterställning beror på nativa mobilsignaler och är inte effektiv i den rena webbdriftsättningen (under utveckling). Förlita dig på verdikten för automatisering, headless, AI-agent, antidetect, VM/emulator och beteende, som är fullt aktiva på webben.

Resultatformat

Botdetektering skriver ett bot_result-fält på varje event (och bot.result i webhook-payloaden).

Resultatvärden

bot_result är ett av tre kanoniska värden:

Detta mappas till det affärsmässiga decision-fältet (real, fake eller suspicious) som används genom hela dashboarden, och till bot.result i webhook-payloaden.

Bottyper (när resultatet är "bot")

bot_type är en fri sträng. Värdena nedan är illustrativa exempel på vad detektorerna avger, inte en uttömmande enum:

Detekteringsmetoder förklarade

1. Webdriver-flagga

Den mest direkta detekteringen. Alla större automatiseringsramverk sätter navigator.webdriver = true enligt WebDriver-specifikationen. Detta kontrolleras både i huvudramen (s300) och i en dold iframe (s158) för att fånga verktyg som endast patchar huvudramen.

2. Genomsökning av automatiseringsramverk

Omfattande genomsökning av window- och document-egenskaper efter ramverksspecifika artefakter:

Genomsökningen använder även ett regex-mönster /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ för att upptäcka Seleniums injicerade hjälp-globals.

3. Detektering av headless-webbläsare

11 markörer utvärderas, med ett tröskelvärde på 2 eller fler för klassificering:

4. Verifiering av bra botar

Kända bra botar känns igen via User-Agent-mönster. Varje verifieras via reverse DNS för att förhindra spoofing:

1. Reverse-DNS-uppslag på den anslutande IP:n för att få värdnamnet
2. Kontrollera värdnamnets suffix mot tillåtna domäner (t.ex. .googlebot.com)
3. Forward-DNS-uppslag på värdnamnet för att verifiera att IP:n stämmer

Om en förfrågan påstår sig vara Googlebot men dess IP:s reverse DNS löses upp till en främmande domän (en bekräftad PTR-avvikelse, inte enbart ett saknat/utgånget uppslag), klassificeras den som bot (typ spoofed:google).

5. Beteendeanalys

Rate-baserad detektering med entropi-scoring:

Ytterligare regel: Inga mus-/tangentbordshändelser efter 30+ sekunders sessionslängd klassificerar besöket som bot med typ noInteraction.

6. Eval-length-analys

eval.toString().length producerar konsekventa värden per engine:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

Vilket som helst annat värde tyder på att eval-funktionen har hookats av ett automatiseringsramverk, vilket klassificerar besöket som bot med typ unknown.

Integrationsexempel

Blockera botar vid inloggning (klient)

Klient-SDK:t exponerar en praktisk boolean, result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Serversidig bot-kontroll

På din server, agera på webhook-leveransen. Botdetekteringen finns i bot-objektet — bot.result och bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Hantering av falska positiva

TRACIO:s botdetektering är utformad för nära noll falska positiva. Gränsfall kan dock förekomma:

Om du stöter på falska positiva, granska bot.type-fältet för att förstå vilken detektor som utlöstes och justera din policy därefter.