คุณอ่านสิ่งที่ฉันพิมพ์หรือเปล่า?

ไม่ ภายในช่องรหัสผ่าน อีเมล และหมายเลขบัตร ตัวตนของทุกการกดแป้นถูกแทนที่ด้วยค่าตัวแทนแบบหยาบตั้งแต่ในเบราว์เซอร์ ก่อนที่อะไรก็ตามจะออกจากหน้าเว็บ สิ่งที่มาถึงเราคือเรื่องเวลา ว่าแป้นถูกกดลงเมื่อไร ค้างอยู่นานแค่ไหน อีกนานเท่าไรถึงแป้นถัดไป จากตรงนั้นไม่มีทางย้อนกลับไปเป็นตัวอักษร คำ หรือรหัสผ่านได้ ทั้งสำหรับเราและสำหรับใครก็ตามที่บังเอิญได้ข้อมูลชุดนี้ไป

นี่คือไบโอเมตริกเชิงพฤติกรรมใช่ไหม คุณระบุตัวคนจากการพิมพ์ได้หรือเปล่า?

ไม่ใช่ และเราจะไม่อ้างเช่นนั้น จังหวะของอินพุตแยกคนออกจากโปรแกรมได้ดี แต่มันไม่ได้แยกคนหนึ่งออกจากอีกคนหนึ่งอย่างน่าเชื่อถือ บนทราฟฟิกจริงของเราเอง การจับคู่บุคคลหนึ่งข้ามสองเบราว์เซอร์ของเขาเองให้ผลไม่ดีไปกว่าการเดาสุ่ม เราเผยแพร่ตัวเลขนี้เพราะคำกล่าวอ้างตรงกันข้ามพบได้ทั่วไปในตลาดนี้ และแทบไม่เคยมีค่าวัดแนบมาด้วย

มันจะติดธงลูกค้าจริงของฉันไหม?

การป้องกันเรื่องนั้นคือจุดประสงค์ทั้งหมดของกระบวนการ shadow กฎจะได้น้ำหนักในคะแนนก็ต่อเมื่อมันวิ่งบนทราฟฟิกจริงแล้วและแสดงการแยกอย่างน้อยสิบต่อหนึ่ง ขณะที่ทำงานบนเซสชันมนุษย์จริงต่ำกว่า 0.5% นอกจากนี้คำตัดสินยังมีเงื่อนไขว่าต้องมีอินพุตมากพอจะตัดสินได้จริง เมื่อไม่พอ คำตอบคือ “uncertain” ไม่ใช่ “bot” เด็ดขาด

ใช้ได้บนมือถือไหม?

ได้ การสัมผัสและการเคลื่อนไหวของอุปกรณ์เป็นช่องทางระดับหลัก และบนโทรศัพท์ทั้งสองอย่างนี้แบกน้ำหนักส่วนใหญ่ เซสชันบนมือถือที่ไม่มีการขยับเมาส์เป็นเรื่องที่คาดไว้อยู่แล้ว ไม่ใช่เรื่องน่าสงสัย ช่องทางที่อุปกรณ์ไม่เคยมีจะถูกตัดออกจากคะแนน ไม่ใช่ถูกนับเป็นโทษของผู้เข้าชม

แล้วโปรแกรมจัดการรหัสผ่านกับการกรอกอัตโนมัติล่ะ?

โปรแกรมจัดการรหัสผ่านกรอกช่องข้อมูลโดยไม่สร้างการกดแป้น จึงไม่มีหลักฐานฝั่งคีย์บอร์ด ซึ่งต่างจากหลักฐานปลอม และการไม่มีอยู่ไม่เคยเป็นโทษ ส่วนการกรอกอัตโนมัติของเบราว์เซอร์ถูกระบุว่าเป็นการกรอกอัตโนมัติ และถูกยกเว้นอย่างชัดเจนจากกฎว่าด้วยฟอร์มที่ถูกกรอกด้วยโปรแกรม การล็อกอินที่กรอกอัตโนมัติอย่างถูกต้องจึงไม่ถูกมองว่าเป็นสคริปต์ เซสชันเหล่านั้นถูกให้คะแนนบนช่องทางที่มีอินพุตจริง และค่า confidence จะบอกคุณว่าคำตัดสินตั้งอยู่บนฐานมากแค่ไหน

ชั้นพฤติกรรม

โปรแกรมเผยตัวเองด้วยวิธีที่มันเคลื่อนไหว ไม่ใช่ด้วยสิ่งที่มันทำ

ทุกการเข้าชมสร้างการเคลื่อนไหว เคอร์เซอร์เคลื่อนเข้าหาปุ่ม แป้นถูกกดและปล่อย หน้าเว็บถูกเลื่อน หน้าจอถูกแตะ TRACIO ให้คะแนนการเคลื่อนไหวนั้นอย่างต่อเนื่อง และบอกคุณว่ามันมาจากมือคนหรือจากซอฟต์แวร์

เริ่มทดลองใช้ฟรี เอกสาร Bot Detection

เราเฝ้าดูอะไร

อินพุตสี่ช่องทาง ถ่วงน้ำหนักตามอุปกรณ์ที่อยู่ในมือผู้เข้าชม

แต่ละช่องทางถูกให้คะแนนแยกกันก่อนแล้วจึงนำมารวม น้ำหนักไม่ได้ตายตัว แต่วิ่งตามอุปกรณ์ที่ผู้เข้าชมใช้อยู่จริง บนโทรศัพท์ การสัมผัสเป็นตัวแบกคำตัดสิน และการไม่มีเคอร์เซอร์ไม่ได้มีความหมายอะไรเลย บนเดสก์ท็อป เคอร์เซอร์คือช่องทางที่หนักแน่นที่สุด และการไม่มีสตรีมการสัมผัสก็เป็นเรื่องที่คาดไว้อยู่แล้ว

เมาส์และเคอร์เซอร์

หลักบนเดสก์ท็อป

ความเร็วและความผันผวนของมัน จำนวนครั้งที่เปลี่ยนทิศต่อระยะทางหนึ่งช่วง ลักษณะที่เส้นทางโค้งเข้าหาเป้าหมาย การเร่งและการเบรกก่อนคลิก และแรงสั่นละเอียดของมือมนุษย์ที่การเคลื่อนไหวจากสคริปต์เลียนแบบไม่ได้

จังหวะคีย์บอร์ด

เฉพาะเรื่องเวลา

แต่ละแป้นถูกกดค้างนานเท่าไร ช่องว่างระหว่างการปล่อยแป้นหนึ่งกับการกดแป้นถัดไป การซ้อนทับเมื่อแป้นถัดไปลงก่อนแป้นก่อนหน้าจะขึ้น ช่วงรัวและช่วงหยุด การแก้ไขและการกดลบย้อนหลัง เฉพาะเรื่องเวลา ไม่เคยเป็นตัวอักษร ดูหัวข้อความเป็นส่วนตัวด้านล่าง

การเลื่อนหน้า

ทั้งสองรูปแบบอุปกรณ์

ความผันผวนของความเร็ว ความถี่ในการกลับทิศ โมเมนตัมที่ค่อย ๆ ลดลงแบบเดียวกับการปัดจริง และช่วงหยุดที่สอดคล้องกับปริมาณข้อความที่อยู่บนหน้าจอจริง

การสัมผัส

หลักบนมือถือ

พื้นที่สัมผัสและการเปลี่ยนแปลงของมันตลอดการแตะหนึ่งครั้ง แรงกดในกรณีที่อุปกรณ์รายงานค่านั้น การเลื่อนเล็กน้อยของนิ้วที่ไม่เคยลงพิกเซลเดิมซ้ำสองครั้ง และจังหวะเวลาระหว่างจุดสัมผัสหลายจุด

เซสชันเดียวกัน ถ่วงน้ำหนักสองแบบต่างกัน

เซสชันบนเดสก์ท็อปเคอร์เซอร์นำ

เมาส์และคีย์บอร์ดเป็นตัวแบกน้ำหนัก ที่นี่ไม่มีใครคาดหวังสตรีมการสัมผัสอยู่แล้ว การไม่มีมันจึงไม่ทำให้ผู้เข้าชมเสียอะไรเลย

เซสชันบนโทรศัพท์การสัมผัสนำ

การสัมผัสและการเคลื่อนไหวของอุปกรณ์เป็นตัวแบกน้ำหนัก การเข้าชมที่ไม่มีการขยับเคอร์เซอร์เลยถือเป็นเรื่องปกติบนโทรศัพท์ ไม่ใช่เรื่องน่าสงสัย

การไม่มีอยู่ไม่ใช่หลักฐาน

ช่องทางที่อุปกรณ์ไม่เคยมีให้ตั้งแต่แรกจะถูกตัดออกจากคะแนน ไม่ใช่ถูกนับเป็นโทษของผู้เข้าชม เรื่องนี้ฟังดูชัดเจนอยู่แล้ว และมันคือวิธีที่พบบ่อยที่สุดที่การให้คะแนนพฤติกรรมแบบหยาบ ๆ เปลี่ยนลูกค้าจริงให้กลายเป็นผู้ต้องสงสัย โทรศัพท์ไม่มีเมาส์ ผู้ใช้โปรแกรมอ่านหน้าจอไม่มีเส้นทางเคอร์เซอร์ที่ลื่นไหล และทั้งสองข้อนี้ไม่ได้บอกอะไรเลยว่าเป็นบอตหรือไม่

หลักฐาน

สามสิ่งที่ซอฟต์แวร์ทำได้แต่มือมนุษย์ทำไม่ได้

นี่เป็นตัวอย่าง ไม่ใช่ชุดกฎทั้งหมด แต่มันแสดงรูปร่างของหลักฐานที่เราใช้ตัดสินใจ แต่ละข้อเป็นไปไม่ได้ทางกายภาพสำหรับมือคน และแต่ละข้อมีเงื่อนไขกำกับไว้ เพื่อไม่ให้ช่วงเวลาแปลก ๆ เพียงครั้งเดียวกลายเป็นคำตัดสิน

การกดค้างที่เที่ยงเหมือนเครื่องเคาะจังหวะ

เราวัดอะไร

ทุกแป้นถูกกดค้างเป็นจำนวนมิลลิวินาทีที่เกือบเท่ากันเป๊ะตลอดทั้งชุดอินพุต

ทำไมมือคนทำแบบนั้นไม่ได้

นิ้วจะอยู่บนแป้นนานแค่ไหนขึ้นอยู่กับว่าเป็นแป้นไหน อยู่ในมือข้างใด และมือข้างนั้นล้าแค่ไหน เวลากดค้างของมนุษย์จึงกระจายตัว ส่วนการกดแป้นที่ถูกฉีดเข้ามาถูกสร้างจากค่าคงที่ การกระจายตัวจึงยุบลงเหลือเกือบศูนย์

อะไรที่ทำให้มันซื่อตรง

กฎนี้ต้องมีจำนวนการกดแป้นมากพอในกรอบเวลาก่อนจึงจะถูกนับ อินพุตสี่ตัวอักษรไม่ใช่กลุ่มตัวอย่าง และไม่ถูกให้คะแนนแบบนั้น

คลิกที่วาร์ปไปโผล่

เราวัดอะไร

คลิกลงบนตัวควบคุมที่เคอร์เซอร์ไม่เคยเดินทางไปถึง ตัวชี้ปรากฏขึ้นที่พิกัดนั้นแล้วยิงคำสั่งทันที

ทำไมมือคนทำแบบนั้นไม่ได้

คนจะเข้าหาเป้าหมาย เส้นทางจะโค้งเข้า ความเร็วจะลดลงช่วงท้าย และมักมีจังหวะวางเคอร์เซอร์ค้างก่อนกด ส่วนระบบอัตโนมัติแค่กำหนดพิกัดแล้วส่งอีเวนต์ ไม่มีการเข้าหาเพราะไม่มีอะไรเคลื่อนที่จริง

อะไรที่ทำให้มันซื่อตรง

คลิกที่วาร์ปเพียงครั้งเดียวอาจเกิดจากการนำทางด้วยคีย์บอร์ดหรือแทร็กแพดได้ตามปกติ มันจะถูกนับก็ต่อเมื่อเป็นคลิกส่วนใหญ่ในเซสชันที่มีจำนวนคลิกมากพอจะตัดสิน

การพิมพ์ลงในแท็บที่ซ่อนอยู่

เราวัดอะไร

การกดแป้นยังคงส่งเข้ามาเรื่อย ๆ ขณะที่หน้าเว็บอยู่เบื้องหลังและไม่เคยถูกดึงขึ้นมาข้างหน้าเลย

ทำไมมือคนทำแบบนั้นไม่ได้

คนพิมพ์ลงในหน้าที่ตัวเองไม่ได้มองไม่ได้ ซอฟต์แวร์ฟาร์มบัญชีคุมหลายสิบแท็บพร้อมกัน และไม่เสียเวลาโฟกัสทีละแท็บก่อนเริ่มกรอกฟอร์ม

อะไรที่ทำให้มันซื่อตรง

อีเวนต์เดียวที่เกิดพอดีตอนสลับแท็บคือการชิงจังหวะกันของอีเวนต์เบราว์เซอร์ ไม่ใช่หลักฐาน มันจะถูกนับเมื่อมีอินพุตซ้ำ ๆ ขณะที่หน้ายังไม่เคยปรากฏเลย

ความเป็นส่วนตัว

เราวัดจังหวะ เราประกอบข้อความกลับคืนไม่ได้

การเก็บข้อมูลพฤติกรรมทำงานทั่วทั้งหน้า รวมถึงช่องรหัสผ่าน อีเมล และหมายเลขบัตร นั่นเป็นการตัดสินใจโดยเจตนา และสมควรได้รับการอธิบายอย่างครบถ้วน แทนที่จะถูกฝังไว้ในเอกสารนโยบาย

ทำไมช่องข้อมูลอ่อนไหวถึงเป็นช่องที่สำคัญที่สุด

Credential Stuffing การทดสอบบัตร และการยึดบัญชี ล้วนเกิดขึ้นภายในช่องกรอกเหล่านั้นพอดี ตัวตรวจจับที่ปิดตัวเองในจุดนั้นจึงตาบอดตรงที่เดียวที่การโจมตีเกิดขึ้นจริง ก่อนหน้านี้ระบบเป็นแบบนั้น คือปิดการเก็บข้อมูลทั้งหมดในช่องอ่อนไหว วินาทีที่เสี่ยงที่สุดของการเข้าชมจึงไม่ให้ค่าวัดใดเลย

อะไรที่ถูกเก็บไว้

เวลา แป้นถูกกดลงเมื่อไร ค้างอยู่นานแค่ไหน อีกนานเท่าไรถึงแป้นถัดไป การกดสองครั้งซ้อนทับกันหรือไม่ เท่านี้ก็พอจะแยกมือคนออกจากตัวสร้างอัตโนมัติ และนี่คือทั้งหมดที่ตัวตรวจจับเคยขอ

อะไรที่ไม่ถูกเก็บ

ว่ามันเป็นแป้นไหน ภายในช่องข้อมูลอ่อนไหว ตัวตนของทุกการกดแป้นถูกแทนที่ด้วยค่าตัวแทนแบบหยาบตั้งแต่ในเบราว์เซอร์ ก่อนที่อะไรก็ตามจะออกจากหน้าเว็บ เป็นหนึ่งในถังไม่กี่ถัง ไม่ใช่ตัวอักษร และไม่มีทางแมปย้อนกลับได้ สตรีมที่มาถึงเซิร์ฟเวอร์ของเราไม่มีข้อความ ไม่มีเศษข้อความ และไม่มีอะไรที่ประกอบกลับเป็นข้อความได้

ผลที่ตามมาซึ่งเราต้องจัดการ

เพราะตัวตนของแป้นหายไปจริง ๆ ในช่องเหล่านั้น กฎใดก็ตามที่ต้องอาศัยการแยกแป้นออกจากกันจึงต้องตัดการกดแป้นเหล่านั้นออกจากการนับของตัวเอง ไม่เช่นนั้นรหัสผ่านปกติจะดูเหมือนแป้นเดียวถูกกดซ้ำไปมา แล้วเราก็จะติดธงคนที่พิมพ์อย่างถูกต้อง ส่วนกฎที่อิงเวลาไม่ได้รับผลกระทบและยังทำงานบนสตรีมทั้งหมดต่อไป

การปิดการเก็บข้อมูลไม่เคยปกป้องเนื้อหาเลย

ตัวอักษรไม่เคยถูกเก็บในทั้งสองการออกแบบ สิ่งเดียวที่การยกเว้นแบบเหมารวมแบบเดิมตัดทิ้งไปคือหลักฐาน มันทำให้ตัวตรวจจับตาบอดโดยไม่ได้ทำให้ใครเป็นส่วนตัวขึ้น วิธีใช้ค่าตัวแทนรักษาคำมั่นเรื่องข้อความของคุณไว้เหมือนเดิมทุกประการ และคืนค่าวัดให้ตัวตรวจจับกลับมา การตรวจจับที่แข็งแรงขึ้นกับความเป็นส่วนตัวที่ดีขึ้นเกิดจากการตัดสินใจเดียวกัน ซึ่งหาได้ยากพอที่จะพูดออกมาตรง ๆ

กฎถูกปล่อยอย่างไร

กฎใหม่ต้องวิ่งแบบมองไม่เห็นผลก่อน จึงจะได้รับอนุญาตให้แตะคำตัดสิน

การตรวจจับจะแย่ลงทันทีที่มันฉลาดขึ้นโดยไม่มีหลักฐานรองรับ กฎพฤติกรรมทุกข้อถูกเพิ่มเข้ามาในโหมด shadow ก่อน คือถูกประเมินบนทราฟฟิกโปรดักชันจริงและบันทึกผลไว้ แต่ไม่มีส่วนร่วมใด ๆ ในคะแนนที่ใครก็ตามมองเห็น

ปล่อยในโหมด shadow

กฎถูกประเมินบนทราฟฟิกจริงตั้งแต่วันแรก ผลลัพธ์ไปที่การวิเคราะห์เท่านั้น ไม่มีคำตัดสินของลูกค้ารายใดขยับเพราะมีการเพิ่มกฎเข้ามา

วัดผลกับทั้งสองประชากร

เราดูว่ามันทำงานบ่อยแค่ไหนบนเซสชันที่ถูกตัดสินอย่างเป็นอิสระว่าเป็นมนุษย์ และบนเซสชันที่ถูกตัดสินอย่างเป็นอิสระว่าเป็นระบบอัตโนมัติ บนทราฟฟิกจริงที่มากพอจะมีความหมาย

สองเกณฑ์เป็นตัวตัดสิน

มันต้องแยกได้อย่างน้อยสิบต่อหนึ่ง คือทำงานบนระบบอัตโนมัติบ่อยกว่าบนคนอย่างน้อยสิบเท่า และต้องคงอัตราการทำงานต่ำกว่า 0.5% บนเซสชันมนุษย์จริง

เลื่อนขั้น หรือถูกทิ้งไว้ในความมืด

กฎที่ผ่านทั้งสองด่านจะได้น้ำหนักในคะแนน กฎที่ไม่ผ่านจะอยู่ใน shadow ต่อไปหรือถูกถอดออกไปเลย การเลื่อนขั้นเป็นการเปลี่ยนแปลงที่ตั้งใจและผ่านการทบทวน ไม่มีอะไรถูกเปิดใช้งานโดยอัตโนมัติ

นี่คือสิ่งที่ปกป้องคุณจากตัวตรวจจับที่จู่ ๆ ก็ฉลาดขึ้นข้ามคืน แล้วเริ่มไล่ลูกค้าของคุณเองกลับไป อัตราผลบวกลวงของคุณจะไม่ขยับเพียงเพราะใครบางคนคิดอะไรออกในบ่ายวันศุกร์

คุณจะได้รับอะไร

สามฟิลด์ ส่งมาพร้อมอีเวนต์การระบุตัวตน

คำตัดสินด้านพฤติกรรมมาพร้อมกับส่วนที่เหลือของอีเวนต์ ไม่ต้องเรียกรอบสอง ไม่ต้อง polling ไม่มี endpoint แยกให้ต้องเชื่อมต่อ

ฟิลด์ช่วงค่าความหมาย

score0–100ยิ่งสูงยิ่งเป็นมนุษย์ เป็นค่าต่อเนื่องไม่ใช่การจัดกลุ่ม คุณจึงตั้งเกณฑ์ให้เข้ากับระดับความเสี่ยงที่คุณรับได้ ไม่ใช่ของเรา

verdicthuman · uncertain · botคะแนนที่ยุบลงเหลือสามสถานะ “uncertain” เป็นคำตอบจริง ไม่ใช่ความล้มเหลว คือเซสชันนั้นมีอินพุตน้อยเกินกว่าจะตัดสิน และเรารายงานตามนั้นแทนที่จะเดา

confidence0.0–1.0คำตัดสินตั้งอยู่บนอินพุตที่สังเกตได้มากแค่ไหน เซสชันกรอกฟอร์มยาว ๆ ได้คะแนนพร้อมความเชื่อมั่นสูง ส่วนการเข้าแล้วออกภายในสองวินาทีไม่ได้ และคุณเห็นค่านี้ก่อนจะลงมือ

ตัวอย่างบางส่วนของอีเวนต์

{
  "visitorId": "X7fh2Hg9LkMn3pQr",
  "behavior": {
    "score": 87.4,
    "verdict": "human",
    "confidence": 0.82
  }
}

ใช้ได้ตั้งแต่แผน Businessขึ้นไป ส่งผ่าน Webhook และเรียกดูได้ผ่าน Data API

บล็อกพฤติกรรมเป็นสัญญาณ ไม่ใช่การกระทำ มันไม่บล็อกอะไรด้วยตัวเอง คุณนำมันไปรวมกับส่วนที่เหลือของอีเวนต์และกับนโยบายของคุณเอง ซึ่งเป็นที่ที่การตัดสินใจควรอยู่

ข้อจำกัด

สิ่งที่พฤติกรรมบอกคุณไม่ได้

พฤติกรรมตอบได้ดีอยู่คำถามเดียว คือมนุษย์หรือโปรแกรม มันไม่ตอบว่า “มนุษย์คนไหน” และเราก็ไม่ได้ขายมันราวกับว่ามันตอบได้

นี่ไม่ใช่สัญญาณระบุตัวบุคคล

เราไม่อ้างว่าจดจำผู้ที่กลับมาได้จากวิธีพิมพ์หรือวิธีขยับเมาส์ เราวัดมันบนทราฟฟิกจริงแล้ว การจับคู่คนคนหนึ่งข้ามสองเบราว์เซอร์ที่เขาใช้ทั้งคู่ให้ผลไม่ดีไปกว่าการเดาสุ่ม ผู้ให้บริการรายใดที่ขาย “ไบโอเมตริกเชิงพฤติกรรมที่ระบุตัวผู้ใช้ได้” ควรถูกขอให้เผยแพร่ตัวเลขเดียวกันนี้ด้วย

มันไม่ได้มาแทนการระบุตัวตน

คำถามว่าอุปกรณ์นี้คือใครมาจากชั้นอุปกรณ์และเบราว์เซอร์ ส่วนพฤติกรรมบอกคุณว่าผู้กระทำแบบไหนกำลังขับเคลื่อนอุปกรณ์นั้น ทั้งสองตอบคนละคำถามและไม่มีอันไหนแทนกันได้

มันต้องมีอินพุตจึงจะทำงานได้

ผู้เข้าชมที่เข้ามาแล้วออกไปภายในสองวินาทีแทบไม่ทิ้งอะไรไว้ให้ให้คะแนน ผลลัพธ์ที่ซื่อตรงตรงนั้นคือ “uncertain” พร้อมความเชื่อมั่นต่ำ ไม่ใช่การเดาที่ถูกแต่งตัวให้เป็นคำตัดสิน

FAQ

คำถามที่พบบ่อย

ดูคำตัดสินด้านพฤติกรรมบนทราฟฟิกของคุณเอง

ติดตั้ง agent ดูคะแนนมาถึงพร้อมทุกอีเวนต์การระบุตัวตน แล้วตัดสินใจเองว่ามันมีค่าแค่ไหน

เริ่มทดลองใช้ฟรี