Виявлення ботів

Виявлення ботів у TRACIO ідентифікує автоматизовані браузери, headless-інструменти та скриптові атаки за допомогою дворівневої архітектури: клієнтський збір у браузерному агенті та серверний аналіз. Воно охоплює поширені фреймворки автоматизації, headless-браузери, AI-агентів для вебсерфінгу та антидетект-браузери з майже нульовою кількістю хибних спрацювань, автоматично додаючи легітимні пошукові кроулери до allowlist.

Що виявляє TRACIO

• Фреймворки автоматизації — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS та подібні інструменти.
• Headless-браузери — headless Chrome і споріднені середовища виконання.
• AI-агенти для вебсерфінгу — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern та аналогічні середовища виконання агентів.
• Антидетект-браузери — збірки браузерів, призначення яких — підробляти або ротувати відбиток.
• Верифіковані кроулери — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo та інші; верифікація влаштована так, що підроблений user-agent не проходить.

Як формується вердикт

Браузерний агент виконує широкий набір перевірок і повідомляє їхні результати. На сервері результати зважуються в оцінку бота, а оцінка зіставляється з вердиктом. Невелика кількість однозначних індикаторів є вирішальними самі собою й форсують вердикт bot незалежно від решти.

Які перевірки виконуються, як вони зважуються і де проходять пороги — не публікується на жодному тарифі. Описавши це, ми б прямо повідомили операторам ботів, що саме змінити, щоб пройти захист. Натомість ви отримуєте вердикт, мітку типу бота і — на Business та вище — коди причин, які називають клас спостереження, що стоїть за рішенням.

Формат результату

Кожна ідентифікація несе вердикт щодо бота. До вас він доходить як bot.result у payload вебхука і як result.bot у клієнтському SDK.

Значення вердикту

Це зіставляється з бізнес-полем decision.action (real, fake або suspicious), яке використовується в усьому дашборді та в payload вебхука.

Вердикт супроводжується полем bot.score. У версії 2 payload вебхука це десяткове число у шкалі 0..100 — те саме, що дашборд показує для цього візиту. (У замороженій схемі версії 1 це частка у шкалі 0..1; див. Вебхуки.)

Типи ботів

bot.type присутній, коли результат — bot. Це або ім’я розпізнаного бота чи середовища виконання, або родина, коли називання конкретної перевірки розкрило б внутрішній устрій детектора:

Список закритий навмисно: перевірка, додана до детектора завтра, проявиться як other, а не витече своїм внутрішнім іменем. Ставтеся до bot.type як до мітки, за якою ви розгалужуєтеся, а не як до вичерпного enum для валідації — нові іменовані середовища виконання додаються з часом.

Коди причин (Business і вище)

На тарифах Business та Enterprise payload вебхука несе масив reasons — щонайбільше вісім записів, відсортованих за важливістю. Код називає клас спостереження, але ніколи — перевірку, що стоїть за ним:

severity набуває значень high, medium або low й означає частку вердикту, що припадає на цей клас у цьому візиті, а не фіксовану властивість коду. Той самий код може прийти як high в одному візиті й як low в іншому — не кешуйте його як константу.

privacy_hardening потребує особливої обережності: він спрацьовує і на звичайних відвідувачах, які дбають про приватність, не лише на спробах ухилення. Зважуйте його разом з рештою, а не дійте за ним самим.

virtual_environment походить із виявлення емуляторів. Окремого вердикту «працює під гіпервізором» у вебі немає: підказки, які бачить браузер, — універсальний програмний рендерер, незвично мала кількість ядер — так само часто трапляються на звичайних машинах без драйвера GPU і всередині сесій віддаленого робочого стола, тож ми не перетворюємо їх на вердикт, у якому вам довелося б сумніватися.

Доступність за тарифами

Оцінка антидетекту ще калібрується. bot.antidetectScore повідомляється, щоб ви могли спостерігати за ним і налаштовувати власну політику — сприймайте його як вхід до вашого рішення про ризик, а не як самостійну підставу для блокування.

Перевірки лише для мобільних не працюють у вебі. Виявлення root, jailbreak, клонованих/здвоєних застосунків і Frida спирається на нативні мобільні сигнали, які браузер зібрати не може. TRACIO постачає лише браузерні SDK, тож покладайтеся на вердикти щодо автоматизації, headless, AI-агентів, антидетекту, емуляторів і поведінки — вони повністю активні у вебі.

Верифіковані кроулери

Відомі «хороші» боти розпізнаються за їхнім user-agent, а потім верифікуються за IP-адресою підключення: зворотний DNS-запит за IP, перевірка, що отримане ім’я хоста належить домену оператора, і прямий запит, який підтверджує, що воно розв’язується назад у той самий IP. Це та сама процедура верифікації, яку публікують самі оператори кроулерів.

Верифікований кроулер розв’язується в human. Запит, який заявляє, що він Googlebot, тоді як його IP доказово належить комусь іншому, класифікується як бот — а просто відсутній або перерваний за таймаутом запит доказом підробки не вважається.

Поведінковий аналіз

Динаміка взаємодії — рух вказівника, ритм клавіатури, прокручування — живить вердикт як свідчення того, чи присутня людина, а не того, яка саме це людина. На Business і вище агрегат доставляється у блоці behavior вебхука:

{
  "behavior": {
    "score": 87,
    "verdict": "human",
    "confidence": 0.92
  }
}

score іде у шкалі 0..100 (вище — «людяніше»), verdict набуває значень human, uncertain або bot, а confidence (0..1) каже, на якому обсязі свідчень тримається вердикт: короткий візит із двома рухами вказівника отримує тут низьке значення, навіть якщо сам вердикт виглядає рішучим.

Блок присутній лише тоді, коли поведінкова оцінка справді виконувалася для цього візиту. Відсутність блоку означає «немає даних», але ніколи — «нічого підозрілого»; не читайте його відсутність як чистий сигнал.

Приклади інтеграції

Блокування ботів на логіні (клієнт)

Клієнтський SDK надає зручний булевий прапорець result.bot.detected і поле confidence у шкалі 0..100:

const result = await tracio.getResult()

if (result.bot.detected) {
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

await login(credentials)

Серверна перевірка ботів

На своєму сервері дійте за доставкою вебхука. Вердикт щодо бота міститься в об’єкті bot — bot.result і bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot?.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Нульові та порожні значення в payload опускаються, тож читайте bot.type захисно, а не робіть його обов’язковим у своїх схемах.

Обробка хибних спрацювань

Виявлення ботів TRACIO спроєктоване для майже нульової кількості хибних спрацювань, але граничні випадки можливі:

Якщо ви стикаєтеся з хибними спрацюваннями, вивчіть bot.type (і reasons на Business та вище), щоб зрозуміти, який клас спостереження спрацював, і скоригуйте свою політику. Поширені причини — у розділі Усунення несправностей.