Phát hiện bot

Bộ phát hiện bot của TRACIO nhận diện trình duyệt tự động, công cụ headless và các cuộc tấn công bằng kịch bản nhờ kiến trúc hai lớp: thu thập phía máy khách trong trình duyệt và phân tích phía máy chủ. Nó bao phủ các framework tự động hóa phổ biến, trình duyệt headless, tác tử duyệt web AI và trình duyệt anti-detect với tỷ lệ dương tính giả gần bằng không, đồng thời tự động đưa các trình thu thập dữ liệu hợp lệ của công cụ tìm kiếm vào danh sách trắng.

TRACIO phát hiện những gì

• Framework tự động hóa — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS và các công cụ tương tự.
• Trình duyệt headless — Chrome headless và các runtime liên quan.
• Tác tử duyệt web AI — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern và các runtime tác tử tương tự.
• Trình duyệt anti-detect — các bản dựng trình duyệt có mục đích giả mạo hoặc xoay vòng dấu vân tay.
• Trình thu thập dữ liệu đã xác minh — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo và những trình khác, được xác minh để user-agent giả mạo không thể lọt qua.

Phán quyết được tạo ra như thế nào

Trình duyệt chạy một tập hợp kiểm tra rộng và báo cáo kết quả của chúng. Trên máy chủ, các kết quả này được gán trọng số để tạo thành điểm bot, và điểm số được ánh xạ sang một phán quyết. Một số ít chỉ dấu rõ ràng tự thân đã mang tính quyết định và buộc phán quyết thành bot bất kể phần còn lại.

Những kiểm tra nào được chạy, chúng được gán trọng số ra sao và ngưỡng nằm ở đâu đều không được công bố — trên bất kỳ gói nào. Ghi lại chúng trong tài liệu đồng nghĩa với việc chỉ cho người vận hành bot biết chính xác cần thay đổi điều gì để vượt qua lớp bảo vệ. Thay vào đó, bạn nhận được phán quyết, nhãn loại bot và — từ gói Business trở lên — mã lý do cho biết lớp quan sát đứng sau quyết định đó.

Định dạng kết quả

Mỗi lần nhận diện đều mang theo một phán quyết về bot. Nó đến với bạn dưới dạng bot.result trong payload webhook và dưới dạng result.bot trong SDK máy khách.

Các giá trị phán quyết

Giá trị này ánh xạ sang trường nghiệp vụ decision.action (real, fake hoặc suspicious) được dùng xuyên suốt dashboard và payload webhook.

bot.score đi kèm phán quyết. Ở payload webhook phiên bản 2, đó là số thập phân 0..100 — đúng con số mà dashboard hiển thị cho lượt truy cập đó. (Ở lược đồ phiên bản 1 đã đóng băng, đó là phân số 0..1; xem Webhooks.)

Các loại bot

bot.type xuất hiện khi kết quả là bot. Nó là tên của một bot hoặc runtime đã được nhận diện, hoặc là một họ khi việc gọi tên kiểm tra cụ thể sẽ để lộ cấu trúc bên trong của bộ phát hiện:

Danh sách này cố ý đóng: một kiểm tra được thêm vào bộ phát hiện ngày mai sẽ hiện ra dưới dạng other thay vì làm lộ tên nội bộ của nó. Hãy xem bot.type như một nhãn để rẽ nhánh, chứ không phải một enum đầy đủ để kiểm tra tính hợp lệ — các runtime được nêu tên vẫn được bổ sung theo thời gian.

Mã lý do (từ Business trở lên)

Trên gói Business và Enterprise, payload webhook mang theo mảng reasons — tối đa tám mục, sắp xếp theo mức độ quan trọng. Mỗi mã cho biết lớp quan sát, không bao giờ cho biết kiểm tra đứng sau nó:

severity nhận giá trị high, medium hoặc low, và đó là tỷ trọng mà lớp này đóng góp vào phán quyết trong lượt truy cập này — không phải một thuộc tính cố định của mã. Cùng một mã có thể đến với mức high ở lượt truy cập này và low ở lượt khác, vì vậy đừng lưu nó như một hằng số.

privacy_hardening cần đặc biệt thận trọng: nó kích hoạt với những khách truy cập bình thường quan tâm đến quyền riêng tư nhiều không kém gì với hành vi né tránh. Hãy cân nhắc nó cùng với phần còn lại thay vì hành động chỉ dựa vào nó.

virtual_environment đến từ việc phát hiện trình giả lập. Trên web không có phán quyết riêng cho "đang chạy dưới một hypervisor": những dấu hiệu mà trình duyệt nhìn thấy được — một trình kết xuất phần mềm chung chung, số nhân thấp bất thường — xuất hiện thường xuyên không kém trên các máy thông thường không có driver GPU và trong các phiên desktop từ xa, nên chúng tôi không biến chúng thành một phán quyết mà bạn sẽ phải hoài nghi.

Khả dụng theo gói

Việc chấm điểm anti-detect vẫn đang được hiệu chỉnh. bot.antidetectScore được báo cáo để bạn có thể quan sát và tinh chỉnh chính sách của riêng mình — hãy xem nó như một đầu vào cho quyết định rủi ro, chứ không phải lý do độc lập để chặn.

Các kiểm tra chỉ dành cho di động không hiệu quả trên web. Việc phát hiện root, jailbreak, ứng dụng nhân bản/kép và Frida phụ thuộc vào tín hiệu native trên di động mà trình duyệt không thể thu thập. TRACIO chỉ cung cấp SDK cho trình duyệt, vì vậy hãy dựa vào các phán quyết về tự động hóa, headless, tác tử AI, anti-detect, trình giả lập và hành vi — những phán quyết hoạt động đầy đủ trên web.

Trình thu thập dữ liệu đã xác minh

Các bot tốt đã biết được nhận diện qua user-agent của chúng, sau đó được xác minh dựa trên IP đang kết nối — một truy vấn DNS ngược trên IP đó, một bước kiểm tra rằng tên máy chủ thu được thuộc về tên miền của nhà vận hành, và một truy vấn xuôi xác nhận nó phân giải trở lại đúng IP ban đầu. Đây chính là quy trình xác minh do chính các nhà vận hành trình thu thập dữ liệu công bố.

Trình thu thập dữ liệu đã xác minh cho ra human. Một yêu cầu tự nhận là Googlebot trong khi IP của nó rõ ràng thuộc về bên khác sẽ bị phân loại là bot — còn việc truy vấn chỉ đơn thuần không có kết quả hoặc hết thời gian chờ thì không được coi là bằng chứng giả mạo.

Phân tích hành vi

Động lực học tương tác — chuyển động con trỏ, nhịp gõ phím, cuộn trang — tham gia vào phán quyết như bằng chứng về việc có con người hiện diện hay không, chứ không phải đó là người nào. Từ gói Business trở lên, kết quả tổng hợp được gửi trong khối behavior của webhook:

{
  "behavior": {
    "score": 87,
    "verdict": "human",
    "confidence": 0.92
  }
}

score chạy trong khoảng 0..100 (càng cao càng giống người), verdict nhận giá trị human, uncertain hoặc bot, còn confidence (0..1) cho biết phán quyết dựa trên bao nhiêu bằng chứng — một lượt truy cập ngắn chỉ với hai chuyển động con trỏ sẽ có điểm thấp ở đây ngay cả khi phán quyết trông có vẻ dứt khoát.

Khối này chỉ xuất hiện khi việc chấm điểm hành vi thực sự đã chạy cho lượt truy cập đó. Việc thiếu khối có nghĩa là "không có dữ liệu", không bao giờ có nghĩa là "không có gì đáng ngờ" — đừng đọc sự vắng mặt của nó như một tín hiệu sạch.

Ví dụ tích hợp

Chặn bot ở bước đăng nhập (máy khách)

SDK máy khách cung cấp một giá trị boolean tiện dụng result.bot.detected, cùng với confidence trên thang 0..100:

const result = await tracio.getResult()

if (result.bot.detected) {
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

await login(credentials)

Kiểm tra bot phía máy chủ

Trên máy chủ của bạn, hãy hành động dựa trên lần gửi webhook. Phán quyết về bot nằm trong đối tượng bot — bot.result và bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot?.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Giá trị bằng không và rỗng bị lược khỏi payload, vì vậy hãy đọc bot.type một cách phòng thủ thay vì bắt buộc phải có nó trong lược đồ của bạn.

Xử lý dương tính giả

Bộ phát hiện bot của TRACIO được thiết kế để có tỷ lệ dương tính giả gần bằng không, nhưng vẫn tồn tại các trường hợp biên:

Nếu bạn gặp dương tính giả, hãy xem bot.type (và reasons từ gói Business trở lên) để hiểu lớp quan sát nào đã kích hoạt, rồi điều chỉnh chính sách của bạn. Xem Khắc phục sự cố để biết các nguyên nhân phổ biến.