Bot Detection

Hệ thống phát hiện bot của TRACIO nhận diện các trình duyệt tự động, công cụ headless và các cuộc tấn công bằng script thông qua kiến trúc hai lớp: thu thập tín hiệu phía client và phân tích phía server. Nó phát hiện các framework tự động hóa phổ biến, các trình duyệt headless, tác tử duyệt web AI và trình duyệt antidetect với tỷ lệ dương tính giả gần bằng không, đồng thời tự động đưa các trình thu thập dữ liệu (crawler) hợp lệ của công cụ tìm kiếm vào danh sách trắng.

Những gì TRACIO phát hiện

• Framework tự động hóa — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS và nhiều framework khác, thông qua các dấu vết trên window/document và hành vi của stack-trace.
• Trình duyệt headless — Chrome headless và các runtime liên quan (dấu vết CDP, kết xuất bằng GPU phần mềm, thiếu các đối tượng trình duyệt).
• Tác tử duyệt web AI — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern và các runtime tác tử tương tự.
• Trình duyệt antidetect — Multilogin, GoLogin, Dolphin và các trình duyệt giả mạo fingerprint khác, thông qua các phép dò CSS/thuộc tính/tính toàn vẹn.
• Trình thu thập dữ liệu đã xác minh — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo và các bot khác, được xác minh qua reverse DNS để các user-agent giả mạo không thể vượt qua.

Kiến trúc phát hiện

Thu thập phía client

Tác tử trình duyệt thu thập một loạt tín hiệu đặc thù cho bot và tín hiệu kiểm chứng chéo (cross-validation) để đưa vào các quyết định phía server. Các mã tín hiệu (Signal ID) dưới đây chỉ mang tính minh họa — các ID nội bộ không phải là một hợp đồng công khai ổn định:

Phân tích phía server

Server chạy một tập hợp các bộ phát hiện (detector) có các đầu ra được đánh trọng số kết hợp thành một điểm bot (bot score). Điểm này được ánh xạ thành một phán quyết (verdict) qua các ngưỡng — bot khi ≥ 0,70, suspicious khi ≥ 0,30, còn lại là human — và một tín hiệu thất bại tuyệt đối (hard-fail), chẳng hạn navigator.webdriver, buộc ra ngay một phán quyết bot. Các phán quyết bot mang theo một nhãn bot_type ở dạng tự do.

Các bộ phát hiện tiêu biểu và tác động của chúng:

Gói dịch vụ & khả dụng. Phát hiện DevTools chạy trên Business và Enterprise; phát hiện VM là Enterprise; phát hiện emulator chạy trên mọi gói. Tất cả những thứ này đều hoạt động trong tác tử web. Phát hiện root, jailbreak, ứng dụng nhân bản/kép, Frida và khôi phục cài đặt gốc phụ thuộc vào các tín hiệu native trên di động và không hiệu quả trong triển khai chỉ-web (đang phát triển). Hãy dựa vào các phán quyết về tự động hóa, headless, tác tử AI, antidetect, VM/emulator và hành vi, vốn hoàn toàn hoạt động trên web.

Định dạng kết quả

Phát hiện bot ghi một trường bot_result trên mọi sự kiện (và bot.result trong payload của webhook).

Các giá trị kết quả

bot_result là một trong ba giá trị chuẩn tắc:

Giá trị này được ánh xạ tới trường decision nghiệp vụ (real, fake hoặc suspicious) được dùng xuyên suốt bảng điều khiển, và tới bot.result trong payload của webhook.

Các loại bot (khi kết quả là "bot")

bot_type là một chuỗi ở dạng tự do. Các giá trị dưới đây là ví dụ minh họa về những gì các bộ phát hiện xuất ra, không phải là một enum đầy đủ:

Giải thích các phương pháp phát hiện

1. Cờ Webdriver

Cách phát hiện trực tiếp nhất. Mọi framework tự động hóa lớn đều đặt navigator.webdriver = true theo đặc tả WebDriver. Điều này được kiểm tra ở cả frame chính (s300) và một iframe ẩn (s158) để bắt các công cụ chỉ vá frame chính.

2. Quét framework tự động hóa

Quét toàn diện các thuộc tính của window và document để tìm các dấu vết đặc thù của framework:

Bản quét cũng dùng mẫu regex /^([a-z]){3}_.*_(Array|Promise|Symbol)$/ để phát hiện các biến global trợ giúp do Selenium tiêm vào.

3. Phát hiện trình duyệt headless

11 dấu hiệu được đánh giá, với ngưỡng phân loại là từ 2 dấu hiệu trở lên:

4. Xác minh bot tốt

Các bot tốt đã biết được nhận diện qua mẫu User-Agent. Mỗi bot được xác minh qua reverse DNS để chống giả mạo:

1. Tra cứu reverse DNS trên IP kết nối để lấy hostname
2. Kiểm tra hậu tố của hostname so với các domain được cho phép (ví dụ .googlebot.com)
3. Tra cứu forward DNS trên hostname để xác nhận IP khớp

Nếu một yêu cầu tự nhận là Googlebot nhưng reverse DNS của IP lại phân giải ra một domain lạ (một sự không khớp PTR đã xác nhận, chứ không chỉ là tra cứu bị thiếu/hết thời gian chờ), thì nó bị phân loại là bot (loại spoofed:google).

5. Phân tích hành vi

Phát hiện dựa trên tần suất kèm chấm điểm entropy:

Quy tắc bổ sung: Không có sự kiện chuột/bàn phím sau 30+ giây tuổi phiên sẽ phân loại lượt truy cập là bot với loại noInteraction.

6. Phân tích độ dài eval

eval.toString().length cho ra các giá trị nhất quán tùy theo engine:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

Bất kỳ giá trị nào khác đều cho thấy hàm eval đã bị một framework tự động hóa móc (hook) vào, phân loại lượt truy cập là bot với loại unknown.

Ví dụ tích hợp

Chặn bot khi đăng nhập (client)

SDK phía client cung cấp một boolean tiện lợi, result.bot.detected:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

Kiểm tra bot phía server

Trên server của bạn, hãy hành động dựa trên gói tin webhook. Thông tin phát hiện bot nằm trong đối tượng bot — bot.result và bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

Xử lý dương tính giả

Phát hiện bot của TRACIO được thiết kế để có tỷ lệ dương tính giả gần bằng không. Tuy nhiên, các trường hợp biên vẫn có thể xảy ra:

Nếu bạn gặp phải dương tính giả, hãy xem trường bot.type để hiểu bộ phát hiện nào đã được kích hoạt và điều chỉnh chính sách của bạn cho phù hợp.