Як сайти виявляють ботів і автоматизовані браузери

Боти заповнюють форми реєстрації, зловживають промокодами, збирають ціни й перебирають викрадені паролі. Більшість із них працює на справжніх браузерних рушіях під керуванням скриптів, тому проста перевірка User-Agent їх уже не ловить. Ось як працює сучасне виявлення, шар за шаром.

Перевірте свій браузер просто зараз

Перевіряю браузер…

Шар 1: прапорці автоматизації

Браузери під керуванням програм, наприклад через Selenium, Puppeteer чи Playwright зі стандартними налаштуваннями, зазвичай повідомляють navigator.webdriver = true; цього вимагає стандарт WebDriver. Старий headless Chrome ще й називав себе HeadlessChrome у User-Agent. Це найдешевші перевірки, вони ловлять недбалих ботів, але будь-який серйозний бот їх ховає.

Шар 2: сліди середовища

Headless і віртуалізовані браузери дрібницями відрізняються від настільного: програмний рендерер графіки на кшталт SwiftShader чи llvmpipe замість справжньої відеокарти, вікно з нульовим зовнішнім розміром, відсутні обʼєкти, які завжди є в справжньому Chrome, немає голосів синтезу мовлення чи медіапристроїв, незвичні розміри екрана. Кожен слід має невинні пояснення, тож хороші системи зважують їх, а не блокують за одним.

Шар 3: узгодженість і підміна

Боти, що намагаються виглядати як люди, змінюють значення: поширений User-Agent, популярний розмір екрана, правдоподібна назва відеокарти. Змінити все узгоджено скрізь складно, тому виявлення порівнює той самий факт із різних джерел:

User-Agent у HTTP-заголовку і navigator.userAgent у JavaScript.
Заголовки Client Hints і navigator.userAgentData.
Основну сторінку і Web Worker чи iframe, які часто зберігають початкові значення.
Операційну систему з User-Agent і відеокарту та шрифти, які реально доступні.
Чи залишилися вбудовані функції рідним кодом браузера, чи їх підмінив скрипт.

Суперечність між двома джерелами - набагато сильніший доказ, ніж будь-яке одне дивне значення.

Шар 4: мережа

IP-адреса каже багато: належить вона домашньому чи мобільному провайдеру, чи дата-центру; чи це відомий VPN, проксі або вихід Tor; чи є вона в спам-списках; чи пасує часовий пояс браузера до країни IP. Просунуті системи також знімають відбиток TLS-рукостискання (JA3, JA4) і налаштувань HTTP/2, які видають справжню клієнтську бібліотеку за підробленим User-Agent.

Шар 5: поведінка

Нарешті, системи стежать за тим, як діє відвідувач: рух миші, ритм набору, прокрутка, швидкість заповнення форм, скільки акаунтів створюється з одного пристрою. Поведінка ловить ботів, які проходять усі технічні перевірки, але їй потрібні час і дані, тож вона найкраще працює разом із попередніми шарами.

Що це означає для власника сайту

Жоден окремий сигнал не надійний, а блокування за одним дає хибні спрацювання для живих людей із VPN, браузерами приватності чи незвичним залізом. Практичний підхід зважує кілька сигналів, додає перешкоди (підтвердження пошти, капчу, ручну перевірку) лише за високої оцінки й захищає важливі дії: реєстрацію, вхід, оплату й промокоди.

SpoofLens готує API і плагін для WordPress / WooCommerce, які повертатимуть таку оцінку разом із причинами. Перевірка на цій сторінці показує, що вже сьогодні знаходить браузерна частина.

Часті запитання

Чи достатньо капчі?: Самої по собі ні. Сервіси розвʼязування капч і сучасний ШІ дешево проходять багато капч. Капча найкраще працює як додаткова перешкода для відвідувачів, які вже виглядають підозріло, а не як єдиний барʼєр.
Чи блокуватиме захист від ботів моїх живих користувачів?: Може, якщо блокувати за окремими сигналами на кшталт VPN чи браузера приватності. Зважування кількох сигналів і запит додаткового підтвердження замість блокування тримають хибні спрацювання на низькому рівні.
SpoofLens блокує ботів на моєму сайті?: Поки ні. Сьогодні перевірка показує сигнали одного браузера. API для сайтів і плагіни готуються, записатися в лист очікування можна на головній.