AION Surf Zaloguj przez Aion ID
Menu

Systemy antybotowe

Detekcja wielosygnałowa i Web Bot Auth: co to jest i jak działa

Detekcja wielosygnałowa łączy IP, TLS, HTTP, JS, behawior i wyzwania w jeden score.

Andrzej Niemiec

Definicja

Web Bot Auth (IETF draft + RFC 9421 HTTP Message Signatures) dodaje pozytywną ścieżkę: automat podpisuje requesty, serwer weryfikuje klucz z katalogu — zamiast zgadywać „czy bot”.

Jak działa

Negatywna ścieżka: risk engine. Pozytywna: Signature / Signature-Input z tag=web-bot-auth, keyid=thumbprint JWK, Signature-Agent → JWKS directory. Cloudflare i inni wdrażają weryfikację verified bots/agents. Nie zastępuje CAPTCHA dla anonimowego ruchu — uzupełnia model zaufania.

Przykład

Oficjalny crawler podpisuje GET zgodnie z draftem; edge Cloudflare weryfikuje podpis i traktuje jako verified bot, podczas gdy ten sam UA bez podpisu idzie przez bot score.

W Aion Surf

Surf stawia Web Bot Auth jako kierunek „uczciwej” tożsamości automatów obok klasycznej detekcji. Encyklopedia cytuje RFC 9421 i draft — bez obiecywania pełnej implementacji w produkcie bez osobnej decyzji.

Jak robi to Falcon

Powiązane hasła

  • Warstwy detekcji ruchu: Warstwy detekcji to model obrony „w głąb”: IP/ASN i reputacja, TLS (JA3/JA4), HTTP/2–3 i kolejność nagłówków, JS fingerprint, zachowanie (mysz, timing), wyzwania (CAPTCHA, PoW) oraz sygnały po stronie aplikacji.
  • Cloudflare Bot Management: Cloudflare Bot Management ocenia ruch na edge: bot score, JA3/JA4, ML, verified bots, WAF, Turnstile, Worker’y.
  • JA3 / JA4 — fingerprint TLS: JA3 (Salesforce) i JA4 (FoxIO) to skróty parametrów ClientHello TLS: wersja, cipher suites, rozszerzenia, krzywe, formaty punktów (i w JA4 także ALPN, SNI presence, kolejność).
  • Atestacja urządzenia mobilnego: Atestacja mobilna (Play Integrity API / SafetyNet legacy, Apple App Attest / DeviceCheck) kryptograficznie potwierdza, że request pochodzi z legitnej aplikacji na niezmodyfikowanym urządzeniu.

Źródła