«Проверяем ваш браузер»: что это за страница и почему человек её почти не видит

Иногда вместо сайта на мгновение появляется страница с надписью «Проверяем ваш браузер», и через полсекунды открывается то, что вы искали. Никаких картинок, никаких галочек. Многие даже не успевают прочитать текст. Что произошло за это время?

Кому показывают проверку

Не всем. Обычный посетитель с обычного браузера проходит на сайт напрямую: защита проверила признаки запроса, ничего подозрительного не нашла и отдала страницу. Проверку получает тот, у кого признаки спорные: адрес из датацентра, неполный набор заголовков, заявленный браузер не совпадает с тем, что видно по запросу, слишком быстрый темп. Один признак не блокирует и даже не проверяет — нужно несколько.

Отдельный случай — режим «Под атакой». Когда на сайт идёт наплыв из какой-то страны, проверку на время получают все посетители оттуда. Люди теряют полсекунды, скрипты отваливаются.

Что происходит за полсекунды

Страница проверки отдаёт браузеру небольшую задачу: найти число, при котором хеш от набора данных начинается с нужного количества нулей. Это называется доказательством работы. Задача привязана к сайту, адресу и времени — её нельзя решить заранее и нельзя передать другому.

Браузер перебирает варианты — для современного телефона это доли секунды — и отправляет ответ. Сервер проверяет его за микросекунды, выдаёт метку, и дальше посетитель ходит по сайту без повторных проверок.

Для одного человека это незаметно. Для бота, который хочет обойти сто тысяч страниц, — сто тысяч таких задач, то есть реальные затраты на процессор. Экономика массового обхода ломается, а человеку не нужно ничего делать руками.

Почему это не капча

Капча просит человека доказать, что он человек: выбрать картинки, переписать буквы. Каждая такая просьба стоит части посетителей, особенно на телефонах, и давно обходится фермами, где капчи разгадывают живые люди за доли цента.

Проверка браузера ничего не просит у человека. Она проверяет свойства клиента и заставляет его потратить вычисления. Фермам тут делать нечего: разгадывать некого. А если скрипты в браузере выключены или не исполняются, на странице есть кнопка «Я человек» — запасной путь, с ограничением на число нажатий с одного адреса, чтобы кнопкой не пользовались боты.

Что видит владелец сайта

В журнале защиты каждая проверка — отдельная запись: кто получил, почему, прошёл или нет. Доля прошедших — полезная цифра. Если проверку получают сотни запросов и проходят единицы, это были программы. Если проходят почти все — возможно, настройки слишком строгие, и стоит посмотреть, кого именно проверяли.

Для подозрительных визитов, которые всё же оказались людьми, у владельца есть кнопка «это был не бот»: адрес уходит в белый список, а ошибка записывается — по накопленным ошибкам видно, где движок перегибает.

Если вы попали на проверку как обычный посетитель

Скорее всего, сработало что-то из этого: VPN или корпоративный прокси с адресом из датацентра, расширение браузера, которое меняет заголовки, очень старый браузер или режим приватности, который блокирует скрипты. Подождите полсекунды — проверка пройдёт сама. Если страница не пропускает, нажмите «Я человек». Если и это не помогло, напишите владельцу сайта: в его журнале видно, какие признаки сработали, и он может добавить ваш адрес в исключения.

Границы метода

Проверка браузера не отличает хорошего человека от плохого — она отличает браузер от программы. Бот с настоящим браузером под управлением автоматики задачу решит, потратив ресурсы; дальше его ловят по другим признакам: следы автоматизации, поведение, частота. Это нормально: защита складывается из слоёв, и проверка браузера — один из них, самый незаметный для людей.