Как это работает

Когда посетитель открывает страницу вашего сайта, наш модуль собирает признаки визита — адрес, заголовки запроса, путь, частоту обращений — и спрашивает у нас, что с ним делать.

Мы отвечаем одним из четырёх решений:

• Пропустить. Обычный посетитель, ничего делать не нужно.
• Проверить. Случай спорный. Браузер решит небольшую задачу и пойдёт дальше — человек этого почти не заметит.
• Заблокировать. Мы уверены, что перед нами бот.
• Наблюдение. Решение посчитано, но не применяется: сайт ещё учится.

Балл

Каждый признак добавляет к баллу от 0 до 100. Порог проверки и порог блокировки вы задаёте сами в настройках сайта.

Важное свойство: ни один признак не дотягивает до блокировки в одиночку. Самый тяжёлый весит 45, а безопасный минимум порога — 50. Значит, чтобы кого-то заблокировать, нужны минимум два независимых довода. Одна ошибка в одном признаке не превращается в заблокированного человека.

Какие признаки мы смотрим

• Сеть. По открытому справочнику определяем страну, оператора и хостинг это или нет. Сам по себе адрес из дата-центра весит мало — через те же облака ходят люди по VPN, — но «iPhone» из облака Tencent с безупречными заголовками ловится только так.
• Заголовки. Библиотеки вместо браузера (python, curl, Go, Selenium), объявленные сканеры (Censys, Shodan, Nmap, sqlmap), строка браузера без платформы, отсутствие заголовков, которые настоящий браузер шлёт всегда.
• Поведение. Частота запросов, запросы к чужим секретам (/.env, ключи SSH, дампы базы, /owa/), память о сканерах: второй такой запрос с адреса за несколько часов — уже вторая улика, и это общая память для всех сайтов BotBan. Робот, который за час назвался тремя разными именами, доверия лишается.
• Браузер. При JS-подключении — признаки безголового браузера, движения мыши и касания, размеры экрана.

Объяснение каждого признака — по клику на причину в журнале или на дашборде.

Что мы не блокируем никогда

• Подтверждённых поисковых роботов. Мы проверяем их обратным DNS — подделать User-Agent недостаточно.
• Адреса из операторского NAT: за одним таким адресом сидят тысячи абонентов мобильной связи. Максимум, что им грозит, — проверка. А если проверка выдана только за частоту запросов с адреса, её увидит лишь тот, кто открывает страницу: корзина и формы у покупателей за общим адресом работают.
• Всё, что вы добавили в белый список.

Подробнее — в статье Кого мы не трогаем никогда. Техническое описание логики для специалистов — в статье Логика фильтрации: как BotBan принимает решение.