Подключение JS-скрипта

Скрипт ставится в секцию <head>:

<script src="https://cdn.botban.ru/v1/bb.js"
        data-site="ваш-uuid"
        data-mode="collect"
        async></script>

Два режима

data-mode="collect" — скрипт только собирает признаки, а решение принимает PHP-модуль. Страница не задерживается ни на миг. Это правильный режим, когда модуль уже стоит.

data-mode="guard" — скрипт сам принимает решение и показывает экран проверки, пока идёт проверка. Нужен, когда доступа к PHP нет.

Что видит скрипт

То, чего не видно снаружи: управляется ли браузер программой (navigator.webdriver), есть ли следы безоконного режима, даёт ли графика браузера отпечаток, сколько языков он сообщает, двигал ли посетитель мышью.

Честно про ограничения

Скрипт работает уже после того, как страница отдана браузеру. Он может скрыть содержимое и остановить отправку формы, но не может помешать самой выдаче страницы. Если бот вообще не выполняет JavaScript, скрипт о нём не узнает — но и признаков он тогда не даст, а значит, для PHP-модуля такой визит останется подозрительным.

Поэтому связка PHP + JS сильнее любого из них по отдельности.

Защита форм

Скрипт добавляет в каждую форму ловушку — поле bb_hp, невидимое человеку, но заметное программе, которая заполняет всё подряд. Если ловушка заполнена, а на странице не было ни одного движения мыши, касания или клавиши, скрипт сам останавливает отправку. Если движения были, поле могло вписать автозаполнение браузера: тогда скрипт очищает его и отпускает форму.

Когда на сайте стоит и PHP-модуль, ловушку проверяет и сервер. Заполненное поле, дошедшее до сайта, значит, что форму отправили в обход страницы, и такая отправка блокируется. Сам модуль сообщает нам только «заполнено» или «пусто», содержимое формы к нам не уходит.

Ещё скрипт замечает отправку быстрее полутора секунд после открытия страницы без единого движения: человек с автозаполнением всё равно касается поля или кнопки. Это слабый признак, он учитывается вместе с остальными.

Чтобы исключить форму из защиты, добавьте ей атрибут data-bb-skip.