Почему автоматизация использует настоящий браузер
Полноценный браузер позволяет выполнять JavaScript, загружать ресурсы, хранить cookie и воспроизводить пользовательские действия. Это делает трафик похожим на реальный сильнее, чем у простого HTTP-клиента, но не гарантирует полной неотличимости.
Что можно наблюдать
| Группа | Примеры |
|---|---|
| Direct automation | navigator.webdriver, доказуемые injected/runtime markers |
| HTTP ↔ Browser | несогласованность UA, Client Hints, platform, language |
| Device | screen/viewport/DPR/touch/memory/concurrency consistency |
| Graphics | нормализованный WebGL capability/vendor/renderer context |
| Identity | fingerprint stability/churn/reuse в пределах privacy-safe модели |
| Network | IP/ASN rotation в комбинации со стабильным browser identity |
Какие признаки слишком слабые сами по себе
- plugins.length = 0;
- WebGL unavailable;
- webdriver = false;
- маленькое окно браузера;
- hosting/VPN IP;
- отсутствие JavaScript telemetry.
UNKNOWN ≠ SAFE. Если сигнал не получен, это отсутствие данных, а не доказательство человека.
Почему composite risk сильнее
Комбинация automation marker + высокий request rate + повторяющаяся sequence + Challenge failure + IP rotation намного информативнее любого компонента по отдельности. При этом confidence должен учитывать объём наблюдений и здоровье источников.
Что делать после обнаружения
Для умеренного риска разумнее сначала дополнительная проверка, throttling или временное действие. Permanent hard block после одного automation-like signal создаёт избыточный false-positive риск.
Browser Signals Lite в AntiPF
10.050 собирает bounded browser evidence в versioned signed protocol, строгой схеме и SHADOW/COLLECT по умолчанию. Raw invasive fingerprint или перечень расширений браузера не являются целью продукта.