Антибот ломается не на CAPTCHA, а на плохом сценарии проверки

Антибот ломается не на CAPTCHA, а на плохом сценарии проверки

Чаще всего паблишер теряет не «ботов вообще», а нормальный трафик, который случайно выглядит подозрительно. Если проверка стоит слишком рано, слишком часто или без контекста, она режет конверсию сильнее, чем фрод.

Что обычно забывают в защите:
— связывать challenge с риском, а не с каждым визитом;
— различать первый заход, повторный визит и пост-клик;
— проверять не только IP, но и поведение: скорость кликов, последовательность действий, паузы;
— держать запасной сценарий для плохих сетей, VPN и мобильных NAT.

По антибот-логике важны три слоя: сигнал, решение, трение. Сигнал — fingerprint, поведенческие паттерны, репутация прокси. Решение — пропустить, ужесточить, отправить в дополнительную проверку. Трение — это уже CAPTCHA, JS-check, turnstile или мягкая задержка. Если сразу ставить самый тяжёлый барьер, вы сами создаёте отвал.

Есть наблюдение которое стоит проверить: чем лучше сегментация трафика, тем меньше приходится «душить» весь поток. Белые сценарии надо пускать без лишних вопросов, серые — проверять точечно, а явно фродовые — резать раньше, пока они не успели нагреть статистику.

Практика простая: сначала измеряйте, где именно ломается путь пользователя, и только потом усиливайте защиту. Антибот работает не тогда, когда всем больно, а когда ботам дорого, а живым почти незаметно.