7 сигналов fingerprint, которые палят бота даже без CAPTCHA

7 сигналов fingerprint, которые палят бота даже без CAPTCHA

Браузерный отпечаток редко ломают одной правкой. Защита смотрит на связку: canvas, webgl, audio, timezone, languages, screen, fonts и поведение событий. Если два поля «живые», а остальные выглядят как шаблон, профиль уже подозрителен.

Что обычно выдает автоматизацию:
— одинаковый canvas/webgl у пачки сессий;
— нереалистичная связка timezone и geolocation;
— пустой или слишком редкий набор шрифтов;
— navigator-поля, которые не совпадают с реальным стеком браузера;
— мышь и клавиатура без микропауз, ускорений и ошибок.

Для защитника важна не одна метрика, а консистентность. Хороший фильтр не ищет «идеальный признак бота», а ловит расхождения: разные API говорят разное, события приходят слишком ровно, а отпечаток не меняется там, где у живого пользователя есть шум. Поэтому полезнее строить скоринг, чем жесткий блок по одному параметру.

Для арба отсюда тоже есть вывод: подмена должна быть цельной. Менять user-agent и забывать про webgl, codecs, languages и поведение — значит оставить самый заметный след. Стабильная маскировка всегда выглядит скучно: один профиль, одна среда, один сценарий движения.

Если кратко: fingerprint ломается не точкой, а несостыковками. Перед масштабированием проверьте, совпадают ли у профиля не только заголовки, но и графика, локаль, таймзона и паттерн ввода.