Антибот ломается не на CAPTCHA, а на слабом fingerprint и плохой логике риска

Антибот ломается не на CAPTCHA, а на слабом fingerprint и плохой логике риска

Большинство защит проверяют не один сигнал, а связку: поведение, браузерный отпечаток, сеть, скорость действий, повторяемость маршрута. Если хотя бы один слой сделан грубо, его обходят не «магией», а аккуратным попаданием в допуск. Поэтому самый частый провал у паблишера — не сложная атака, а слишком резкий контраст между обычным пользователем и ботом.

Что обычно проверяют:
— стабильность canvas/webgl/audio и шрифтов;
— согласованность timezone, языка, гео и IP;
— паттерн движений, пауз, фокуса вкладки;
— повторы: один и тот же отпечаток, домен, маршрут, скорость.

Для обхода мало просто сменить прокси или поднять headless с маскировкой. Если стек не совпадает целиком, защита начинает собирать сигнал по мелочам: сначала добавляет трение, потом кидает в CAPTCHA, затем режет конверсию в silent mode. Сильнее всего палятся аккаунты и сессии, где поведение «слишком ровное» или наоборот слишком нервное.

У defenders рабочая схема простая: не полагаться на один барьер, а строить риск-скоринг из нескольких слабых признаков. У attackers — не экономить на консистентности профиля: сеть, fingerprint и сценарий должны выглядеть как один и тот же человек, а не набор удачных подмен. Если защита и обход спорят на одном уровне, выигрывает тот, кто лучше выстроил связность сигналов.