Protección contra bots: formularios, rastreadores y reglas

La protección contra bots funciona en el sitio web seleccionado en el selector de encabezado y solo en sitios web verificados. Abra Panel → Protección contra bots, actívelo, agregue el script y verifique los tokens en su servidor. Los visitantes reales nunca ven un rompecabezas.

1. Agrega el guión

Agregue <script src="https://serpfull.com/b/v1.js" data-site="YOUR_SITE_KEY" async></script> a páginas con formularios y agregue data-serpfull-protect a cada formulario, o elija "Cada formulario en la página" en la configuración. Mientras el visitante completa el formulario, su navegador resuelve un pequeño desafío de prueba de trabajo en segundo plano y el formulario obtiene un campo serpfull-bot-token cuando se envía. El script tiene aproximadamente 3,5 KB comprimidos, no establece cookies y no almacena nada en el dispositivo. Se anuncia a los lectores de pantalla una breve línea de estado debajo del formulario; agregue data-status="off" para ocultarlo.

2. Verifique el token en su servidor

Before accepting the form, POST JSON { secret, token } en https://serpfull.com/api/b/verify. Agregue correo electrónico, nombre, mensaje y honeypot (el campo sf_hp) para obtener también una puntuación de spam. La respuesta es { success, score, reasons, spam }. Los tokens funcionan una vez y caducan después de cinco minutos; un token reutilizado, falsificado o caducado devuelve éxito: falso. Mantenga su secreto únicamente en su servidor. Girarlo en Claves y configuraciones mantiene el antiguo secreto funcionando durante 24 horas.

Puntuaciones y razones

• La puntuación va de 0 (una persona) a 100 (un robot). La comprobación del navegador rechaza cualquier valor que supere su umbral: 80 en Relajado, 60 en Equilibrado, 40 en Estricto.
• Las señales incluyen indicadores de automatización del navegador, navegadores sin cabeza, un campo oculto lleno, no escribir ni usar el puntero, un formulario completado demasiado rápido y un desafío resuelto increíblemente rápido.
• spam.score agrega dominios de correo electrónico desechables, enlaces y marcas de enlaces, textos comunes de spam, texto en mayúsculas, caracteres repetidos y nombres sospechosos. Tú decides qué hacer con él, por ejemplo, retener mensajes de más de 50 para su revisión.

Rastreadores de motores de búsqueda

Las solicitudes que afirman provenir de un importante motor de búsqueda o de un rastreador de búsqueda de IA se confirman con una búsqueda inversa y directa de direcciones de red. Se deja pasar a los rastreadores verificados; las falsificaciones que utilizan su nombre se bloquean y registran como rastreadores falsos.

Normas

Las reglas coinciden con el país, la red (ASN), el agente de usuario del navegador, la dirección o rango de IP, la ruta de la página, el estado del rastreador o la puntuación del bot, y bloquean, verifican primero, limitan las solicitudes por minuto por visitante o permiten siempre. Se controlan de arriba a abajo y gana el primer partido. Se aplican reglas a las comprobaciones de páginas y de formularios.

Protección de toda la página (opcional)

El middleware Next.js y las guías Express en Panel → Protección contra bots → Instalar envían la IP, el agente de usuario y la ruta de cada solicitud a https://serpfull.com/api/b/check con su secreto. La respuesta es permitir, desafiar o bloquear y cuánto tiempo almacenarlo en caché. Un desafío muestra una pequeña página de verificación que resuelve el mismo desafío invisible y luego establece una cookie de seguridad estrictamente necesaria (sf_bot) durante 30 minutos. Si no se puede acceder a nuestro cheque, los fragmentos dejan pasar al visitante.

Funciona con los clics SERP de Serpfull

La protección de página completa reconoce las ejecuciones de clics SERP de Serpfull y las deja pasar, para que tus ejecuciones de clics sigan llegando a tu sitio mientras los bots maliciosos siguen bloqueados. Cada ejecución de clics lleva un pase firmado vinculado a tu sitio web y a esa ejecución, que caduca en minutos; nuestros servidores lo comprueban cuando tu middleware pregunta, así que no se puede copiar ni falsificar. Pasa la cabecera de petición x-serpfull-click a la comprobación como click (las guías de instalación ya lo hacen). No hay que configurar nada más.

Analítica

Nuestros análisis detectan las visitas de bots, rastreadores y automatizadas y las mantienen fuera de su número de visitantes. Se cuentan como visitas de bots en la descripción general de protección contra bots.

Alertas

Cuando las solicitudes fallidas, bloqueadas, de spam o de rastreadores falsos en una hora alcanzan al menos 50 y tres veces el nivel habitual por hora, su equipo recibe un correo electrónico y una notificación en la aplicación, y se activa el webhook bot.attack.detected. Desactiva las alertas en Teclas y configuración.

Límites

• Verificaciones de formularios por sitio web por mes: 50 000 en Starter, 250 000 en Growth, 1 millón en Scale, 10 millones en Pro, 30 millones en Enterprise.
• Verificaciones de páginas por mes: 250.000, 1 millón, 5 millones, 15 millones, 50 millones y 150 millones.
• Reglas: 10, 25, 50, 100, 250 y 500. Eventos mantenidos por 7, 14, 30, 30, 60 y 90 días.
• Por encima del límite, los formularios siguen funcionando: las comprobaciones se pausan hasta el próximo mes y la respuesta de verificación dice éxito con puntuación nula y cuota_excedida verdadera.

Haz el recorrido guiado

En el panel, haz clic en el icono de la varita de la cabecera y elige “Bot protection”, o elige “Tour this page” cuando estés en esa página. El recorrido resalta cada parte de la página paso a paso.