Protection contre les bots : formulaires, crawlers et règles

La protection contre les bots fonctionne sur le site web sélectionné dans le sélecteur d'en-tête, et uniquement sur les sites web vérifiés. Ouvrez Tableau de bord → Protection contre les bots, activez-la, ajoutez le script et vérifiez les jetons sur votre serveur. Les vrais visiteurs ne voient jamais de puzzle.

1. Ajouter le script

Ajoutez <script src="https://serpfull.com/b/v1.js" data-site="YOUR_SITE_KEY" async></script> aux pages avec formulaires et ajoutez data-serpfull-protect à chaque formulaire, ou choisissez « Tous les formulaires de la page » dans les paramètres. Pendant que le visiteur remplit le formulaire, son navigateur résout en arrière-plan un petit défi de preuve de travail et le formulaire reçoit un champ serpfull-bot-token lorsqu'il est envoyé. Le script fait environ 3,5 Ko compressé, ne définit pas de cookies et ne stocke rien sur l'appareil. Une courte ligne d'état sous le formulaire est annoncée aux lecteurs d'écran ; ajoutez data-status="off" pour la cacher.

2. Vérifiez le jeton sur votre serveur

Avant d’accepter le formulaire, POSTEZ le JSON { secret, token } à https://serpfull.com/api/b/verify. Ajoutez l’email, le nom, le message et le honeypot (le champ sf_hp) pour obtenir un score de spam également. La réponse est { success, score, reasons, spam }. Les jetons ne fonctionnent qu’une fois et expirent après cinq minutes ; un jeton réutilisé, falsifié ou expiré renvoie succès : false. Gardez votre secret uniquement sur votre serveur. Le fait de le faire tourner dans les Clés et paramètres permet à l’ancien secret de fonctionner pendant 24 heures.

Scores et raisons

• Le score va de 0 (une personne) à 100 (un bot). La vérification du navigateur rejette tout ce qui dépasse votre seuil : 80 en Relaxed, 60 en Balanced, 40 en Strict.
• Les signaux incluent des indicateurs d'automatisation du navigateur, navigateurs sans interface, un champ caché rempli, absence de frappe ou d'utilisation du pointeur, un formulaire rempli trop rapidement et un défi résolu à une vitesse impossible.
• spam.score ajoute des domaines d'e-mails jetables, des liens et leur balisage, des formulations courantes de spam, du texte en majuscules, des caractères répétés et des noms suspects. Vous décidez quoi en faire, par exemple retenir les messages au-dessus de 50 pour révision.

Crawlers des moteurs de recherche

Les requêtes prétendant provenir d'un moteur de recherche majeur ou d'un crawler IA sont confirmées par une recherche d'adresse réseau inverse et directe. Les crawlers vérifiés sont autorisés ; les faux utilisant leur nom sont bloqués et enregistrés comme faux crawlers.

Règles

Les règles correspondent au pays, réseau (ASN), agent utilisateur du navigateur, adresse IP ou plage, chemin de la page, statut du crawler ou score de bot, et bloquent, vérifient d'abord, limitent les requêtes par minute par visiteur, ou autorisent toujours. Elles sont vérifiées de haut en bas et la première correspondance l'emporte. Les règles s'appliquent aux vérifications de page et de formulaire.

Protection de la page entière (optionnelle)

Les guides Next.js middleware et Express dans Tableau de bord → Protection contre les bots → Installation envoient l'IP, l'agent utilisateur et le chemin de chaque requête à https://serpfull.com/api/b/check avec votre secret. La réponse est allow, challenge ou block et la durée de mise en cache. Un challenge affiche une petite page de vérification qui résout le même défi invisible puis définit un cookie de sécurité strictement nécessaire (sf_bot) pour 30 minutes. Si notre vérification est inaccessible, les extraits laissent passer le visiteur.

Fonctionne avec les clics SERP Serpfull

La protection de la page entière reconnaît les propres exécutions de clics SERP de Serpfull et les laisse passer, ainsi vos exécutions de clics continuent d'atteindre votre site tandis que les mauvais bots sont toujours bloqués. Chaque exécution de clic porte un pass signé lié à votre site et à cette exécution, expirant en quelques minutes ; nos serveurs le vérifient lorsque votre middleware le demande, il ne peut donc pas être copié ou falsifié. Passez l'en-tête de requête x-serpfull-click à la vérification en tant que click (les guides d'installation le font déjà). Rien d'autre à configurer.

Analytique

Les visites de bots, crawlers et automatisées sont détectées par notre analytics et exclues de vos chiffres de visiteurs. Elles sont comptées comme visites de bots dans l'aperçu de la Protection contre les bots.

Alertes

Lorsque les requêtes échouées, bloquées, spam ou de faux crawlers atteignent au moins 50 en une heure et trois fois le niveau horaire habituel, votre équipe reçoit un e-mail et une notification dans l'application, et le webhook bot.attack.detected est déclenché. Désactivez les alertes dans Clés et paramètres.

Limites

• Vérifications de formulaires par site web et par mois : 50 000 sur Starter, 250 000 sur Growth, 1 million sur Scale, 10 millions sur Pro, 30 millions sur Enterprise.
• Vérifications de pages par mois : 250 000, 1 million, 5 millions, 15 millions, 50 millions et 150 millions.
• Règles : 10, 25, 50, 100, 250 et 500. Événements conservés pendant 7, 14, 30, 30, 60 et 90 jours.
• Au-delà de la limite, les formulaires continuent de fonctionner : les vérifications sont mises en pause jusqu'au mois suivant et la réponse de vérification indique succès avec score null et quota_exceeded true.

Faites la visite guidée

Dans le tableau de bord, cliquez sur l'icône baguette dans l'en-tête et choisissez « Protection contre les bots », ou sélectionnez « Faire la visite de cette page » pendant que vous y êtes. La visite met en évidence chaque partie de la page étape par étape.