Proteção de bot: formulários, rastreadores e regras

A proteção contra bots funciona no site escolhido no alternador de cabeçalho e somente em sites verificados. Abra Dashboard → Proteção contra bot, ligue-o, adicione o script e verifique os tokens em seu servidor. Visitantes reais nunca veem um quebra-cabeça.

1. Adicione o script

Adicione <script src="https://serpfull.com/b/v1.js" data-site="YOUR_SITE_KEY" async></script> às páginas com formulários e adicione data-serpfull-protect a cada formulário ou escolha "Todos os formulários na página" nas configurações. Enquanto o visitante preenche o formulário, seu navegador resolve um pequeno desafio de prova de trabalho em segundo plano e o formulário recebe um campo serpfull-bot-token quando é enviado. O script tem cerca de 3,5 KB compactado, não define cookies e não armazena nada no dispositivo. Uma pequena linha de status abaixo do formulário é anunciada aos leitores de tela; adicione data-status="off" para ocultá-lo.

2. Verifique o token no seu servidor

Before accepting the form, POST JSON { secret, token } em https://serpfull.com/api/b/verify. Adicione email, nome, mensagem e honeypot (o campo sf_hp) para obter também uma pontuação de spam. A resposta é { success, score, reasons, spam }. Os tokens funcionam uma vez e expiram após cinco minutos; um token reutilizado, forjado ou expirado retorna sucesso: falso. Mantenha seu segredo apenas no seu servidor. Girá-lo em Chaves e configurações mantém o segredo antigo funcionando por 24 horas.

Pontuações e motivos

• a pontuação vai de 0 (uma pessoa) a 100 (um bot). A verificação do navegador rejeita qualquer coisa acima do seu limite: 80 em Relaxado, 60 em Equilibrado, 40 em Estrito.
• Os sinais incluem sinalizadores de automação do navegador, navegadores sem cabeça, um campo oculto preenchido, nenhuma digitação ou uso de ponteiro, um formulário preenchido muito rápido e um desafio resolvido com uma rapidez impossível.
• spam.score adiciona domínios de e-mail descartáveis, links e marcação de links, texto comum de spam, texto em letras maiúsculas, caracteres repetidos e nomes suspeitos. Você decide o que fazer com isso, por exemplo, reter mensagens acima de 50 para revisão.

Rastreadores de mecanismos de pesquisa

As solicitações que afirmam vir de um importante mecanismo de pesquisa ou rastreador de pesquisa de IA são confirmadas com uma pesquisa reversa e direta de endereço de rede. Rastreadores verificados são liberados; falsificações usando seus nomes são bloqueadas e registradas como rastreadores falsos.

Regras

As regras correspondem ao país, rede (ASN), agente do usuário do navegador, endereço ou intervalo IP, caminho da página, status do rastreador ou pontuação do bot e bloqueiam, verificam primeiro, limitam solicitações por minuto por visitante ou sempre permitem. Eles são verificados de cima a baixo e a primeira partida vence. As regras se aplicam a verificações de páginas e formulários.

Proteção de página inteira (opcional)

O middleware Next.js e os guias Express em Painel → Proteção de bot → Instalar enviam o IP, o agente do usuário e o caminho de cada solicitação para https://serpfull.com/api/b/check com seu segredo. A resposta é permitir, desafiar ou bloquear e por quanto tempo armazenar em cache. Um desafio mostra uma pequena página de verificação que resolve o mesmo desafio invisível e depois define um cookie de segurança estritamente necessário (sf_bot) por 30 minutos. Se nosso cheque não puder ser acessado, os snippets permitirão a passagem do visitante.

Funciona com os cliques SERP da Serpfull

A proteção de página inteira reconhece as execuções de cliques SERP da Serpfull e deixa-as passar, para que as suas execuções de cliques continuem a chegar ao seu site enquanto os bots maliciosos continuam bloqueados. Cada execução de cliques leva um passe assinado associado ao seu site e a essa execução, que expira em minutos; os nossos servidores verificam-no quando o seu middleware pergunta, por isso não pode ser copiado nem falsificado. Passe o cabeçalho de pedido x-serpfull-click à verificação como click (os guias de instalação já o fazem). Não há mais nada a configurar.

Análise

As visitas de bots, rastreadores e automatizadas são detectadas por nossas análises e mantidas fora do seu número de visitantes. Elas são contadas como visitas de bot na visão geral da proteção de bot.

Alertas

Quando solicitações com falha, bloqueadas, spam ou rastreador falso em uma hora atingem pelo menos 50 e três vezes o nível horário normal, sua equipe recebe um e-mail e uma notificação no aplicativo, e o webhook bot.attack.detected é acionado. Desative os alertas em Chaves e configurações.

Limites

• Cheques de formulário por site por mês: 50.000 no Starter, 250.000 no Growth, 1 milhão no Scale, 10 milhões no Pro, 30 milhões no Enterprise.
• Verificações de páginas por mês: 250.000, 1 milhão, 5 milhões, 15 milhões, 50 milhões e 150 milhões.
• Regras: 10, 25, 50, 100, 250 e 500. Eventos mantidos por 7, 14, 30, 30, 60 e 90 dias.
• Acima do limite, os formulários continuam funcionando: as verificações são pausadas até o próximo mês e a resposta da verificação diz sucesso com pontuação nula e quota_exceeded verdadeira.

Faça o tour guiado

No painel, clique no ícone da varinha no cabeçalho e escolha “Bot protection”, ou escolha “Tour this page” quando estiver nessa página. O tour destaca cada parte da página passo a passo.