Bot management
Nem todo bot é inimigo e nem todo humano é legítimo. Bot management dá uma nota de confiança a cada requisição e deixa a política decidir o que fazer com ela.
O que é
Uma parte grande do tráfego de qualquer aplicação pública é automação: buscadores e monitoramento (úteis), e também scrapers, , acúmulo de estoque e criação de contas falsas. A defesa não é bloquear "bots", é distinguir intenção e agir sobre o abuso.
Como a classificação funciona
Soluções de bot management combinam sinais para produzir uma pontuação por requisição. Nenhum sinal é decisivo sozinho, mas juntos separam bem o tráfego:
- Fingerprints de rede e TLS: clientes de automação costumam ter assinaturas diferentes de navegadores reais.
- Sinais de navegador e comportamento: execução de JavaScript, movimento, cadência de requisições.
- Reputação e contexto: IP, ASN, histórico do cliente, padrão por endpoint.
- Bots verificados: crawlers conhecidos (buscadores, monitores) identificados de forma confiável e tratados à parte.
A política decide a ação
A pontuação não bloqueia nada por si: a política é que define a ação por endpoint. Um catálogo público pode tolerar score médio, enquanto o login e o checkout desafiam ou bloqueiam. Uma expressão de exemplo, no estilo de regras da Cloudflare:
# alto risco de automação em endpoints sensíveis, ignorando bots verificados
(cf.bot_management.score lt 30
and not cf.bot_management.verified_bot
and http.request.uri.path in {"/api/login" "/api/checkout"})
-> action: Managed ChallengeDesafios sem atrito
Desafios clássicos (CAPTCHA) punem usuários reais. Desafios modernos e gerenciados tentam provar que o cliente é um navegador real sem pedir nada ao usuário, e só escalam para uma interação quando a dúvida persiste. O desafio é o degrau antes do bloqueio: reduz falso positivo e ainda custa caro para quem automatiza em escala.
Casos de uso mais comuns
- Credential stuffing no login e em recuperação de senha.
- Scraping de preços, catálogo ou conteúdo.
- Criação em massa de contas e abuso de promoções.
- Acúmulo de estoque e fraude em checkout.
- APIs: bots usam diretamente as rotas, então a política também precisa cobrir o tráfego sem navegador.
conexões no mapa
- Engenharia de detecçãopontua automaçãoBot management
- Bot managementacionaRunbooks, resposta e hardening pós-incidente
atualizado em 14/10/2026 · fontes para aprofundar · reportar erro
em outros domínios
- Engenharia social e defesa contra phishingoffsecengenharia social e abuso automatizado atacam a identidade pelo mesmo lado
- A07 Authentication Failuresowaspcredential stuffing é, antes de tudo, tráfego automatizado
- Guardrails - filtros de entrada e saídaai-agentsdistinguir automação legítima de abuso vale também para agentes
Estude antes
teste o que entendeu
Carregando perguntas…