تشك أن بعض زياراتك ليست بشرية. ربما تضخمت التحليلات، أو نما نموذجك من البيانات المهملة، أو فاتورة الـ API تكبر بلا عملاء حقيقيين. هذا الدليل يريك كيف تكشف البوتات بإشارات تمتلكها بالفعل، ثم كيف تجعل الكشف آليًا.
أولًا: اعرف ما تبحث عنه
ليست كل البوتات شريرة. تصنيف مفيد:
- بوتات جيدة معلنة: Googlebot وBingbot وزواحف البحث التي تريدها.
- بوتات تشغيلية: مراقبات التشغيل ونداءات webhooks للمدفوعات.
- بوتات ضارة: سارقو المحتوى (scrapers)، سبام النماذج، أدوات تخمين كلمات المرور، المشترون الآليون، ماسحات الثغرات، والموجة الأحدث: زواحف الذكاء الاصطناعي غير المعلنة.
الكشف ليس "احجب كل البوتات" — بل اعرف أيّها أيّ وقرّر لكل طلب.
سبع إشارات يمكنك فحصها اليوم
- التحليلات مقابل التوقعات: جلسات بمدة 0:00، ارتداد 100%، مصادر مباشرة بكميات شاذة.
- إيقاع السجلات: الزائر الحقيقي يتوقف بين الطلبات (ثوانٍ). البوتات بإيقاع آلة-مثالي أو دفعات متوازية.
- غرائب User-Agent: فارغ، إصدارات قديمة، أو UA يدّعي Chrome على Linux برؤوس Windows.
- بصمات الرؤوس: غياب Accept-Language، ترتيب رؤوس لا يُنتجه متصفح حقيقي.
- سلوك النماذج: إرسال أسرع من قدرة بشرية، حقول honeypot معبأة، توقيتات متطابقة.
- عناوين IP من مراكز بيانات: AWS/GCP/Azure عندما تتوقع زوار أفراد.
- عدم تطابق التحويلات: الزيارات ترتفع والتسجيلات لا — بصمة scraper كلاسيكية.
لماذا يفشل فلتر User-Agent وحده
أقدم الحِيَل — حجب UA المعروفة — يوقف أسهل البوتات فقط. أي مكتبة scraping حديثة ترسل UA متصفح حقيقي (أو UA جديدًا لكل طلب). فحص UA إشارة وليس قرارًا. إنه كاشف دخان لا يميز الدخان عن البخار.
إشارات جهة المتصفح
المتصفح الحقيقي ينفذ JavaScript، له حزمة DOM/شبكة متسقة، ويكشف تفاصيل منصة (دقة الشاشة، المنطقة الزمنية، اللغات) تطابق User-Agent. فحوص المتصفح الخفيفة تؤكد: تنفيذ JS فعلًا، اتساق البيئة (بلا علم WebDriver ولا مؤشرات headless)، وإيقاع سلوكي بشري (نوافذ 1/10/60 دقيقة).
لا شيء منها إثبات وحده — لكنها مجتمعة تفصل أغلب الأتمتة عن أغلب البشر. هذا بالضبط ما تفعله Browser Signals والسرعة السلوكية في XAntiBot.
الكشف الآلي عبر API
النمط الموثوق: لا تقرر في كودك — اسأل واجهة كشف. يرسل خادمك IP الزائر + UA + نطاقك؛ تعيد الواجهة قرارًا بدرجة وأسباب.
مع XAntiBot يعود القرار allow أو challenge أو block (مثال PHP من الحزمة الرسمية في النسخة الإنجليزية).
لماذا API أفضل من الحلول اليدوية: ذكاء IP (قوائم مراكز البيانات/TOR وبيانات ASN) يُحدَّث عنك؛ منطق الدرجات يتطور مع البوتات؛ وكل قرار مُسجَّل بأسبابه — قابل للتدقيق بدل 403 غامضة.
ماذا تفعل بالنتيجة
allow→ قدّم الصفحة طبيعيًا.challenge→ اعرض تحديًا (مثل Cloudflare Turnstile عبر gateway) — البشر ينجحون وأغلب البوتات تفشل.block→ 403 بصمت.
أسئلة شائعة
هل يمكن كشف البوتات بدقة 100%؟ لا أداة صادقة تدّعي ذلك. الهدف فصل الأغلبية الضارة عن البشر مع إبقاء الأخطاء الإيجابية نادرة وكل قرار قابل للضبط. هل البوتات تضر بـ SEO؟ لا تضر الترتيب مباشرة لكنها تلوث التحليلات وتستهلك الموارد وسرقة المحتوى واردة. هل حجب User-Agent عديم الفائدة؟ لا — إنه فلتر أول رخيص، لكنه ليس دفاعك الوحيد أبدًا.
الخطوة التالية
- ابدأ مجانًا: أنشئ حسابًا واحصل على مفتاح API الأول.
- اقرأ: كيف تحجب البوتات الضارة دون حجب المستخدمين الحقيقيين · دليل واجهة كشف البوتات · درس حماية PHP خطوة-بخطوة.