Cloudflare, браузеры и новый стандарт: как распознать легитимный трафик от ботов
Большие браузеры и Cloudflare объединились, чтобы создать PACTs, протокол, позволяющий веб-сайтам с «сильным знанием личности» выдавать анонимные цифровые токены. Браузеры и авторизованные боты могут затем предъявить эти токены другим сайтам, избегая повторных проверок идентификации. По сути, это переносит результат проверки CAPTCHA в виде неотслеживаемого токена.
Цель Cloudflare, снизить трение от security-протоколов для каждого посетителя (человека или агента) без ущерба приватности. Однако под риторикой приватности лежит прямолинейная задача: помочь бизнесу сосредоточить ресурсы на трафике, который имеет значение. Система делит интернет-трафик на «нужный» и «ненужный», создавая потенциальные барьеры доступа для тех, у кого нет токена.
Ключевые факты
- PACTs выдаются сайтами, которые уверены в личности посетителя, и работают как анонимные токены
- Браузеры и боты предъявляют PACT другим сайтам, снижая количество CAPTCHA-проверок
- Tokены не содержат личных данных, но система не препятствует другим методам отслеживания
- Фундаментальная цель, помочь бизнесу разделить трафик на полезный и вредный, сосредоточив ресурсы
- Риск: система может создать доступные / недоступные категории трафика, требующие переговоров издателей с хостами ботов
Ред. Анонимный токен, который сайт выдаёт только тем, в чьей личности он уверен. С приватностью тут как-то сразу непросто.
Почему это важно
PACT решает реальную проблему: CAPTCHA-переутомление для легитимных пользователей и боты, которые их обходят. Новый стандарт на уровне браузеров может вытеснить неудачные попытки контроля (JavaScript challenges, IP-репутация) и создать единую экосистему доверия. Для разработчиков это значит меньше собственного кода на фильтрацию ботов.
Ред. Браузеры и Cloudflare договорились, кому в интернете показывать CAPTCHA, а кому нет. Победит ли тут UX или контроль над трафиком, вопрос риторический.
Кому это важно
Веб-разработчикам, администраторам сайтов (меньше CAPTCHA-бремени); компаниям с высоким трафиком ботов (SEO скреперы, API автоматизация); браузерам (улучшение UX); сервисам вроде Cloudflare (готовый стандарт вместо конкурирующих решений); компаниям с авторизованными ботами (поисковики, социальные сети).
Ред. Авторизованным ботам крупных платформ, конечно. У всех остальных ботов появится повод поучиться вежливо предъявлять документы.
Как это применить
Если вы разработчик, готовьтесь поддерживать PACT когда браузеры это внедрят (пока это ранняя стадия). Если вы Cloudflare-клиент, активируйте PACT в консоли для сайтов с высоким CAPTCHA-трафиком. Если вы запускаете бот, убедитесь, что он может предъявлять токены или работает как авторизованный агент. Для SEO-инструментов пересмотрите стратегию скрейпинга.
Ред. Стандарт на ранней стадии, так что «готовьтесь поддерживать» пока означает «подождите, пока за вас всё решат три браузера и один CDN».
Можно ли доверять
The Register, авторитетный tech-издатель. WebFetch извлёк основные детали из статьи. Однако оригинальный текст краток и может упустить нюансы реализации. PACT, реальный инициатив (Chrome, Edge, Firefox участвуют); статус стандартизации (IETF-track) проверяется на W3C.
Ред. Издатель надёжный, инициатива реальная, вот только под лозунгом «без ущерба приватности» лежит вполне коммерческая задача отсортировать трафик на нужный и лишний.
Риски и подводные камни
PACT может создать класс сайтов, требующих токен и блокирующих новых / анонимных пользователей. Авторитарные режимы могут использовать PACT как предлог для фильтрации трафика. Проблема приватности остаётся: браузер и издатель все ещё видят, что пользователь посетил сайт. Для малых сайтов, не участвующих в PACT-экосистеме, ботов контролировать станет сложнее.
Ред. Удобный способ делить трафик на нужный и лишний одинаково удобен и магазину, и цензору, разница только в том, кто держит рубильник.
«Eliminate the friction caused by security protocols for every visitor, whether they are human or agent, without sacrificing privacy.»
— Dane Knecht, CTO Cloudflare