Percelia skener

Potpis

Ime u user agentu može upisati bilo tko, zato mu vatrozid s pravom ne vjeruje. Zbog toga se svaki naš zahtjev potpisuje sam, kriptografski, ključem čija je javna polovica objavljena na našoj vlastitoj domeni. Vaš vatrozid time sam provjerava da je zahtjev doista došao od nas, bez pitanja nama i bez vjerovanja na riječ. Postupak je otvoreni standard (Web Bot Auth, na temelju RFC-a 9421), a provjeravaju ga Cloudflare, AWS i Akamai.

Potpis vrijedi samo jednu minutu i samo za točno ono ime poslužitelja kojemu je zahtjev poslan, pa se ne može presresti i upotrijebiti drugdje. To ima i drugu stranu, koju smatramo ispravnom: želite li nas isključiti, time isključujete upravo nas i nikoga drugoga.

Što skener radi

• Učitava stranice kao preglednik, s CSS-om i JavaScriptom, a zatim mjeri što bi zatekla osoba koja koristi čitač zaslona, tipkovnicu ili jako povećanje.
• Pokreće se samo kada netko zatraži provjeru: besplatni test, naručena revizija, dogovoreni nadzor. Web ne pretražuje na vlastitu inicijativu.
• Provjerava reprezentativne predloške umjesto svake adrese, primjerice početnu stranicu, kategoriju, proizvod, obrazac. To je nekoliko poziva, ne tisuće.
• Ništa ne zapisuje. Kada pokrene obrazac da provjeri poruke o pogreškama, prekida svaki odlazni zahtjev koji bi nešto promijenio. Ne nastaje narudžba, račun ni zapis.
• Vaš sadržaj ne prikuplja ni za što drugo: nema treniranja modela, nema prosljeđivanja. Kod provjera iza prijave pristupni podaci i osobni podaci uklanjaju se iz svega što pohranjujemo.
• Ako poslužitelj odgovori s HTTP 429, čeka razdoblje koje ste naveli i pita najviše još jednom. Ako je ispred stranice provjera botova ili captcha, odustaje i o tome obavještava naručitelja. Zaštitne mehanizme ne zaobilazimo.

Ako nas ne želite

Upišite ovo u svoj robots.txt. Čitamo ga prije svakog pokretanja i poštujemo ga.

User-agent: PerceliaScanner
Disallow: /

Jedna iznimka, da ne bude iznenađenja: ako je stranica vaša i sami naručite provjeru, vrijedi vaša narudžba. Vlastitu stranicu možete dati provjeriti i kada vaš robots.txt isključuje botove.

Ako nas želite propustiti

Ako nas vatrozid blokira, rezultata nema, ni dobrog ni lošeg. Najčišći je put provjera potpisa: sve što podržava Web Bot Auth propušta nas bez vašeg posebnog pravila. Inače u Cloudflareu, AWS WAF-u, Akamaiju ili Fastlyju dodajte iznimku za gornju oznaku, po želji i za našu IP adresu. Uvijek tražimo to dopuštenje umjesto da ga zaobilazimo.