Anti-bot engineering

Banyak tim sampai di titik yang sama: permintaan pertama berhasil, lalu tiba-tiba balasan berubah menjadi 403 padahal cookie-nya masih ada di jar. Penyebabnya jarang berupa "cookie kurang satu"; lebih sering karena cookie yang dipakai sudah tidak lagi mewakili sesi itu. Dua cookie yang paling sering disalahpahami adalah _abck dari Akamai Bot Manager dan reese84 dari Imperva. Keduanya terlihat seperti tiket akses, padahal keduanya adalah hasil penilaian yang terus diperbarui. _abck: buku besar yang ditulis ulang setiap respons Nilai _abck terdiri dari tiga bagian yang dipisahkan tanda tilde. Bagian pertama adalah hash data sensor yang dikumpulkan skrip Akamai di halaman; bagian kedua adalah flag putusan (0 belum diputuskan, 1 dianggap bot, ~0 atau -1 diterima); bagian ketiga mencatat kapan nilai itu diterbitkan. Karena bagian pertama adalah hash dari sesi tertentu, menyalin nilai ke proses lain tidak mewariskan putusannya. Header yang dibuat menyerupai browser tidak men...

Akamai Bot Manager is the one anti-bot product where the cookie is the least interesting part of the story. Everyone fixates on _abck . What actually decides whether your next request passes is the sequence of updates _abck went through — and the headers that came back with it. This post is about three things that break Akamai automation in practice: treating _abck as a one-time token, discarding bm_sz and ak_bmsc because _abck looks like the important one, and ignoring solution.headers because no other solver returns any. Scope: everything below is for QA automation on properties you are authorised to test. Three cookies, three jobs Akamai hands out cookies in layers, and each one answers a different question. ak_bmsc — the anonymous browser session. It is issued before any sensor data runs, it is short-lived, and on its own it gets you a page, not an API. bm_sz — the session marker that pairs with _abck . They are set together and they are checked together. A request carrying...