Cookie anti-bot: apa itu _abck dan reese84, dan mengapa keduanya cepat kedaluwarsa

Banyak tim sampai di titik yang sama: permintaan pertama berhasil, lalu tiba-tiba balasan berubah menjadi 403 padahal cookie-nya masih ada di jar. Penyebabnya jarang berupa "cookie kurang satu"; lebih sering karena cookie yang dipakai sudah tidak lagi mewakili sesi itu.

Dua cookie yang paling sering disalahpahami adalah _abck dari Akamai Bot Manager dan reese84 dari Imperva. Keduanya terlihat seperti tiket akses, padahal keduanya adalah hasil penilaian yang terus diperbarui.

_abck: buku besar yang ditulis ulang setiap respons

Nilai _abck terdiri dari tiga bagian yang dipisahkan tanda tilde. Bagian pertama adalah hash data sensor yang dikumpulkan skrip Akamai di halaman; bagian kedua adalah flag putusan (0 belum diputuskan, 1 dianggap bot, ~0 atau -1 diterima); bagian ketiga mencatat kapan nilai itu diterbitkan.

Karena bagian pertama adalah hash dari sesi tertentu, menyalin nilai ke proses lain tidak mewariskan putusannya. Header yang dibuat menyerupai browser tidak mengubah sidik jari TLS yang dilihat edge.

• Simpan _abck per sesi, jangan dibagi antar-sesi.
• Baca nilai baru dari setiap respons, termasuk 403 — di situ edge sering mengirim pengganti.
• Jalankan skrip sensor dari origin yang sama dengan halaman target.

reese84: token yang umurnya dihitung dalam menit

reese84 diterbitkan oleh skrip Imperva yang meminta data lingkungan, mengirimkannya ke endpoint situs itu sendiri, lalu menerima token. Umurnya biasanya 5 sampai 15 menit, terikat pada satu hostname, dan sering pada kombinasi IP dengan User-Agent.

Konsekuensinya sederhana tetapi sering diabaikan: URL skrip sensor adalah bagian dari kontrak. Mengambil token tanpa menjalankan skrip dari URL yang benar akan menghasilkan nilai yang langsung ditolak.

Perbedaan yang menentukan saat debugging

Aspek	_abck (Akamai)	reese84 (Imperva)
Sumber nilai	Sensor Akamai, ditulis ulang tiap respons	Skrip sensor Imperva, sekali terbit
Umur	Dinilai ulang terus, tidak ada batas tetap	Umumnya 5–15 menit
Penanda gagal	Flag segmen kedua bernilai 1	Permintaan ditantang ulang
Kesalahan umum	Menyalin cookie antar-sesi	Memakai token tanpa skrip yang benar

Ringkasan

Kalau ingin dipakai bersama, perlakukan keduanya sebagai keadaan sesi: satu sesi, satu set cookie, satu sidik jari. Penjelasan lebih rinci ada di glosarium bahasa Indonesia yang saya susun: Glosarium cookie anti-bot, termasuk halaman _abck dan reese84.

Catatan penulis: saya mengembangkan SolveHub, API penyelesaian CAPTCHA dan anti-bot untuk pengujian yang diizinkan; alurnya didokumentasikan di dokumentasi Akamai dan dokumentasi Imperva.