Para configurar reglas anti-rastreo específicas de cada escenario, debe integrar el Anti-Bot SDK en su aplicación. Este tema explica cómo integrar el SDK en aplicaciones web.
Componentes
La integración del Anti-Bot SDK incluye un recopilador web y un componente de respuesta de API asíncrona.
Recopilador web
El recopilador web integra las características del navegador o contenedor del cliente en el sistema anti-bots. Esto permite identificar métodos de ataque indetectables al analizar únicamente las características de red, lo cual mejora la protección.
Este componente recopila, ofusca y cifra dichas características. Después, coloca una cookie en el dominio raíz y reporta los datos mediante solicitudes. El impacto de este proceso en el rendimiento es mínimo.
El recopilador web obtiene tres tipos principales de información:
Información del entorno del navegador o contenedor: incluye detalles comunes como el tipo y la versión del navegador, la resolución de pantalla, la zona horaria y la marca de tiempo.
Sondas de defensa específicas: están diseñadas para detectar scripts de bots, controladores y contenedores automatizados comunes a nivel de navegador.
-
Comportamiento del usuario: eventos de ratón, teclado y táctiles en la página.
NotaPor motivos de privacidad, solo se recopila el momento en que se presionan las teclas, no las teclas específicas.
Componente de respuesta de API asíncrona
El componente de respuesta de API asíncrona permite que su aplicación web gestione los desafíos que el sistema anti-bots envía a una API. Actualmente, estos desafíos incluyen validaciones de JavaScript y desafíos CAPTCHA. Cuando WAF emite una respuesta de desafío hacia una API, este componente la detecta y responde a ella.
Este componente es puramente funcional. No proporciona funciones de seguridad ni recopila o reporta datos.
El componente de respuesta de API asíncrona funciona de la siguiente manera:
El componente reescribe de forma global los objetos de solicitud de API comunes en la página, como
xmlHttpRequest(XHR),FetchyForm. Envuelve estos objetos con una capa adicional de código sin alterar sus propiedades originales.Una vez que finaliza el hook, el componente intercepta la respuesta de una solicitud antes de que el código JavaScript de la página la procese. Comprueba si la respuesta es una acción de desafío devuelta por WAF, como una validación de JavaScript o un desafío CAPTCHA.
Si la respuesta proviene del servidor de origen, el componente no ejecuta ninguna acción y la pasa al código JavaScript de su sitio web. Sin embargo, si la respuesta proviene de WAF, el componente analiza el contenido algorítmico de la respuesta, ejecuta el cálculo de JavaScript obligatorio y reenvía la solicitud con una nueva firma de validación. WAF verifica la firma y permite que la solicitud llegue al servidor de origen.
Compatibilidad
Compatibilidad de entorno: el SDK es compatible con navegadores que usan el motor de renderizado de Internet Explorer 8 o posterior, así como con diversos contenedores de cliente.
Dependencia de cookies: las solicitudes del cliente deben poder transportar cookies. La funcionalidad del componente se ve afectada si el contenedor o la solicitud no admiten cookies.
Compatibilidad de hooks: en ciertos escenarios de negocio, los hooks personalizados en objetos nativos XHR, Form o Fetch pueden entrar en conflicto con el componente de respuesta de API asíncrona.
Métodos de integración
Inicie sesión en la consola de Web Application Firewall (WAF) 3.0. En la barra de menús superior, seleccione el resource group y la región (Chinese Mainland o Outside Chinese Mainland) de su instancia de WAF. En el panel de navegación izquierdo, elija y vaya a la pestaña .
Alibaba Cloud ofrece un Web SDK basado en JavaScript para mejorar la protección y resolver problemas de compatibilidad en entornos de navegador. El sistema admite los dos modos de integración a continuación:
Integración automática: se habilita con un solo clic. No es necesario modificar su código de negocio.
Integración manual: recomendada para escenarios que no admiten inyección automática, como aquellos que involucran Function Compute (FC) o Serverless App Engine (SAE). Configure el código manualmente.
Integración automática
En la pestaña WebSDK Integrations, consulte los objetos protegidos que ya se integraron automáticamente. En esta página puede deshabilitar la integración o ajustar el porcentaje de la versión canary.
Después de habilitar la integración automática, el sistema inyecta el SDK de forma automática en las páginas HTML de los objetos protegidos. El SDK recopila información del entorno del navegador, datos de sondeo sobre herramientas maliciosas y registros del comportamiento del usuario (sin incluir información personal confidencial) para mejorar la protección.
El sistema también inserta cookies como
ssxmod_itna,ssxmod_itna2yssxmod_itna3en los encabezados de respuesta HTTP para obtener las huellas digitales del navegador del cliente. La información de huella digital recopilada incluye datos como el campo Host del encabezado HTTP, además de la altura y el ancho de la ventana del navegador.
Integración manual
En la pestaña WebSDK Integrations, haga clic en Obtain SDK dentro de la descripción. Coloque la etiqueta <script> obtenida antes que todas las demás etiquetas <script> de su página para asegurar que se cargue primero.