Proč je boj s boty a scrapery v segmentu adult/seznamky specifický
Platformy s obsahem pro dospělé a seznamky jsou pro boty a scrapery nesmírně atraktivní. Důvody: vysoká komerční hodnota dat (fotografie, profily, preference), možnost spamovat a podvádět (romance scam, phishing) i zneužití k šíření škodlivého obsahu. Absolutní ochrana neexistuje; cílem je snížit míru úspěchu útočníka, zvýšit jeho náklady a omezit dopad. Tento článek nabízí praktický, technicko-operační rámec, akceptující limity a nastavující reálná očekávání.
Model hrozeb: kdo je útočník a co chce
- Data scraperi: automatizované sbírání profilů, fotografií, cen či recenzí za účelem přeprodeje a klonování stránek.
- Spam-boti a sockpuppeti: registrace za účelem šíření odkazů, prodeje „prémiových“ chatů, podvodů a malware.
- LLM-pohánění boti: syntetická konverzace v přímých zprávách (DM), sociální inženýrství, deepfake profilové texty a obrázky.
- Competitor scraping: systematické stahování katalogů a cen, získávání kreativních materiálů.
- Fraud a abusing: farmy plnící CAPTCHA, kradené platební karty, pokusy o credential stuffing.
Limity: co je potřeba přijmout dříve, než začnete navrhovat obranu
- Rezidenční proxy a mobilní ASN: IP reputace je méně účinná, pokud útočník rotuje mezi legitimními doménami/ASN.
- Headless prohlížeče a „anti-detect“: moderní nástroje maskují svoje chování jako plnohodnotný prohlížeč; detekce je pravděpodobnostní.
- Human-in-the-loop: farmy uživatelů zvládnou vyplnit CAPTCHA, ověřit telefon/email; čistý „robotický“ vzor zmizí.
- LLM generování: text a „small talk“ procházejí jednoduchými obsahovými filtry; vyžaduje behaviorální a grafovou analýzu.
- Falešné pozitiva: přísná pravidla mohou poškodit legitímní platící – reputační a obchodní riziko.
Strategický cíl: posun ekonomiky útoku
Místo „zastavit vše“ definujte KPI, které zvýší náklady útočníka a sníží škody:
- Time-to-ban (od registrace po blokaci bota).
- Abuse throughput (počet škodlivých DM na 1 000 relací).
- Leakage cost (čas/náklady na získání 1 000 profilů).
- User friction budget (kolik překážek snese legitimní uživatel bez odchodu).
Vícevrstvá architektura: signály klienta, sítě a chování
- Síťová vrstva: WAF, geofencing (pokud relevantní), token bucket rate limiting (globálně, per-IP, per-ASN, per-endpoint), TLS/JA3/JARM otisky, HTTP/2/3 anomálie.
- Klientská vrstva: browser fingerprinting (opatrně vůči soukromí), integrita běhu (detekce headless, WebDriver, nereálná rozlišení/frekvence), anti-automation senzory (časování událostí, pohyb myši).
- Identitní vrstva: validace e-mailových domén (dočasné/jednorázové), HLR/LRN pro telefonní čísla, reputace platební metody, WebAuthn/Passkeys pro zvýšení nákladů na masové účty.
- Behaviorální vrstva: rychlosti a sekvence kroků, graf interakcí (DM, follow, „like“), detekce podezřelých klastrů.
- Obsahová vrstva: NLP klasifikace chatů (sexuální služby, scamy), obrazové signály (hashing/duplikace, NSFW specifika), per-user watermarking pro úniky.
CAPTCHA a výzvy: kde mají smysl a kde škodí
- Progresivní výzvy: spouštějte až po rizikovém skóre; nízké riziko = žádná výzva, střední = tichá, vysoké = viditelná.
- Měňte typy: vizuální, audiální, logické; rotace snižuje efektivitu farem.
- Limity: farmy lidí a CAPTCHA solving API dramaticky snižují účinnost; výzvy jsou pouze „speed bump“.
Private Access Tokens a certifikace zařízení
- Private Access Tokens (ex-Privacy Pass): odlehčují legitimní prohlížeče bez tracking cookies; soukromí přátelský signál „lidského“ klienta.
- OS/Store certifikace (Android Play Integrity, Apple DeviceCheck): zvyšuje cenu pro farmy emulátorů; nevhodné pro „tvrdé“ blokace, spíše jako součást skóre.
Rate limiting a spravedlivé kvóty: není vše „per IP“
- Per-journey limity: samostatné tokeny pro registraci, přihlášení, vyhledávání, prohlížení fotografií, posílání DM.
- Adaptive throttling: zpřísnění limitů během anomálií (výkyvy v čase, nová série ASN, náhlé bursty na citlivých endpointech).
- Soft vs. hard fails: při soft limitu zobrazte méně výsledků nebo zpomalte odpověď (tarpitting), ne vždy 403.
Scraping: od prevence k atribuci a odrazení
- Staggered reveal: zobrazit menší náhled, plná kvalita až po akci uživatele (scroll, čas, interakce).
- Per-session watermarking: nenápadné pixely/šum nebo variace rozložení; při úniku identifikujete zdroj (pozor na soukromí a právní aspekty).
- Honeytokens: uměle vložené „návnady“ (falešné profily/URL) detekují a blokují scraperové toky.
- Polite vs. outlaw scrapers: robots.txt chrání pouze slušné; ochranu stavějte na verifikovatelných signálech, ne na deklaracích.
Onboarding s nízkým frikčním efektem a vysokými náklady pro útočníky
- Postupná verifikace: první kroky bez bariér, citlivé akce (DM s přílohou, hromadné zprávy) až po dodatečných signálech důvěry.
- „Speed bumps“: zpomalení některých akcí nově vytvořeným účtem (rate limit podle věku účtu).
- Ekonomické brzdy: levné, ale ne nulové poplatky za rizikové akce (např. mikropoplatek/kolaterál v interních kreditech), s ohledem na pravidla a dostupnost.
Detekce LLM-botů: více než jen „AI text“
- Konverzační vzory: extrémní konzistence stylu, nadprůměrně dlouhé odpovědi v nočních hodinách, absence přestávek v odpovědích.
- Grafová analýza: vysoká provázanost nových účtů, opakované DM na specifické demografické skupiny.
- Semantické šablony: identický „hook“ v první zprávě, sdílené větné struktury; deduplikace přes shingling/embeddingy.
- Human feedback loop: efektivní hlášení v uživatelském rozhraní, mírné sankce za „false alert“ u legitimních uživatelů.
Observabilita a incident response
- Telemetrie na okraji: percentilové latence, chybovost podle ASN/Geo, anomální špičky per-endpoint.
- Playbooky: škálování výzev, dočasný strict mode, bloky na úrovni IP/ASN/User-Agent/JA3, rollback kritéria.
- Forenzní stopa: podepsané logy, minimální retence podle zásad ochrany soukromí, chain-of-custody při právních krocích.
Vyvažování soukromí a ochrany: co měřit a co ne
- Minimalizace dat: vyhýbejte se nadbytečným identifikátorům; fingerprinty a biometrie jen tam, kde jsou nezbytné a zdůvodněné.
- Transparentnost: dokumentujte, jaké signály používáte, proč a jak jsou aplikovány vůči uživatelům.
- Etické mantinely: žádné „doxxing zpět“, žádné odhalování soukromých informací útočníků.
Anti-abuse pro DM, chat a média
- Rate limits a cooldown pro první DM, strojové učení pro detekci vzorů „link-drop“.
- Media scanning (hashing/NSFW/CSAM prevence), blokování známých škodlivých URL domén a zkracovačů.
- „Reply gating“: přísnější pravidla pro DM od nových účtů (např. jen po reciprocitě nebo po schválení).
Edge a CDN: posun obrany blíže k útočníkovi
- Edge rules: dynamické výzvy podle ASN/Geo/JA3 už na CDN; odlehčení originálního serveru.
- Tokenizované assety: krátkodobě platné URL pro média, podepsané odkazy, per-session variace.
- Tarpitting: zpomalování podezřelých scraperů místo okamžitého odmítnutí (zvyšuje jejich náklady).
Právní a provozní opatření (bez poradenství)
- Podmínky užívání s výslovným zákazem scrapingu, automatizace a opětovného nahrávání; zjednodušené hlášení porušení.
- DMCA/notice-and-takedown a hash databáze pro rychlou reakci proti klonům obsahu.
- Vendor due diligence: pokud outsourcujete moderaci/analytiku, požadujte bezpečnostní standardy a minimální přístup k datům.
Měření úspěchu: technické i produktové KPI
| KPI | Definice | Cíl/Interpretace |
|---|---|---|
| Bot prevalence | % nových účtů označených a potvrzených jako bot | Klesající trend při stabilní registraci legitimních uživatelů |
| Median time-to-ban | Čas od registrace po blokaci | < 30 min pro masové spamery, < 24 h pro sofistikované |
| FPR/FNR | False positive/negative rate | Balanc podle segmentu; FPR < 0,5 % u platících členů |
| Leakage rate | Odhad objemu exportovaných profilů/fotografií | Pokles po zavedení watermarkingu a tokenizovaných assetů |
| User friction | Počet výzev/CAPTCHA na 100 relací | Stabilní nebo klesající při stejné úrovni bezpečnosti |
Provozní „playbook“: krok za krokem
- Mapujte útokové plochy (endpoints, assety, DM, vyhledávání) a přiřaďte rizikové skóre.
- Zaveďte škálovatelné limity (per-IP/ASN/account/endpoint) a progresivní výzvy.
- Nasazujte signály (TLS/JA3, fingerprint, behaviorální metriky) do jednotného risk scorera.
- Automatizujte zásahy (tarpit, throttle, výzva, blok, eskalace na člověka).
- Monitorujte a iterujte (A/B test výzev, cost-to-attack, dopad na konverzi legitimních uživatelů).
- Post-incident: atribuce útočníka (ASN, návnady), aktualizace pravidel, právní kroky, pokud je třeba.
Reálná očekávání pro stakeholdery
- Zero-bot je mýtus: procento botů nikdy neklesne na nulu; pokud dramaticky klesne, často je cena ve vysokém FPR.
- Scraping se nezastaví, jen zpomalí: cílem je snížit kvalitu a rychlost sběru dat a zlepšit atribuci úniků.
- Bezpečnost je produktová disciplína: úspěch se měří v rovnováze – ochrana, konverze, UX a soukromí.
- Neustálá adaptace: útočníci kopírují obranu; plánujte rozpočet a cyklus změn.
Checklist minimální účinné obrany (MVP)
- WAF + adaptivní rate limiting per-endpoint a per-journey.
- Risk scoring z více signálů (IP/ASN, klient, chování, obsah).
- Progresivní výzvy (včetně Private Access Tokens, kde je to možné).
- Tokenizované assety + per-session watermarking pro citlivá média.
- Onboarding s „speed bumps“ a gating na citlivé akce.
- Grafová a obsahová detekce pro DM, s jednoduchým hlášením v uživatelském rozhraní.
- Incident playbook, podepsané logy, metriky FPR/FNR a TtB.
Realistická, vrstvená a etická obrana
Ochrana před boty a scrapery v adult/seznamkovém světě je maraton, nikoliv sprint. Vyžaduje
