Самый ранний рубеж — на уровне соединения, ещё до исполнения JS. Здесь антифрод смотрит не на поведение, а на происхождение запроса: откуда он пришёл и можно ли доверять источнику. Оценивается тип адреса и репутация подсети, а также согласованность IP с таймзоной и языком. Отдельно — WebRTC/STUN: он вскрывает реальный адрес за NAT, поэтому попытка спрятаться за прокси видна как рассинхрон реального и заявленного IP.

Ваши данныеВаш реальный IP и примерная геолокация, ваш интернет-провайдер. WebRTC способен раскрыть настоящий адрес даже при включённом VPN.

Способ узнать устройство даже без кук. Скрипт снимает десятки признаков — экран, GPU, canvas, аудио, набор шрифтов, сенсоры, локаль — и сворачивает их в единый хеш. Антифрод сравнивает этот отпечаток со своей базой, и важна не только уникальность, но и внутренняя непротиворечивость: реальные устройства согласованы между собой, а эмуляция часто противоречит сама себе (например, GPU говорит одно, а платформа — другое).

Ваши данныеПочти уникальный «слепок» вашего устройства (экран, видеокарта, шрифты, звук). Позволяет узнавать вас между сайтами и в инкогнито — вообще без кук.

Проверки уже внутри запущенного браузера: ищутся следы, которые оставляют фреймворки автоматизации (WebDriver, Selenium, headless). Ключевая деталь — вердикт не бинарный: скрипт выставляет уровень подозрительности, который дальше складывается с остальными слоями, а не сразу блокирует.

Ваши данныеВ основном технические свойства браузера, а не персональные данные. Для живого человека приватного следа почти не оставляет.

Насколько сессия узнаваема и «обжита»: есть ли история, устойчивое состояние в хранилищах и связи с внешним id-графом через синхронизацию кук с партнёрами. Свежий профиль без истории и связей вызывает меньше доверия, чем аккаунт с прошлым.

Ваши данныеВаши идентификаторы и связи с сервисами-партнёрами. Именно здесь поисковое поведение сшивается в общий профиль о вас.

Поведение оценивается на естественность: значим не факт клика, а то, как человек к нему шёл — траектория курсора, паузы «прочтения», глубина и характер скролла. Скрипт способен записывать сессию целиком (session replay), маскируя чувствительные поля. Идеально ровные тайминги и прямые «телепортные» траектории выдают автоматику.

Ваши данныеКак вы двигаете мышью, листаете и читаете. Запись сессии фиксирует ваши действия на странице — пароли и данные карт при этом маскируются.

Ядро поведенческих факторов. Клик логируется через редирект с привязкой к запросу и позиции. Но вес клика определяется тем, что происходит дальше: быстрый возврат в выдачу (pogosticking) обесценивает его, а завершение сессии на результате читается как удовлетворённость. Аномальный CTR относительно ожидаемого для позиции — отдельный сильный сигнал.

Ваши данныеЧто вы искали, по какому результату кликнули и насколько он вас устроил — то есть ваши интересы и намерения.

Антифрод смотрит не только на отдельный клик, но и на форму всей сессии. Живой поиск имеет контекст: уточнения, разные формулировки, переходы. Массовые заходы по одному идеально точному ключу без вариаций и «плоские» сессии без предыстории — характерный машинный паттерн.

Ваши данныеТексты ваших запросов и логика поиска — прямое отражение того, что вам интересно прямо сейчас.

Даже безупречная отдельная сессия проявляется на массе — здесь работает статистика. Всплески объёма по запросу или URL, общий «почерк» у множества сессий, неестественная форма CTR-кривой и эффекты, которые не закрепляются во времени, видны только в агрегате и часто приводят к откату.

Ваши данныеВаше поведение в сравнении с массой и во времени. Отдельные записи обезличены, но общий паттерн всё равно различим.

Где собирается итоговый вердикт и как гарантируется доставка сигнала. Отдельно стоит PoW (proof-of-work): вместо прямого бана подозрительная сессия получает вычислительную задачу, и чем выше подозрительность — тем она тяжелее. Это переносит нагрузку на клиент и бьёт по массовой автоматике не баном, а стоимостью.

Ваши данныеПередачу собранного на серверы Яндекса. Proof-of-work вдобавок расходует ресурсы вашего процессора.

Вместе они закрывают больше, чем каждый по отдельности: один смотрит на поведение, другой — на подлинность.

1. Сетевой детект не заканчивается на IP соединения. WebRTC/STUN вскрывает реальный адрес за NAT — VPN/прокси ловятся по рассинхрону, а не только по репутации подсети.
2. Фингерпринт глубже, чем hidv2/gpu-get. Powaas добавляет аудио, canvas-2D, энумерацию шрифтов, сенсоры и согласованность локали — и сворачивает всё в единый хеш. Устройство опознаётся плотнее и без кук.
3. Появляется активная защита, а не только пассивные измерения. Proof-of-work заставляет клиент считать: цена одной сессии растёт, что бьёт по массовости напрямую.