ボット対策

ボット対策とは、ウェブサービスが自動化されたプロセスによるアクセスを防止するために用いる方法を指します。

研究によると、インターネット上のトラフィックの半分以上はボットの活動であり、そのうちの半分以上はさらに「悪質なボット」に分類される。^{[ 1 ]}

ボットはオンラインでさまざまな目的で使用されています。一部のボットは、たとえば航空会社からフライトの価格や目的地に関する情報を収集するなど、ウェブスクレイピングの目的で受動的に使用されます。スニーカーボットなどの他のボットは、ボットのオペレーターが需要の高い高級品を入手するのを助けます。これらの商品は、一般的に「スキャルピング」として知られる方法で、二次市場でより高い価格で転売されることがあります。^{[ 2 ] [ 3 ] [ 4 ]}

Imperva Bad Bot Report 2025によると、悪質なボットは現在、インターネットトラフィック全体の37%を占めている。^{[ 5 ]}

クライアントが人間ユーザーかボットかを識別するために、さまざまなフィンガープリンティングや行動分析の手法が用いられます。一方、ボットは検出を回避し、サーバーに対して人間のように見せかけるために、さまざまな手法を用います。^{[ 2 ]}

ブラウザフィンガープリンティング技術は、アンチボット保護システムで最も一般的なコンポーネントです。データは通常、クライアント側のJavaScriptを介して収集され、分析のためにアンチボットサービスに送信されます。収集されるデータには、JavaScript APIの結果（特定のAPIが実装され、通常のブラウザから期待される結果を返すかどうかの確認）、複雑なWebGLシーンのレンダリング、およびCanvas APIの使用が含まれます。^{[ 1 ] [ 6 ]} TLSフィンガープリンティング技術は、 SSLハンドシェイク中にサポートされている暗号スイートを分析することによってクライアントを分類します。^{[ 7 ]}これらのフィンガープリントは、既知のブラウザスタックのフィンガープリントを含むホワイトリスト/ブラックリストを作成するために使用できます。 ^{[ 8 ]} 2017年に、SalesforceはTLSフィンガープリンティングライブラリ（JA3）をオープンソース化しました。 ^{[ 9 ]} 2018年8月から9月の間に、Akamaiは検出を回避するためにネットワーク全体でTLS改ざんが大幅に増加していることに気づきました。^{[ 10 ] [ 8 ]}

行動ベースの手法も利用されていますが、指紋認証の手法ほど一般的ではなく、ボットは人間の訪問者とは異なる行動をとるという考えに基づいています。一般的な行動アプローチは、クライアントのマウスの動きを分析し、それが人間の典型的な動きかどうかを判断することです。^{[ 1 ] [ 11 ]}

米国では、ボットの商取引における一部の利用を防止するため、2016年にBetter Online Tickets Sales Act（一般にBOTS Actとして知られる）が可決された。^{[ 18 ]} 1年後、英国はDigital Economy Act 2017で同様の規制を可決した。^{[ 19 ] [ 20 ]}これらの措置の有効性については議論がある。^{[ 21 ]}