JPユーザーエージェントのスプーフィングは、誤解を招くユーザー エージェント値の使用です。 これにより、サーバーは、別のブラウザー、バージョン、オペレーティング システム、デバイス カテゴリ、またはクローラーから送信されたものであるかのようにリクエストを読み取ることができます。
クライアントはユーザー エージェントを提供します。 これは互換性とトラフィック分析に役立ちますが、ID は検証されません。 これを変更しても、指定されたブラウザーまたはデバイスは再作成されません。 ブラウザ エンジン、ネットワーク、Cookie、および動作は分離されたままになります。
ユーザーエージェントとは何ですか?
ユーザー エージェントは、個人向けのサービスまたは自動化されたプロセスと通信するソフトウェアです。 ブラウザはユーザーエージェントです。 検索クローラー、API クライアント、ダウンロード マネージャー、または監視ツールも同様です。 ランダムユーザーエージェント は、ソフトウェアが宣言されたブラウザ ID を選択する 1 つの方法です。
Web クライアントは多くの場合、HTTP User-Agent リクエスト ヘッダーを通じて自身を識別します。 文字列には、いくつかの種類の情報を含めることができます。
- ブラウザまたはソフトウェア製品
- 製品版
- オペレーティング システムまたはプラットフォーム
- モバイルやデスクトップなどのデバイス カテゴリ
- ブラウザ履歴から残された互換性トークン
実際のブラウザ文字列には、他のブラウザの名前が含まれることがよくあります。 Chrome には Safari トークンと AppleWebKit トークンが含まれています。 多くのブラウザも Mozilla で始まります。 これらのトークンが残っているのは、サイトが何十年にもわたってブラウザー固有の決定を行ってきたためです。
現在の HTTP セマンティクス標準 では、リクエストの背後にあるソフトウェアに関する情報として User-Agent フィールドが記述されています。 一般的な用途には、分析、トラブルシューティング、互換性問題の回避策が含まれます。 標準では、このフィールドを認証方法としていません。
ユーザーエージェントのスプーフィングはどのように機能しますか?
ユーザーエージェントのスプーフィングにより、クライアントの主張が変更されます。 基本的な交換は概念的なレベルでは単純です。
- クライアントは、HTTP リクエストで User-Agent 値を提供します。
- サーバーは値を記録または解釈します。
- コンテンツを適応させたり、トラフィックを分類したり、ルールを適用したりする場合があります。
- 他の証拠がその主張を裏付けるか、または矛盾する可能性があります。
ブラウザは、navigator.userAgent およびユーザー エージェント クライアント ヒントを通じて関連情報を公開することもできます。 これらのインターフェイスは重複していますが、同じフィールドではありません。
スプーフィングは、1 つの値または複数の関連する値に影響を与える可能性があります。 それでも、JavaScript の処理、ページの描画、TLS 接続のオープン、またはセッションの保存を行うソフトウェアに代わるものではありません。 リクエストは Safari であると主張しながら、Chromium に適合するブラウザ機能を公開できます。
ユーザーエージェントがなりすましを受けるのはなぜですか?
変更されたすべてのユーザー エージェントが同じ目的を持っているわけではありません。 一部の変更は通常のテストの一部です。 欺瞞や虐待を支持する人もいます。
一般的な許可された使用には次のようなものがあります。
- ブラウザのカテゴリとモバイル コンテンツの選択をテストする
- 互換性の問題を再現する
- 分析またはボット管理ルールの検証
- 承認された自動化またはプライバシー調査の実行
悪用もあります:
- 自動化を一般的なブラウザまたは信頼できるクローラーのように見せる
- UA のみをチェックするルールからボットを非表示にする
- ブラウザ、デバイス、または広告分析を歪める
- 不正なスクレイピングや度重なるアカウント悪用のサポート
文字列だけでは、どの目的が適用されるかを明らかにすることはできません。 承認、リクエスト パターン、アカウント アクティビティ、およびターゲット サービスは、欠落しているコンテキストを提供します。
ユーザーエージェントを変更しても何が変わらないのでしょうか?
ユーザー エージェントはリクエストの一部です。 これはブラウザ環境全体のスイッチではありません。
| 層 | 例 | ユーザーエージェントの変更による影響 |
|---|---|---|
| HTTP ID の主張 | ブラウザ、バージョン、プラットフォーム、クローラー名 | 宣言されたクライアント ID を直接変更します |
| ブラウザの動作 | JavaScript API、レイアウト、機能のサポート | ブラウザエンジンを置き換えるものではありません |
| ブラウザシグナル | 画面、タッチ、フォント、Canvas、WebGL、言語 | これらの値は単独では更新されません |
| プロトコルの動作 | TLS ClientHello、HTTP プロトコル設定 | ネットワークスタックを再構築しません |
| ネットワークコンテキスト | IPアドレス、ASN、プロキシ ルート、DNS | ネットワークソースを変更しません |
| セッションコンテキスト | Cookie、トークン、ログイン履歴 | 新しいセッションを作成しません |
| ユーザーの行動 | ナビゲーション、タイミング、アクション、リクエストレート | 自動化は人間的なものにはならない |
ブラウザー フィンガープリント は、多くの監視可能なプロパティを組み合わせたものです。 ユーザー エージェントは 1 つの入力である可能性がありますが、完全な組み合わせを表すことはできません。
TLSフィンガープリンティング は、HTTP リクエストが処理される前に発生するハンドシェイクを検査します。 UA を編集しても ClientHello は再構築されません。
モバイル ユーザー エージェントもモバイル ネットワーク接続を作成しません。 リクエストは引き続き既存の IP およびネットワーク ルートを使用します。
サイトはどのようにしてなりすましのユーザーエージェントを検出できるのでしょうか?
ユーザー エージェントが本物であることを証明する普遍的なテストはありません。 サイトは、独立した信号間で一致を探すことができます。 複数のレイヤーが同じクライアント ファミリを指している場合、結果はさらに強力になります。
有用なチェックには次のようなものがあります。
- UA とユーザー エージェント クライアント ヒントの比較
- ブラウザ API が申告されているエンジンとバージョンに一致するかを確認する
- プラットフォームの主張を画面、タッチ、言語、グラフィックス信号と比較する
- TLS と HTTP の動作が主張されているブラウザ ファミリに適合するかどうかを確認する
- クライアントが既知のサービスを要求する場合の IP、ASN、およびネットワーク履歴の確認
- セッションの継続性、リクエスト率、アカウントの動作を確認する
一部のチェックは他のチェックよりも信頼性が高くなります。 まれな文字列はなりすましの証拠にはなりません。 一般的な Chrome 文字列は、実際の Chrome ユーザーであることを証明するものではありません。 埋め込み Web ビュー、エンタープライズ ソフトウェア、プライバシー ツール、ブラウザの更新はすべて、異常な結果を引き起こす可能性があります。
最新の ボットの検出 は、ユーザー エージェントを判定として扱いません。 この値を 1 つの入力として使用し、応答を不確実性のレベルに合わせます。
実際的な対応としては、次のようなものが考えられます。
- 低リスクのトラフィックを許可または監視します。
- 機密性の高い行為については、より強力な検証を求めます。
- 動作リスクが生じる場合は、レート制限を適用します。
- 複数のシグナルが決定をサポートする場合は、セッションを確認または制限します。
ユーザーエージェントはクローラーの身元を証明できますか?
いいえ。 どのクライアントも、ユーザー エージェントでクローラー名を要求できます。 おなじみのボット トークンはラベルであり、リクエストが指定された会社からのものであることを証明するものではありません。
Google は、Googlebot ドキュメント でこの境界を明確にしています。 サイト所有者は、公開された IP 範囲または正方向および逆方向の DNS チェックを通じて Googlebot を検証できます。 ユーザー エージェントは、リクエストが何であるかを特定するのに役立ちます。 独立したネットワーク チェックは、その主張をテストするのに役立ちます。
他のクローラは、IP リスト、署名付きリクエスト メソッド、または強力な検証オプションを公開しない場合があります。 サイトは各クローラーのドキュメントに従う必要があります。
ユーザーエージェントの削減とクライアントのヒント
従来の UA 文字列は、ブラウザーが互換性トークンとプラットフォームの詳細を追加し続けたため、長くなっていました。 彼らはまた、指紋採取に寄与する可能性のある情報も暴露しました。
Chromium では、デフォルトの文字列で送信される詳細を制限するためにユーザー エージェントの削減が導入されました。 いくつかのケースでは、ブラウザーとオペレーティング システムの情報が具体的ではなくなりました。 選択された詳細が必要なサイトは、ユーザー エージェント クライアント ヒントをリクエストできます。
クライアント ヒントは、古い UA 文字列よりも構造化されています。 ブラウザのブランド、プラットフォーム情報、モバイルのステータス、選択したバージョンの詳細をレポートできます。 より詳細なヒントは、サーバー要求、安全な接続、ブラウザーのポリシーによって異なります。
これでは、クライアント ヒントが検証された ID にはなりません。 これらはクライアントが提供したコンテキストのままであり、リスクが重要な場合には独立した証拠と照合する必要があります。
開発者は、ブラウザの識別がそもそも必要かどうかも尋ねる必要があります。 機能検出 は、多くの場合、Web 互換性の観点からより安全です。 製品名から推測するのではなく、ブラウザーが必要な機能をサポートしているかどうかを確認します。
ユーザーエージェントのスプーフィング と関連用語
| 用語 | 主な質問 | UAスプーフィングとの関係 |
|---|---|---|
| ユーザーエージェントローテーション | クライアントは時間の経過とともに UA 値を変更しますか | ローテーションは目的ではなく変更頻度を表します |
| UAのスニッフィング | サイトは UA を解析してブラウザまたはデバイスを推測しますか | 主張を変えるのではなく、それを守る |
| ブラウザのフィンガープリンティング | サイトはブラウザとデバイスの信号を組み合わせていますか | UA分野よりも広い |
| ブラウザの指紋スプーフィング | いくつかのブラウザシグナルが変更されていますか | UA、Canvas、WebGL、またはその他の値が含まれる場合があります。 |
| デバイスのスプーフィング | デバイス関連の信号は誤って伝えられていますか | これはより広範なウェブとモバイルの概念です |
| デバイスエミュレーション | ソフトウェアは別のデバイス環境を再現しますか | エミュレータは正直に宣言することも、スプーフィングの一部として使用することもできます |
| クローラーのなりすまし | クライアントは名前付きボットであると主張していますか | UA スプーフィングはその主張を行う 1 つの方法です |
| IPスプーフィング | パケットの送信元アドレスは偽造されていますか | ネットワーク層の概念が異なります |
デバイスのスプーフィング には、位置情報、アプリ ID、オペレーティング システムの状態、または整合性の証拠が含まれる可能性があります。 ユーザーエージェントのスプーフィング はより範囲が狭く、宣言された UA ID に焦点を当てています。
Androidエミュレータは、モバイル環境をソフトウェアで再現します。 自動的にスプーフィングされたデバイスになるわけではありません。 エミュレーションは、環境がどのように実行されるかを記述します。 スプーフィングとは、それが何であるかを説明します。
制限、プライバシー、および誤検知
ユーザー エージェント分析は、粗い信号として最適に機能します。 互換性、分析、リスク評価をサポートできます。 システムが身元証明を要求すると、信頼性が低くなります。
ルールが 1 つの完璧なブラウザー パターンを期待している場合、誤検知がよく発生します。 正規のトラフィックは次の場所から送信される可能性があります。
- アプリ内ブラウザと埋め込みブラウザ
- プライバシー重視のブラウザ
- アクセシビリティとエンタープライズ ソフトウェア
- 古いデバイスとレガシー アプリケーション
- 自動化された QA および監視システム
- UA情報が削減されたブラウザ
サイトは、リクエストが異議申し立てまたは制限された理由を記録する必要があります。 デリケートな決定には回復パスが必要です。 チームは、UA と指紋データの保存期間も制限する必要があります。
一貫したユーザー エージェントはクライアントの要求をサポートします。 一貫性のないものはその主張を弱めます。 どちらの結果も、ユーザーが誰であるか、またはユーザーが何をしようとしているのかを証明するものではありません。
重要なポイント
- ユーザーエージェントのスプーフィングにより、宣言されたクライアント ID が変更されます。
- ユーザー エージェントは認証ではなくメタデータです。
- これを変更しても、IP、TLS スタック、Cookie、ブラウザ エンジン、または動作は変更されません。
- 認可されたテストと不正な自動化では、同様の UA 値が使用される可能性があります。
- 検出は、ブラウザ、プロトコル、ネットワーク、セッション、および行動の証拠が一致する場合に最適に機能します。
- クライアント ヒントは構造を改善しますが、クライアントが提供したデータを証拠に変えるわけではありません。
- 不一致がある場合は、自動的に不正と判断されるのではなく、慎重な対応が必要です。
ユーザーエージェントのスプーフィングに関するよくある質問
ユーザーエージェントのスプーフィングとは簡単に言うと何ですか?
ユーザーエージェントのスプーフィングとは、クライアントを別のブラウザ、オペレーティング システム、デバイス カテゴリ、またはクローラーとして説明するユーザー エージェント値を送信することを意味します。 要求の背後にあるソフトウェアやデバイスではなく、要求が変更されます。
Web サイトはなりすましのユーザー エージェントを検出できますか?
Web サイトは、UA をクライアント ヒント、ブラウザーの機能、TLS の動作、ネットワーク コンテキスト、およびセッション アクティビティと比較できます。 これらのチェックでは証拠が得られますが、確実性は得られません。 プライバシー ツールや珍しいクライアントによっても不一致が生じる可能性があります。
ユーザー エージェントを変更すると、IPアドレス も変わりますか?
いいえ。 ユーザー エージェントは HTTP 値ですが、IPアドレス はネットワーク パスに属します。 UA を変更しても、接続、ASN、DNS の動作、プロキシ ルートは変更されません。
ユーザーエージェントはブラウザの指紋と同じですか?
いいえ。 User-Agent は、ブラウザーが提供する値の 1 つです。 ブラウザーのフィンガープリントは、画面のプロパティ、フォント、Canvas、WebGL、言語、タイムゾーン、その他の信号を組み合わせたものです。 UA が変更された後も認識可能なままになる場合があります。
ユーザーエージェントのスプーフィングはデバイスのスプーフィングと同じですか?
いいえ。 ユーザーエージェントのスプーフィングは、宣言されたクライアント値に関係します。 デバイスのスプーフィングはより広範囲に及び、ブラウザのプロパティ、モバイル識別子、場所、オペレーティング システムの状態、または整合性の証拠が含まれる場合があります。
ユーザーエージェントは、リクエストが Googlebot からのものであることを証明できますか?
いいえ。 他のクライアントは Googlebot ユーザー エージェントをコピーできます。 Google では、公開されている IP 範囲を確認するか、フォワードおよびリバース DNS 検証を使用することを推奨しています。 他のクローラーは異なる方法を使用する場合があります。
開発者はブラウザの検出にユーザー エージェントを使用する必要がありますか?
明確なニーズと信頼できるフォールバックがある場合のみ。 必要な機能をテストするため、通常は機能検出の方が優れています。 ブラウザーが情報を減らしたり、互換性トークンを追加したりすると、UA 解析が中断される可能性があります。
ユーザーエージェントのスプーフィングは違法ですか?
それは認可、目的、ウェブサイトの利用規約、および適用される法律によって異なります。 承認された互換性テストは、信頼されたクローラーになりすまして不正アクセスを取得することとは異なります。 技術的な行為だけで法的結果が決まるわけではありません。
