RUПодмена пользовательского агента – это использование вводящего в заблуждение значения пользовательского агента. Он заставляет сервер читать запрос так, как если бы он пришел из другого браузера, версии, операционной системы, категории устройств или сканера.
Клиент предоставляет User-Agent. Это помогает с совместимостью и анализом трафика, но не проверяет личность. Его изменение не приводит к воссозданию именованного браузера или устройства. Механизм браузера, сеть, файлы cookie и поведение остаются отдельными.
Что такое пользовательский агент?
Пользовательский агент — это программное обеспечение, которое взаимодействует со службой для человека или автоматизированного процесса. Браузер — это пользовательский агент. То же самое относится и к поисковому роботу, API-клиенту, менеджеру загрузок или инструменту мониторинга. Случайный пользовательский агент — это один из способов, с помощью которого программное обеспечение может выбрать заявленный идентификатор браузера.
Веб-клиенты часто идентифицируют себя через заголовок запроса HTTP User-Agent. Строка может содержать несколько типов информации:
- Браузер или программный продукт
- Версия продукта
- Операционная система или платформа
- Категория устройства, например мобильное или настольное.
- Токены совместимости, оставшиеся из истории браузера
Реальные строки браузера часто содержат имена из других браузеров. Chrome включает токены Safari и AppleWebKit. Многие браузеры также начинаются с Mozilla. Эти токены остаются, потому что сайты десятилетиями принимали решения, специфичные для браузера.
Текущий стандарт семантики HTTP описывает поле User-Agent как информацию о программном обеспечении, лежащем в основе запроса. Обычное использование включает аналитику, устранение неполадок и обходные пути проблем совместимости. Стандарт не делает это поле методом аутентификации.
Как работает Подмена пользовательского агента?
Подмена пользовательского агента меняет то, что утверждает клиент. Базовый обмен прост на концептуальном уровне.
- Клиент предоставляет значение User-Agent с помощью HTTP-запроса.
- Сервер записывает или интерпретирует значение.
- Он может адаптировать контент, классифицировать трафик или применить правило.
- Другие доказательства могут поддерживать или опровергать утверждение.
Браузер также может предоставлять соответствующую информацию через navigator.userAgent и клиентские подсказки User-Agent. Эти интерфейсы перекрываются, но это не одно и то же поле.
Подмена может повлиять на одно значение или несколько связанных значений. Даже в этом случае он не заменяет программное обеспечение, которое обрабатывает JavaScript, рисует страницу, открывает TLS-соединение или сохраняет сеанс. Запрос может претендовать на то, что это Safari, но при этом предоставлять функции браузера, соответствующие Chromium.
Почему пользовательские агенты подделываются?
Не каждый измененный User-Agent имеет одну и ту же цель. Некоторые изменения являются частью обычного тестирования. Другие поддерживают обман или злоупотребления.
Общие разрешенные виды использования включают:
- Тестирование категорий браузера и выбора мобильного контента
- Воспроизведение проблемы совместимости
- Проверка правил аналитики или управления ботами
- Проведение утвержденных исследований в области автоматизации или конфиденциальности.
Встречаются и злоупотребления:
- Сделать автоматизацию похожей на обычный браузер или доверенный сканер.
- Скрытие бота из правила, которое проверяет только UA
- Искажение аналитики браузера, устройства или рекламы
- Поддержка несанкционированного парсинга или неоднократного злоупотребления учетной записью
Сама по себе строка не может указать, какая цель применяется. Авторизация, шаблоны запросов, активность учетной записи и целевая служба предоставляют недостающий контекст.
Что не меняет смена пользовательского агента?
Пользовательский агент — это одна часть запроса. Это не переключатель для всей среды браузера.
| Слой | Примеры | Эффект от изменения User-Agent |
|---|---|---|
| Заявление об идентификации HTTP | Браузер, версия, платформа, имя сканера | Непосредственно изменяет заявленную личность клиента. |
| Поведение браузера | API JavaScript, макет, поддержка функций | Не заменяет движок браузера |
| Сигналы браузера | Экран, сенсорный экран, шрифты, Canvas, WebGL, язык | Не обновляет эти значения самостоятельно |
| Поведение протокола | TLS ClientHello, настройки протокола HTTP | Не перестраивает сетевой стек |
| Сетевой контекст | IP-адрес, ASN, маршрут прокси, DNS | Не меняет сетевой источник |
| Контекст сеанса | Файлы cookie, токены, история входов | Не создает новую сессию |
| Поведение пользователя | Навигация, время, действия, частота запросов | Не делает автоматизацию человечной |
отпечаток браузера сочетает в себе множество наблюдаемых свойств. User-Agent может быть одним входом, но он не может представлять полную комбинацию.
TLS-фингерпринтинг проверяет рукопожатие, которое происходит перед обработкой HTTP-запроса. Редактирование UA не приводит к пересозданию ClientHello.
Мобильный пользовательский агент также не создает подключение к мобильной сети. Запрос по-прежнему использует существующий IP-адрес и сетевой маршрут.
Как сайты могут обнаружить поддельный пользовательский агент?
Не существует универсального теста, подтверждающего подлинность User-Agent. Сайт может искать согласие между независимыми сигналами. Результат будет сильнее, если несколько уровней указывают на одно и то же семейство клиентов.
Полезные проверки включают в себя:
- Сравнение UA с подсказками клиента User-Agent
- Проверка соответствия API браузера заявленному движку и версии.
- Сравнение заявления о платформе с экранными, сенсорными, языковыми и графическими сигналами.
- Проверка соответствия поведения TLS и HTTP заявленному семейству браузеров.
- Проверка IP, ASN и истории сети, когда клиент запрашивает известную услугу.
- Анализ непрерывности сеанса, частоты запросов и поведения учетной записи.
Некоторые проверки более надежны, чем другие. Редкая строка не является доказательством подделки. Общая строка Chrome не является доказательством реального пользователя Chrome. Встроенные веб-просмотры, корпоративное программное обеспечение, инструменты обеспечения конфиденциальности и обновления браузера — все это может привести к необычным результатам.
Современное Обнаружение ботов не рассматривает User-Agent как приговор. Он использует значение в качестве одного из входных данных, а затем сопоставляет ответ с уровнем неопределенности.
Практический ответ может заключаться в следующем:
- Разрешите или наблюдайте за движением с низким уровнем риска.
- Попросите более строгую проверку конфиденциального действия.
- Применяйте ограничение ставки, когда поведение создает операционный риск.
- Пересмотрите или ограничьте сеанс, когда несколько сигналов подтверждают решение.
Может ли пользовательский агент подтвердить личность сканера?
Нет. Любой клиент может запросить имя сканера в своем User-Agent. Знакомый токен бота — это метка, а не доказательство того, что запрос поступил от названной компании.
Google четко разъясняет эту границу в своей документации Googlebot. Владельцы сайтов могут проверить робота Googlebot с помощью опубликованных диапазонов IP-адресов или прямой и обратной проверки DNS. Пользовательский агент помогает определить, что представляет собой запрос. Независимая проверка сети помогает проверить это утверждение.
Другие сканеры могут публиковать списки IP-адресов, методы подписанных запросов или отсутствие возможности строгой проверки. Сайты должны следовать документации каждого сканера.
Сокращение информации в строке User-Agent и подсказки для клиентов
Традиционные строки UA стали длинными, поскольку браузеры продолжали добавлять токены совместимости и сведения о платформе. Они также раскрыли информацию, которая могла способствовать снятию отпечатков пальцев.
В Chromium введено сокращение User-Agent, чтобы ограничить детализацию, передаваемую в строке по умолчанию. В некоторых случаях информация о браузере и операционной системе стала менее конкретной. Сайты, которым необходимы выбранные сведения, могут запрашивать подсказки клиента User-Agent.
Клиентские подсказки более структурированы, чем старая строка UA. Они могут сообщать о брендах браузеров, информации о платформе, статусе мобильного устройства и деталях выбранной версии. Более подробные подсказки могут зависеть от запроса сервера, безопасного соединения и политики браузера.
Это не означает, что Client Hints подтверждает личность. Они остаются контекстом, предоставленным клиентом, и их следует проверять на основе независимых доказательств, когда риск имеет значение.
Разработчикам также следует спросить, нужна ли вообще идентификация браузера. Обнаружение функций зачастую безопаснее с точки зрения веб-совместимости. Он проверяет, поддерживает ли браузер требуемую возможность, вместо того, чтобы гадать по названию продукта.
Подмена пользовательского агента и связанные термины
| Термин | Главный вопрос | Связь с подделкой UA |
|---|---|---|
| Ротация пользовательских агентов | Изменяет ли клиент значения UA со временем? | Ротация описывает частоту изменений, а не цель |
| UA нюхает | Анализирует ли сайт UA, чтобы определить браузер или устройство? | Он наблюдает за утверждением, а не изменяет его. |
| Фингерпринтинг браузера | Объединяет ли сайт сигналы браузера и устройства? | Это шире, чем область UA |
| Браузер Подмена отпечатков пальцев | Изменяются ли несколько сигналов браузера | Он может включать UA, Canvas, WebGL или другие значения. |
| Подмена устройства | Не искажаются ли сигналы, связанные с устройством? | Это более широкая концепция Интернета и мобильных устройств. |
| Эмуляция устройства | Воспроизводит ли программное обеспечение среду другого устройства? | Эмулятор можно задекларировать честно или использовать в рамках спуфинга. |
| Олицетворение сканера | Клиент утверждает, что является именованным ботом | Подмена UA — один из способов заявить об этом |
| IP-подмена | Подделан ли адрес источника пакета? | Это другая концепция сетевого уровня. |
Подмена устройства может включать местоположение, идентификаторы приложений, состояние операционной системы или доказательства целостности. Подмена пользовательского агента более узкая и фокусируется на заявленной идентичности UA.
Android-эмулятор воспроизводит мобильную среду в программном обеспечении. Это не автоматически поддельное устройство. Эмуляция описывает, как работает среда. Спуфинг описывает то, за что он выдает себя.
Ограничения, конфиденциальность и ложные срабатывания
Анализ пользовательского агента лучше всего работает в качестве грубого сигнала. Он может поддерживать совместимость, аналитику и оценку рисков. Он становится ненадежным, когда система запрашивает подтверждение личности.
Ложные срабатывания распространены, когда правила ожидают одного идеального шаблона браузера. Легальный трафик может исходить от:
- В приложении и встроенные браузеры
- Браузеры, ориентированные на конфиденциальность
- Доступность и корпоративное программное обеспечение
- Старые устройства и устаревшие приложения
- Автоматизированные системы контроля качества и мониторинга
- Браузеры с уменьшенной информацией UA
Сайты должны фиксировать, почему запрос был оспорен или ограничен. Чувствительные решения требуют пути восстановления. Команды также должны ограничить продолжительность хранения данных UA и отпечатков пальцев.
Последовательный пользовательский агент поддерживает утверждение клиента. Непоследовательность ослабляет это утверждение. Ни один из результатов не доказывает, кем является пользователь и что он собирается делать.
Ключевые выводы
- Подмена пользовательского агента изменяет заявленную идентификацию клиента.
- User-Agent — это метаданные, а не аутентификация.
- Его изменение не меняет IP-адрес, стек TLS, файлы cookie, механизм браузера или поведение.
- Авторизованное тестирование и неправомерная автоматизация могут использовать схожие значения UA.
- Обнаружение работает лучше всего, когда браузер, протокол, сеть, сеанс и поведенческие данные совпадают.
- Клиентские подсказки улучшают структуру, но не превращают предоставленные клиентом данные в доказательство.
- Несоответствие должно привести к взвешенному ответу, а не к автоматическому вердикту о мошенничестве.
Подмена пользовательского агента Часто задаваемые вопросы
Что такое Подмена пользовательского агента простыми словами?
Подмена пользовательского агента означает отправку значения User-Agent, которое описывает клиента как другой браузер, операционную систему, категорию устройства или сканер. Это меняет заявку, а не программное обеспечение или устройство, лежащее в основе запроса.
Могут ли веб-сайты обнаружить поддельный User-Agent?
Веб-сайты могут сравнивать UA с подсказками клиента, возможностями браузера, поведением TLS, сетевым контекстом и активностью сеанса. Эти проверки дают доказательства, а не уверенность. Инструменты конфиденциальности и необычные клиенты также могут создавать несоответствия.
Изменяет ли смена User-Agent ваш IP-адрес?
Нет. User-Agent — это значение HTTP, а IP-адрес принадлежит сетевому пути. Изменение UA не меняет соединение, ASN, поведение DNS или маршрут прокси.
Пользовательский агент — это то же самое, что отпечаток браузера?
Нет. User-Agent — это одно из значений, предоставляемое браузером. Отпечаток браузера объединяет свойства экрана, шрифты, Canvas, WebGL, язык, часовой пояс и другие сигналы. Он может остаться узнаваемым после изменения UA.
Является ли Подмена пользовательского агента тем же, что и Подмена устройства?
Нет. Подмена пользовательского агента касается объявленного значения клиента. Подмена устройства имеет более широкое значение и может включать свойства браузера, мобильные идентификаторы, местоположение, состояние операционной системы или доказательства целостности.
Может ли пользовательский агент доказать, что запрос поступил от робота Googlebot?
Нет. Другие клиенты могут скопировать пользовательский агент Googlebot. Google рекомендует проверять опубликованные диапазоны IP-адресов или использовать прямую и обратную проверку DNS. Другие сканеры могут использовать другие методы.
Должны ли разработчики использовать User-Agent для обнаружения браузера?
Только тогда, когда есть явная необходимость и надежный запасной вариант. Обнаружение функций обычно лучше, поскольку оно проверяет требуемые возможности. Анализ UA может сломаться, когда браузеры сокращают информацию или добавляют токены совместимости.
Является ли Подмена пользовательского агента противозаконной?
Это зависит от разрешения, цели, условий веб-сайта и применимого законодательства. Утвержденное тестирование совместимости отличается от выдачи себя за доверенного сканера для получения несанкционированного доступа. Технический акт сам по себе не определяет правового результата.
