Cek JavaScript atau Blokir IP: Dua Pendekatan Perlindungan dari Bot

Saat pengiklan memutuskan melindungi diri dari bot, pertanyaan pertama biasanya teknis: blokir per IP atau pasang script di halaman? Ini dua cara berbeda untuk melihat sebuah kunjungan. Blokir IP menilai dari mana permintaan datang. Cek JavaScript menilai program apa yang mengirimnya. Tiap pendekatan punya titik buta sendiri, dan justru karena itu perlindungan yang serius tidak memilih salah satu, melainkan menggabungkan keduanya.

Di bawah ini kita bahas cara kerja masing-masing, apa yang ditangkapnya dengan baik, di mana ia keliru, dan bagaimana membuat keduanya bekerja bersama tanpa mengorbankan kecepatan halaman.

Blokir IP: cara kerjanya

Server menerima permintaan dan hanya tahu sedikit tentangnya: alamat IP, header browser, alamat halaman asal pengunjung. Tetapi dari IP saja sudah bisa didapat banyak hal berguna:

• pemilik jaringan — provider rumahan, operator seluler, hosting, cloud (dari nomor sistem otonom, ASN);
• negara dan kota — dengan akurasi yang cukup untuk filter GEO;
• tanda di database — VPN yang dikenal, proxy, Tor, alamat dari perangkap spam;
• riwayat — berapa kali alamat ini sudah datang dan bagaimana akhirnya.

Keputusan diambil sebelum halaman dikirim ke pengunjung. Inilah keunggulan utamanya: tidak mengorbankan kecepatan sama sekali dan tetap bekerja melawan program yang tidak bisa menjalankan script.

Apa yang ditangkap blokir IP

• Bot server. Sebagian besar bot murah, parser, dan scanner berjalan di data center. Blokir per ASN hosting membersihkannya hampir tanpa kesalahan. Selengkapnya di artikel VPN, proxy, dan IP data center.
• VPN yang dikenal dan proxy server. Alamatnya rutin masuk database.
• Alamat yang berulang. Batas klik per IP dan daftar hitam IP memotong pengunjung yang terus datang dan kompetitor yang mengklik dari kantornya.
• GEO asing. Klik dari negara yang tidak Anda targetkan hampir selalu bukan pembeli.

Kelemahan blokir IP

• Proxy residensial dan mobile. Bot keluar ke internet lewat alamat pelanggan rumahan atau SIM operator. Bagi filter IP, ini orang biasa. Kasus ini dibahas di artikel tersendiri: proxy residensial dan mobile.
• Alamat bersama. Di balik satu alamat seluler ada ratusan pelanggan, di balik alamat kantor ada puluhan karyawan. Memblokir alamat seperti itu memotong orang sungguhan.
• Rotasi. Bot yang berganti alamat di setiap klik lolos dari batas frekuensi dan daftar hitam.
• Database yang terlambat. Alamat baru masuk database setelah berjam-jam atau berhari-hari — cukup lama untuk menyelesaikan tugasnya.
• Tidak bisa melihat ke dalam. IP tidak memberi tahu apakah itu browser atau script, punya layar atau tidak, dan apakah mouse-nya bergerak.

Cek JavaScript: cara kerjanya

Halaman mengirimkan script kecil ke pengunjung. Script berjalan di browser dan mengumpulkan hal yang hanya terlihat dari dalam:

• tanda otomatisasi — flag webdriver, jejak alat pengendali browser, ciri khas mode headless;
• fingerprint perangkat — layar, kartu grafis, font, daftar kemampuan browser;
• pengaturan sistem — zona waktu, bahasa, tata letak keyboard;
• konsistensi — apakah yang diklaim header User-Agent cocok dengan kemampuan nyata browser;
• perilaku — gerakan mouse dan jari, scroll, waktu sampai aksi pertama.

Script mengirim hasilnya ke server, dan server mengambil keputusan. Cara fingerprint terbentuk dan di mana ia dipalsukan dibahas di artikel browser headless dan fingerprint browser.

Apa yang ditangkap cek JavaScript

• Program tanpa browser. Parser dan bot sederhana yang mengunduh halaman tetapi tidak menjalankan script tidak akan mengirim jawaban sama sekali. Ini tanda yang kuat.
• Browser headless dan otomatisasi. Bahkan di alamat residensial, bot di browser yang dikendalikan tetap meninggalkan jejak.
• Pemalsuan perangkat. "iPhone" dengan kartu grafis server dan layar 1920×1080 membongkar dirinya sendiri lewat kontradiksi itu.
• Ketidakcocokan jaringan dan sistem. IP dari Jerman, tetapi zona waktu dan bahasanya Asia. Jaringan tidak melihat ini, script melihatnya.
• Perilaku mekanis. Gerakan yang lurus sempurna, langsung pergi, klik tanpa satu gerakan pun sebelumnya.

Kelemahan cek JavaScript

• Waktu. Script perlu diunduh, dijalankan, dan menunggu jawaban server. Ini jeda yang tidak ada pada blokir IP.
• Tidak semua kunjungan menjalankannya. Browser bawaan media sosial kadang memuat halaman di latar belakang dan membekukan timer; ponsel lama menjalankan script dengan lambat; sebagian orang pergi sebelum pemeriksaan selesai.
• Bisa dipalsukan. Data datang dari sisi klien, artinya bot canggih bisa menggantinya. Browser antidetect memang dibuat untuk itu.
• Alarm palsu di perangkat yang tidak biasa. WebView di aplikasi, browser dengan privasi diperketat, ekstensi pemblokir fingerprint — semuanya mirip pemalsuan, padahal di depan layar ada manusia.
• Bergantung pada tempat pemasangan. Script hanya bekerja di tempat ia dipasang. Jika link mengarah ke halaman tanpa script, tidak ada pemeriksaan.

Perbandingan kedua pendekatan

Tabel ini memperlihatkan hal terpenting: kelemahan kedua pendekatan hampir tidak bersinggungan. Yang tidak dilihat jaringan, dilihat browser, dan sebaliknya.

Kenapa keduanya digabung

Jika hanya memakai blokir IP, seluruh fraud di alamat residensial dan mobile lolos dari filter — padahal justru itu bagian paling mahal: kliknya terlihat seperti manusia dan dibayar penuh. Jika hanya memakai script, setiap bot server tetap menerima halaman, mengunduh script, dan membebani server, sementara bot sederhana yang tidak menyelesaikan pemeriksaan tidak bisa dibedakan dari orang yang tidak menunggu halaman selesai dimuat.

Skema yang bekerja terlihat seperti ini:

1. Jaringan adalah lapisan pertama. Data center, bot yang dikenal, alamat dari daftar hitam, dan GEO asing dipotong tegas. Murah, cepat, dan hampir tanpa kesalahan.
2. Browser adalah lapisan kedua. Semua yang lolos jaringan diperiksa script: otomatisasi, fingerprint, zona waktu dan bahasa, perilaku.
3. Skor kepercayaan, bukan larangan. Sinyal lunak — tanda proxy, alamat seluler, zona waktu tidak cocok, click ID hilang — tidak memblokir kunjungan sendirian, tetapi dijumlahkan. Keputusan diambil dari totalnya.
4. Statistik per sumber adalah sudut pandang ketiga. Pemeriksaan terbaik untuk satu kunjungan pun tidak menggantikan pandangan atas seluruh sumber: porsi kunjungan mencurigakan, konversi, approve. Dengan cara inilah klik dari click farm dan fraud iklan yang sistematis terlihat.

Dengan begitu kesalahan condong menguntungkan pengiklan: orang sungguhan dengan VPN tidak dipotong karena satu ciri, dan bot di alamat rumahan tidak lolos hanya karena alamatnya bersih.

Pengaruhnya ke kecepatan halaman

Kecepatan penting bukan hanya demi kenyamanan: setiap detik tambahan menurunkan konversi, dan perlindungan yang membuat pembeli kabur lebih mahal daripada bot. Yang bisa dilakukan:

• Selesaikan bagian jaringan lebih dulu. Selagi browser memuat script, server sudah bisa memeriksa IP, ASN, dan database. Saat script mengirim datanya, separuh keputusan sudah siap.
• Script kecil dan satu koneksi. Makin sedikit permintaan dan makin dekat server ke pengunjung, makin pendek waktu tunggu. Script terkompresi dan koneksi yang dipakai ulang menghemat puluhan milidetik di internet seluler.
• Jangan menunggu perilaku jika tidak perlu. Pemeriksaan gerakan mouse menuntut pengunjung melakukan sesuatu di halaman. Aktifkan untuk sumber yang ketat, bukan untuk seluruh traffic.
• Potong bot server sebelum script. Jika bot sudah tersaring di jaringan, ia tidak perlu dikirimi script — ini menghemat sumber daya server dan membuat statistik lebih bersih.
• Ukur. Lihat waktu dari klik sampai halaman tampil pada kunjungan nyata, bukan hasil uji laboratorium di komputer yang cepat.

Kesimpulan soal kecepatan: dengan implementasi yang wajar, pemeriksaan gabungan menambah sepersekian detik pada pemuatan. Ini jauh lebih kecil daripada yang hilang karena gambar berat dan penghitung pihak ketiga — dan jauh lebih murah daripada klik bot yang Anda bayar.

Contoh: tiga kunjungan di mata dua lapisan

Untuk melihat bagaimana kedua pendekatan saling melengkapi, mari bedah tiga klik dari satu kampanye dengan target Jerman.

Kunjungan A. Alamat hosting cloud di Frankfurt, header browser Chrome terbaru di Windows. Lapisan jaringan langsung memotongnya: jaringan hosting di traffic iklan adalah server, bukan pembeli. Script bahkan tidak diperlukan, halaman tidak dikirim, server tidak membuang sumber daya.

Kunjungan B. Alamat provider rumahan di München, bersih di database, click ID ada. Dari sisi jaringan tidak ada yang bisa dipersoalkan. Script melaporkan: flag otomatisasi aktif, kartu grafis berbasis software, zona waktu America/New_York, tidak ada gerakan mouse sebelum klik. Blokir IP akan meloloskan kunjungan ini dan Anda membayarnya seperti pengunjung sungguhan. Lapisan browser menghentikannya.

Kunjungan C. Alamat seluler operator Jerman, ditandai sebagai alamat bersama, browser bawaan media sosial, zona waktu Europe/Berlin, bahasa Jerman. Script berjalan terlambat — aplikasi memuat halaman di latar belakang. Jika filter memotong alamat seluler atau menuntut jawaban script seketika, pembeli ini akan hilang. Skor kepercayaan melihat ciri-cirinya konsisten dan meloloskan kunjungan.

Dalam contoh ini, tiap lapisan sendirian akan keliru setidaknya sekali: hanya jaringan akan meloloskan kunjungan B, hanya script kaku tanpa skor kepercayaan berisiko memotong kunjungan C. Bersama-sama, ketiganya terpilah dengan benar. Di traffic nyata pun sama: sebagian besar sampah dibuang lapisan jaringan yang murah, lapisan browser memungut yang menyamar sebagai manusia, dan jumlah ciri menjaga dari penolakan yang tidak perlu.

Di mana pemeriksaan tidak perlu atau malah merugikan

• Halaman tanpa traffic berbayar. Jika tidak ada iklan yang mengarah ke halaman, pemeriksaan browser yang ketat lebih sering mengganggu daripada membantu.
• Sumber yang hampir seluruhnya lewat browser bawaan aplikasi. Di sana syarat menjalankan script sebaiknya dilonggarkan dan keputusan bersandar pada skor kepercayaan.
• Robot mesin pencari di situs utama. Yang perlu dilindungi adalah landing page kampanye, bukan seluruh situs dengan traffic SEO. Soal memilih solusi, baca artikel antibot untuk situs.

Cara kerjanya di ArtisanClo

ArtisanClo memakai kedua lapisan: pemeriksaan jaringan menyaring traffic data center, VPN, dan proxy, sementara pemeriksaan browser menangkap otomatisasi dan pemalsuan perangkat di alamat yang dari sisi jaringan terlihat bersih. Setiap klik di log punya kode alasan keputusan — langsung terlihat apakah yang terpicu jaringan atau browser. Tracker bawaan menghitung biaya, konversi, profit, dan ROI per kampanye, jadi terlihat berapa uang yang habis untuk traffic sampah dan sumber mana yang membawanya. Semua pemeriksaan tercantum di halaman fitur.

Ringkasnya

Blokir IP dan cek JavaScript menjawab pertanyaan yang berbeda: dari mana kunjungan datang dan program apa yang mengirimnya. Yang pertama cepat, murah, dan andal melawan bot server, tetapi buta terhadap proxy di alamat rumahan dan seluler. Yang kedua melihat browser dari dalam, tetapi memakan waktu, bisa dipalsukan bot canggih, dan keliru di perangkat yang tidak biasa. Kelemahan keduanya hampir tidak bersinggungan, karena itu jaringan dipasang sebagai lapisan pertama, browser sebagai lapisan kedua, ciri lunak dijumlahkan menjadi skor kepercayaan, dan hasilnya diverifikasi dengan statistik per sumber. Cara menghitung berapa kerugian dari bot yang lolos ada di artikel berapa anggaran yang hilang karena bot.