Moteur de risque Sentinel

Moteur de risque Sentinel

Notation côté serveur pour l’IP, l’ASN, le pays, le fuseau horaire et les signaux e‑mail avant la fin de la vérification.

Fonctionnement de Sentinel

Le widget envoie un payload sentinel signé avec des données facultatives de fuseau horaire et de domaine e‑mail. La signature empêche la falsification et conserve un payload de courte durée.

Sentinel évalue des en‑têtes d’appareil tels que User-Agent, Accept/Accept-Language/Accept-Encoding, Sec-Fetch et DNT. L’absence d’en‑têtes ou de Sec-Fetch ajoute des pénalités, et la liste de robots WCF est utilisée pour détecter les bots connus.

Les recherches GeoLite2 cartographient l’IP vers le pays, la ville et l’ASN, puis comparent les pays attendus, les indices de pays dans Accept-Language et l’alignement du fuseau horaire.

Les requêtes ProxyCheck.io facultatives ajoutent une intelligence proxy, VPN ou TOR avec résultats en cache avant la classification du score par Sentinel.

Notation et classification

Les pays et ASN bloqués ajoutent +5, les pays inattendus +1, un décalage de fuseau horaire +1, un décalage Accept-Language avec les langues du pays +1, et les listes noires d’IP +3. Les règles e‑mail ajoutent leurs propres pénalités.

Les scores <=0 sont GOOD, >0 sont NEUTRAL et >=5 sont BAD. L’escalade JS se déclenche toujours sur BAD et peut se déclencher sur NEUTRAL lorsque le score >0.

Si DNT est présent, Sentinel peut légèrement réduire le score pour ne pas pénaliser les utilisateurs soucieux de leur vie privée.

Contrôles de base

Activez SCaptcha Sentinel pour activer les contrôles côté serveur. Le mode par défaut utilise des signaux e‑mail, IP et fuseau horaire.

Passez à ipOnly lorsque vous ne souhaitez pas collecter de signaux e‑mail. Cela maintient la notation focalisée sur les signaux réseau et appareil uniquement.

Règles géo et réseau

Les pays et ASN bloqués ajoutent +5 et peuvent être configurés pour bloquer directement selon votre action d’escalade.

Les ASN bloqués (AS123 ou 123) sont utiles pour les réseaux abusifs connus, mais doivent rester ciblés pour éviter des dommages collatéraux.

Les correspondances de liste noire d’IP ajoutent +3 et peuvent être utilisées pour des vagues d’abus de courte durée.

Renseignement proxy facultatif

Désactivé par défaut. Une fois activé, SCaptcha envoie l’adresse IP publique à proxycheck.io pour obtenir des indices proxy, VPN ou Tor. SCaptcha 2.3.0 envoie tag=0 par défaut ; l’administrateur peut activer la journalisation du fournisseur. L’IP est transmise dans les deux cas.

Journalisation et analytique

Les payloads Sentinel sont conservés en session pendant 10 minutes et rattachés au journal de vérification suivant afin de corréler le comportement client avec la notation serveur.

Seuls la classification, le score et triggeredRules sont renvoyés sauf si le mode debug est activé. Les réponses Sentinel bloquées sont journalisées immédiatement avec des codes de raison.

Les exports CSV peuvent inclure les payloads Sentinel pour un examen hors ligne et la réponse aux incidents.

Bonnes pratiques

Commencez par le mode par défaut et examinez les journaux avant de durcir les règles. Des paramètres trop stricts peuvent augmenter les faux positifs.

Gardez les listes de pays et d’ASN bloqués petites et ciblées, et utilisez les règles de pays ou de langue attendus pour les communautés régionales.

Activez ProxyCheck.io pendant les attaques actives ou les vagues d’abus d’inscription, puis désactivez‑le lorsque le trafic se stabilise.