Sekce 1: Proč se boti zaměřují na widgety pro vyzkoušení
Widgety pro virtuální vyzkoušení jsou pro boty lákavým cílem, protože poskytují bezplatné generování AI obrázků. Koncový bod pro vyzkoušení přijme fotografii a obrázek produktu a vrátí výsledek složený umělou inteligencí – z pohledu bota se jedná o bezplatné, veřejně dostupné API pro generování AI obrázků. Automatizované skripty mohou zasáhnout koncový bod tisíckrát za hodinu a generovat produktové obrázky, portréty nebo syntetická tréninková data s nulovými náklady pro útočníka, ale za plnou cenu vašeho měsíčního limitu jako obchodníka.
Ekonomická motivace je značná: kvalitní API pro generování AI obrázků obvykle stojí 0,05–0,20 USD za obrázek. Koncový bod widgetu pro vyzkoušení bez ochrany proti botům efektivně nabízí tuto službu zdarma komukoli, kdo zpětně analyzuje formát požadavku. Ve velkém měřítku může jediná kampaň botů vyčerpat celou měsíční kvótu obchodníka během několika hodin, což skutečným nakupujícím ponechá zhoršené služby po zbytek fakturačního období.
Sekce 2: Pětivrstvý obranný stack Photta
Photta nasazuje pět nezávislých obran, z nichž každá zachycuje jiný vektor útoku. Vrstva 1 — hCaptcha: každý požadavek na vyzkoušení musí obsahovat platný token hCaptcha vygenerovaný v prohlížeči. Headless boti a automatizovaní HTTP klienti nedokážou vyřešit hCaptcha bez lidské interakce, což blokuje jednoduché skriptované útoky. Vrstva 2 — BotD fingerprinting: SDK spouští BotScore od FingerprintJS k detekci headless prohlížečů, automatizačních frameworků (Puppeteer, Playwright) a podezřelých prostředí prohlížeče ještě předtím, než nakupující odešle fotografii.
Vrstva 3 — Povolené domény: váš klíč pk_live_ přijímá pouze požadavky z domén, které zaregistrujete v Nastavení → Povolené domény. Požadavky z jakéhokoli jiného zdroje okamžitě vrací HTTP 403, než dojde k jakémukoli zpracování AI. Vrstva 4 — IP limity (rate limiting): více než 10 požadavků na vyzkoušení za minutu z jediné IP adresy spustí automatické omezení; více než 30 za minutu spustí dočasné zablokování. Vrstva 5 — Měsíční strop: měsíční limit vyzkoušení vašeho plánu (500/2 000/10 000 v závislosti na úrovni) je pevně omezen na straně serveru. Vyčerpání limitu zastaví všechna vyzkoušení po zbytek fakturačního cyklu, což zabraňuje nekontrolovaným scénářům nákladů.
Sekce 3: Sledování pokusů botů v panelu
Přihlaste se do business.photta.app a přejděte do sekce Zabezpečení. Panel Zabezpečení zobrazuje tři grafy aktualizované v reálném čase: Zablokované pokusy (celkem za hodinu), Rozpis důvodů blokování (selhání hCaptcha vs. detekce BotD vs. neshody domén vs. spouštěče limitů IP) a Nejčastěji blokované IP adresy (IP adresy generující nejvíce blokovaných požadavků za posledních 24 hodin). Zdravý obchod obvykle vykazuje téměř nulové zablokované pokusy během běžné provozní doby.
Panel Zabezpečení obsahuje také sekci Upozornění na anomálie. Analytická vrstva Photta sleduje náhlé nárůsty objemu vyzkoušení nebo zablokovaných pokusů, které se odchylují o více než tři směrodatné odchylky od vašeho sedmidenního průměru. Při detekci anomálie obdržíte e-mailové oznámení do 15 minut a výstraha se zobrazí v panelu. Prahy pro oznámení můžete nakonfigurovat v Nastavení → Oznámení → Bezpečnostní upozornění.
Sekce 4: Reakce na podezřelou aktivitu
Když v panelu Zabezpečení uvidíte neobvyklé vzorce — nárůst blokovaných požadavků, shluk pokusů z jednoho rozsahu IP nebo náhlý pokles měsíční kvóty — proveďte tyto kroky v daném pořadí. Nejprve zkontrolujte seznam Nejčastěji blokovaných IP adres. Pokud jedna nebo malý počet IP adres odpovídá za většinu blokovaných pokusů, klikněte na „Blokovat IP“ vedle každé z nich, abyste je trvale zakázali na vrstvě Photta. Blokování se projeví okamžitě a přetrvává, dokud jej ručně neodstraníte.
Za druhé, pokud útok využívá více IP adres (distribuovaný botnet), kontaktujte podporu Photta prostřednictvím chatu v panelu s vaším ID obchodníka a časovým rozsahem útoku. Bezpečnostní tým Photta může během několika hodin aplikovat blokování na úrovni CIDR pro útočící podsíť. Za třetí, pokud byla vaše měsíční kvóta výrazně vyčerpána aktivitou botů, otevřete tiket podpory — Photta nabízí jednorázové obnovení kvóty pro zdokumentované útoky botů. Jako důkaz přiložte snímek obrazovky s upozorněním na anomálii z vašeho panelu Zabezpečení.
Sekce 5: Kdy přidat vlastní CAPTCHA navíc
Integrovaný hCaptcha v Photta běží neviditelně — většina legitimních nakupujících výzvu CAPTCHA nikdy neuvidí. Ve velmi vzácných případech (vysoce hodnotné obchody, veřejně indexované koncové body widgetů) nemusí vestavěná obrana stačit, pokud sofistikovaný útočník využívá lidské farmy pro řešení CAPTCHA. V tomto scénáři přidejte druhou vrstvu CAPTCHA na úrovni vlastní produktové stránky před voláním photta.open(). Ověřte svou vlastní CAPTCHA na svém serveru a poté předejte podepsaný ověřovací token do Photta SDK jako photta.open({ verificationToken: 'váš_token' }), abyste zajistili, že vyzkoušení mohou iniciovat pouze ověřené relace.
Vlastní CAPTCHA je poslední možností pro obchody, které zažily opakované sofistikované útoky. Pro drtivou většinu obchodníků poskytuje pětivrstvý stack Photta dostatečnou ochranu bez tření viditelného pro nakupující. Pokud zvažujete, zda přidat vlastní vrstvu, zkontrolujte nejprve Rozpis důvodů blokování v panelu Zabezpečení — pokud selhání hCaptcha tvoří méně než 1 % vašich celkových blokovaných pokusů, stack funguje a další vrstva by přidala jen komplikace bez smysluplného zisku na bezpečnosti.