Antibot par réputation. Chaque visiteur, jugé équitablement, en temps réel.

Jamais. Karma lit la session de façon invisible et rend un verdict ; les humains passent sans friction.

Non. Le snippet se charge de façon asynchrone au-dessus de l’analytique et met en tampon les premiers événements ; il ne bloque jamais le rendu.

Karma est fail-open : en cas de panne, le visiteur reste simplement sur votre site. La disponibilité prime sur la rigueur.

Des adresses signalées par les clients contributeurs. La lecture est optionnelle, désactivée par défaut, dès l’avant-dernier plan.

Oui. Vos listes l’emportent toujours sur la plateforme, vous ne perdez ni partenaire ni bon robot.

Tout site : un snippet HTML simple plus des wrappers pour React/Next, PHP, Vue/Nuxt, WordPress et GTM.

Un logiciel antibot classique répond à une requête suspecte par une épreuve - CAPTCHA, page intermédiaire, page de blocage - et veut généralement faire passer votre trafic par son proxy. Karma répond par un verdict : il lit les signaux comportementaux et de transport, évalue la session face à votre propre base de réputation, et c'est votre passerelle qui agit. Pas d'énigme, pas de changement DNS, pas de proxy devant votre site.

Les deux, séparés là où vous voulez garder la main. Karma détecte et note ; l'application reste dans votre passerelle, donc vous décidez si un bot est bloqué, ralenti ou envoyé vers un miroir. Le forfait gratuit Detect ne donne que les verdicts, pour observer avant d'agir.

Environ cinq minutes. Une balise script asynchrone en tête du <head>, puis un appel de verdict depuis votre passerelle. C'est la même balise sur toutes les stacks - HTML, React/Next, Vue/Nuxt, PHP, WordPress ou GTM - et rien ne s'installe sur votre serveur.

Oui. Detect est gratuit, sans carte bancaire, et donne 25 000 verdicts en temps réel par mois, avec votre propre base de réputation et vos listes allow et deny. Les miroirs et la liste de blocage partagée commencent sur les forfaits payants.

À l'aide de Karma, j'installe un extrait asynchrone avant l'analyse, je collecte les signaux de comportement et de transport de session, y compris les empreintes digitales HTTP/2 et JA3/JA3N, et je transmets le verdict à la passerelle. Je ne bloque pas une IP, mais une session avec le comportement de la machine ; Je laisse mes listes blanches au dessus de ma réputation, donc le bureau, les API partenaires et les robots utiles ne sont pas interdits.

Gratuitement sans Karma, je désactive les connexions utilisant des mots de passe compromis, j'active MFA, j'ajoute la même réponse pour un compte existant et inexistant et je compte les tentatives par IP, connexion et sous-réseau simultanément sous forme de fenêtre coulissante. Je crée un journal des connexions réussies à partir du nouvel appareil, j'en informe le propriétaire et j'exige temporairement une réauthentification ; J'utilise nginx limit_req uniquement comme première couche, et non comme seule protection contre les robots.

Avec Karma, j'associe la soumission du formulaire au verdict de la même session de navigateur et n'autorise le traitement qu'après avoir évalué le comportement réel et l'empreinte digitale du transport. Je laisse CAPTCHA désactivé, j'applique une liste de refus aux automatisations approuvées et une liste d'autorisation aux intégrations de confiance ; si le service de réputation est temporairement indisponible, l'échec d'ouverture n'arrête pas le site lui-même.

Gratuitement, j'ajoute un champ honeypot, un temps de remplissage minimum, un jeton CSRF unique, une confirmation par e-mail et des limites par IP, sous-réseau, adresse et appareil. Je retarde l'émission du bonus jusqu'à ce que l'action soit confirmée, bloque les domaines jetables sur ma propre liste et compare quotidiennement la part des confirmations ; Cet ensemble réduit le spam, mais je maintiens manuellement ses règles et ses faux positifs.

Avec Karma, j'évalue la session entière, pas la chaîne User-Agent : séquence d'actions, taux de clics et empreinte digitale de transport client. J'envoie des robots vers un itinéraire limité ou un blocage avec une passerelle, je définis une liste d'autorisation explicite pour les robots de recherche de confiance et je maintiens ma propre réputation d'adresse afin que les explorations répétées soient interrompues plus rapidement.

Gratuitement, je ferme les API inutilisées, j'introduis la pagination avec des curseurs signés, je limite la profondeur et la fréquence des requêtes vers nginx, je mets en cache les réponses coûteuses et je fixe des quotas séparés pour la recherche et le téléchargement. Je vérifie les robots d'exploration officiels pour les DNS inversés et directs, j'analyse access.log pour les taux d'exploration et je bloque manuellement les ASN ou les sous-réseaux, en acceptant que les proxys résidentiels nécessiteront des ajustements constants des règles.

Avec Karma, j'obtiens un verdict avant d'envoyer une demande au fournisseur de paiement et je le relie au comportement de l'ensemble de la session, pas seulement au dernier paiement POST. Je bloque les sessions machine au niveau de la passerelle, autorise les tentatives pour les clients normaux et transfère uniquement le flux compensé vers le système de paiement, réduisant ainsi le nombre d'autorisations payantes et de faux refus.

Gratuitement, je tokenise la carte du prestataire de paiement, interdis un montant arbitraire, limite le nombre de tentatives par compte, carte token, BIN, IP et sous-réseau, et après plusieurs refus, j'introduis un délai et un email de confirmation. J'active 3-D Secure selon les règles de risque, je n'enregistre pas le CVV et je crée une alerte sur le ratio refus/paiements réussis ; les règles doivent être calibrées manuellement par rapport aux commandes réelles.

Avec Karma, je commence à collecter des signaux avant le compteur, je reçois le verdict de la session et je sépare les personnes des robots avant de générer un événement analytique. J'enveloppe le compteur trouvé pour que le miroir ne crée pas de doublon, et si Karma n'est pas disponible, l'analyse est lancée avec un délai d'attente ; puis je compare la conversion entre les sessions humaines effacées.

Gratuitement, je crée un identifiant de session serveur, signale les centres de données connus et les séquences non naturelles, exclus le trafic interne et filtre les rapports par événements confirmés - connexion, panier ou achat. J'enregistre le flux brut séparément afin de ne pas perdre de données en cas d'échec d'un filtre, et je révise mes expressions régulières et mes listes de robots chaque semaine.

Avec Karma je remplace le challenge explicite par une évaluation de session en arrière-plan : l'extrait est chargé de manière asynchrone, ne bloque pas le rendu et transmet le verdict à la passerelle avant l'action critique. Je saute les sessions humaines sans étape supplémentaire et j'arrête les sessions automatiques en fonction d'une combinaison de comportement, de réputation et de caractéristiques de transport.

Gratuitement, je supprime le CAPTCHA pour tout le monde et n'applique la vérification étape par étape qu'après un signal de risque : paiement trop rapide, trop de cartes, d'adresses ou de paniers pour une session. J'ajoute l'e-mail de confirmation, la clé d'idempotence par commande et les quotas de serveur, puis mesure la conversion du groupe témoin ; Je prends en charge mon propre moteur de risque et ses exceptions.

Avec Karma, je ne demande pas du tout au visiteur de prouver qu'il est un humain : la solution est basée sur les signaux de fond de la session et appliquée par la passerelle. Je conserve la forme sémantique habituelle, la navigation au clavier et les messages d'erreur, et j'épingle les scripts d'assistance de confiance à la liste verte si nécessaire.

Gratuitement, je supprime le CAPTCHA inaccessible, j'ajoute un champ de pot de miel caché, une vérification de l'heure côté serveur, une confirmation par e-mail et des limites d'action. Si une vérification supplémentaire est encore nécessaire, je propose plusieurs méthodes équivalentes - email, TOTP ou contact du support - et les teste avec le clavier et le Narrateur, sans faire de la vision une condition d'accès.

Avec Karma, je ne considère pas l'image résolue comme une preuve : le verdict est basé sur le comportement de la session complète, l'empreinte digitale du transport et ma base de réputation. Je bloque le trafic des machines même avec un navigateur apparemment correct et j'utilise mes propres listes de partenaires et de sources d'attaques confirmés.

Gratuitement, je considère le CAPTCHA comme un seul signal et après cela je vérifie la vitesse, la répétabilité des champs, le nombre de comptes, de cartes et d'actions par appareil. J'associe le jeton à une session spécifique et à une action ponctuelle, limite la durée de vie, interdit la réutilisation et fixe les quotas du serveur ; J'envoie des résultats suspects pour modération retardée.

Avec Karma, je collecte les signaux du navigateur là où se trouve une vue Web ou un client Web, je les associe à une session de serveur et j'applique le verdict sur la passerelle avant d'appeler la précieuse API. Pour les vrais clients partenaires, je définis une route de confiance ou une liste autorisée distincte, et j'évalue et limite le flux anonyme quel que soit l'agent utilisateur.

Gratuitement, je sépare les API humaines et machines, j'émets des jetons OAuth de courte durée avec une audience et une portée pour les partenaires, je signe les demandes et j'introduis des quotas pour la clé et l'opération. Pour les méthodes anonymes, j'utilise un nonce, une clé d'idempotence, des limites de compte/IP/sous-réseau et une vérification de cohérence côté serveur ; Je considère la certification mobile comme un signal supplémentaire, et non le seul.

Avec Karma, j'utilise mon propre contour de réputation de compte, je choisis explicitement de participer à la liste noire générale et je ne montre pas à l'utilisateur de puzzle tiers. Je documente les signaux comportementaux et de transport collectés via TLS, limite la capture de champ au strict minimum et applique le verdict sans widget externe bloquant.

J'implémente gratuitement un pot de miel, des jetons temporaires, une limite de taux et des journaux de risques de mon côté, sans envoyer de données à un fournisseur CAPTCHA externe. Je tronque l'IP et le User-Agent dans les journaux à la longueur requise, exclus le contenu des formulaires, décris le traitement dans la politique et procède à une évaluation de la base juridique ; le prix de l'itinéraire gratuit est son propre développement et la révision régulière des règles.

Avec Karma, j'identifie chaque session publicitaire avec un verdict de comportement et de trafic, je sépare le trafic automatisé avant d'envoyer les conversions clés et je stocke la source, la campagne et l'identifiant de clic à titre de preuve. Je transmets uniquement les événements humains confirmés au système publicitaire et j'ajoute les sources en double à ma propre liste de refus.

Gratuitement, je fais correspondre les conversions access.log, click id, coût et serveur, j'élimine les clics en double sans session normale et je télécharge les conversions hors ligne vérifiées sur la plateforme publicitaire. Je bloque les centres de données connus, fixe des limites au formulaire et envoie régulièrement un rapport au site sur les clics anormaux ; les proxys distribués nécessitent une analyse manuelle.

Avec Karma, je prends une décision avant un traitement coûteux : la passerelle reçoit le verdict de la session et ne permet pas à l'automatisation confirmée d'accéder à l'application et à la base de données. Je mets en cache les solutions localement, laisse les échecs ouverts pour disponibilité et autorise les indexeurs utiles via une liste verte prioritaire.

Gratuitement, j'installe un cache CDN sur les pages publiques, limite la fréquence et les requêtes simultanées de nginx, ferme les recherches lourdes avec une longueur de requête et un cache minimum, et une API avec des quotas et des curseurs signés. Je crée un rapport à partir de access.log par URI, temps de réponse et octets transférés, puis je bloque manuellement les modèles et sources les plus coûteux.

Avec Karma, j'évalue la session avant de réserver le reste et je laisse fonctionner uniquement le thread avec un verdict humain ; La passerelle arrête les sessions machine avant même la transaction de l'entrepôt. J'ajoute mes propres listes de caisses et de partenaires et j'analyse les verdicts associés sans obliger chaque client à résoudre un CAPTCHA.

J'émets gratuitement un jeton de file d'attente unique signé, je limite la réserve à un compte et un instrument de paiement, je définis un TTL court pour le panier et j'efface le solde de manière atomique dans la base de données. J'ajoute la confirmation par e-mail/téléphone, la limite de quantité et le post-vérification des commandes associées ; Je traite manuellement l'automatisation distribuée et le retour des verrous erronés.

Avec Karma, je télécharge l'historique des sessions et des verdicts, j'enregistre les règles d'autorisation/refus appliquées et j'affiche la part de l'automatisation arrêtée aux points requis. Je documente l'emplacement de l'extrait, la signalisation TLS, le mode d'ouverture en cas d'échec et le propriétaire de la politique, et pour le tester, je rejoue une session de machine de test et enregistre le résultat.

Gratuitement, j'approuve les limites de débit écrites, les politiques de MFA et de réponse aux abus, je centralise les journaux d'accès/d'authentification/de paiement et je stocke les modifications de configuration dans Git. J'effectue chaque mois un test contrôlé, compte les tentatives, les blocages et les faux positifs, signe le rapport avec le responsable ; c'est la procédure régulière qui crée la preuve, et non le nom de l'instrument.

Avec Karma, je connecte chaque domaine avec un extrait approprié, mais je gère la réputation, les listes et les verdicts à partir d'un seul panneau de compte. J'utilise une seule couche de signal commune, je définis des exceptions explicites spécifiques au site et je distribue des sources vérifiées via ma propre base de données sans copier manuellement la configuration entre les piles.

Gratuitement, je mets les règles nginx/WAF dans un seul référentiel Git, décris le modèle de base et les remplacements de domaine, vérifie la configuration dans CI et le déploie avec Ansible. Je maintiens une liste CIDR centrale avec le motif, le propriétaire et la date d'expiration, je collecte les journaux dans un seul système et je supprime les exceptions expirées selon un calendrier ; Je prends en charge les détecteurs et apporte moi-même les modifications.