Доказательства и журналы Cloudflare Bot Score

Cloudflare Bot Score - сигнал уровня запроса, а не прозрачная проверка личности. Cloudflare публикует шкалу от 1 до 99 и несколько переменных, но входы и веса решения не являются публичным объяснением по каждому полю. Эта статья по открытым источникам не сообщает о запуске BotBrowser или зоны Cloudflare.

TL;DR

• Cloudflare документирует BotScore от 1 до 99. Низкая оценка означает, что автоматизация считается более вероятной, высокая - что более вероятным считается человеческий запрос; ни одна не является выводом о человеке.
• Документированное значение 0 означает, что Bot Management не оценивал запрос; оно не означает безопасность или человека.
• cf.bot_management.score, BotScoreSrc и BotTags - документированные поля запроса или события. Доступность зависит от продукта, плана, набора данных и контекста записи.
• Действие challenge - результат защитного процесса. HTTP-статус - результат ответа. Храните оба рядом с оценкой, не называя их причиной или личностью отправителя.
• Записывайте только поля, нужные для ограниченного решения поддержки или выпуска. Не выводите приватные веса, не собирайте отпечаток человека и не утверждайте, что challenge доказывает прохождение человеком.

Содержание

• Читать открытые поля
• Составить ограниченную запись
• Разделить оценку, challenge и HTTP-результат
• Указать пределы вывода
• Заключение

Читать открытые поля

В справочнике Bot Score Cloudflare определена шкала 1-99. Пример говорит, что 1 означает высокую уверенность Cloudflare в автоматизации запроса, а 99 - высокую уверенность в человеческом происхождении. Это вероятностная оценка запроса, а не идентификация человека, полное объяснение модели или доказательство намерения.

Страница переменных Bot Management называет, например, cf.bot_management.score, cf.bot_management.verified_bot и cf.bot_management.static_resource. verified_bot означает разрешенного Cloudflare бота, а не подтвержденного человека; static_resource описывает настроенный класс ресурса, а не инициатора запроса. В наборе Logpush HTTP requests перечислены BotScore, BotScoreSrc и BotTags. Имя поля не обещает значение для каждой зоны, плана, события или исторической строки. Записывайте набор данных и состояние доступности вместе с полем.

BotScoreSrc дает открытые метаданные источника, если набор их предоставляет, но не раскрывает все входы детектора. Документ о движках обнаружения ботов описывает публичные категории, а не полную таблицу весов, по которой можно восстановить оценку из свойств браузера. Поэтому обзор должен цитировать определение поля, а не придумывать веса. Для границ приватности сопоставьте группы сигналов и пределы наблюдения с руководством по доказательствам V8Log.

Составить ограниченную запись

Используйте стабильный идентификатор запроса и сохраняйте только данные, по которым владелец может действовать. Сохраните исходный URL и версию схемы, чтобы отличать отсутствующее поле от измененного набора данных. Это документальный шаблон, а не наблюдаемый вывод Cloudflare:

{
  "recordType": "cloudflare-bot-evidence",
  "schema": "public-fields-only-v1",
  "requestId": "redacted-request-01",
  "testedOn": "2026-10-29",
  "dataset": "zone/http_requests",
  "fields": {
    "BotScore": null,
    "BotScoreSrc": null,
    "BotTags": [],
    "challengeAction": "not-recorded",
    "httpStatus": null
  },
  "availability": "source-based-fixture",
  "interpretation": "No runtime result; consult the cited field documentation."
}

null и source-based-fixture намеренны: шаблон нельзя принять за экспорт зоны. В разрешенной записи замените их возвращенными значениями, сохраните точные имена полей и удалите URL, cookies, тела, идентификаторы аккаунтов и полные заголовки, если для них нет документированной необходимости. Различайте not-enabled, not-in-dataset, null и not-requested: это ответы на разные вопросы. Рекомендации W3C по fingerprinting объясняют, почему объединение сигналов повышает риск для приватности.

Разделить оценку, challenge и HTTP-результат

Используйте таблицу при проверке поддержки или выпуска. Сначала отнесите наблюдение к его уровню, затем спрашивайте, что изменилось.

Наблюдение	Может подтвердить	Не может установить	Следующая проверка
BotScore 1-99	Документированный Cloudflare сигнал вероятности для запроса	Личность, веса признаков, намерение или универсальный вердикт о боте	Проверить план, набор данных, время и BotScoreSrc
BotScoreSrc или BotTags	Публичные метаданные источника или тега, если они есть	Полный след детектора или причину каждого тега	Прочитать соответствующую переменную и версию схемы Logpush
Действие challenge	Выбор или предъявление защитного процесса	Что отправитель был вредоносным, человеком или успешно проверен	Отдельно записать результат challenge и политику приложения
HTTP 200, 403 или другой статус	Результат ответа, увиденный клиентом или журналом	Причину ответа, инициатора или прохождение challenge человеком	Соединить время, маршрут и действия под контролируемым ID

Строки не следуют одна из другой. Высокая оценка перед 403 не доказывает блокировку человека. Низкая оценка перед 200 не доказывает принятие автоматизации. challenge перед 200 не доказывает, что его решил человек. Сохраняйте последовательность и владельца каждой записи.

Указать пределы вывода

Открытая документация позволяет говорить о смысле и области именованных полей, но не о скрытых весах, полном векторе входов или личности отправителя. Глоссарий fingerprinting MDN описывает объединение данных браузера и устройства для различения пользователей или устройств, поэтому журнал оценки не должен становиться межконтекстным отпечатком.

Храните score, challengeAction и httpStatus в разных столбцах. Сначала напишите ограниченный факт: «запись содержала оценку X в наборе Y в момент Z». Затем действие: «приложение вернуло Q после R». Не пишите, что Cloudflare «знал» о боте или что человек доказал человечность. BotBrowser не раскрывает приватные входы и веса, не принуждает к результату challenge и не превращает HTTP-статус в вывод о личности. Перечитайте источники после изменения схемы или доступности.

BotBrowser может автоматизировать разрешенный сценарий и наблюдать видимое состояние страницы, как описано в документации согласованности автоматизации; BotBrowser не может читать зону Cloudflare или выдавать BotScore, BotScoreSrc и BotTags, которые поступают из настроенного продукта и набора данных Cloudflare.

Источники

• Cloudflare Bot scores
• Cloudflare Bot Management variables
• Cloudflare HTTP requests Logpush fields
• Cloudflare bot detection engines
• W3C Fingerprinting Guidance
• MDN Fingerprinting glossary

Заключение

Используйте Bot Score и открытые поля Cloudflare как ограниченные доказательства запроса. Разделяйте действия challenge и HTTP-результаты, фиксируйте доступность и время, затем остановитесь до вывода о весах, личности или достоверном человеческом намерении. Перед добавлением поля в рабочую схему поддержки проверьте точный набор данных и план в актуальных ссылках Cloudflare.