Sinais disponíveis no servidor
Método, headers, IP anonimizado, ASN, frequência e assinatura do agente chegam antes de qualquer JavaScript. Eles funcionam inclusive para crawlers que não executam a página.
Sinais disponíveis no navegador
Client Hints, recursos compatíveis e eventos mínimos podem confirmar que houve execução no cliente. Bots sofisticados também executam JavaScript, portanto isso não é prova de humanidade.
Verificação de crawlers legítimos
Quando o provedor publica faixas oficiais, a origem de rede pode fortalecer a identificação. Consultas externas não devem atrasar a resposta ao visitante.
Explique e versione a decisão
Armazene os sinais relevantes, versão da regra e nível de confiança. Isso permite reprocessar eventos e corrigir classificações sem esconder o histórico.