Un Bot Score es una puntuación de riesgo dinámica asignada a una solicitud, sesión o usuario, que cuantifica la probabilidad de que la entidad que interactúa con un sistema sea un bot automatizado. Se calcula mediante algoritmos de Machine Learning que analizan una multitud de señales, incluyendo la velocidad de las solicitudes, patrones de navegación, huellas dactilares del navegador (browser fingerprinting), direcciones IP, anomalías en los headers HTTP, y la interacción con elementos de la interfaz de usuario. Un score alto indica una alta probabilidad de ser un bot, mientras que un score bajo sugiere una interacción humana legítima.
Los Bot Scores son ampliamente implementados en sistemas de seguridad web y plataformas de protección contra bots. Proveedores como Akamai Bot Manager, Cloudflare Bot Management y DataDome utilizan Bot Scores para identificar y mitigar ataques como credential stuffing, scraping de datos, DDoS de capa 7, fraude de clics y abuso de API. Por ejemplo, un sistema de e-commerce podría usar un Bot Score para bloquear automáticamente transacciones sospechosas o para presentar CAPTCHAs a usuarios con puntuaciones intermedias, mientras que un sistema de ticketing podría priorizar el acceso a usuarios con Bot Scores bajos para prevenir la reventa masiva por bots.
Para un arquitecto, el Bot Score es una herramienta crítica en la estrategia de seguridad y resiliencia del sistema. Permite implementar una defensa adaptativa, aplicando diferentes niveles de fricción o bloqueo en función del riesgo percibido, optimizando la experiencia del usuario legítimo y minimizando la carga en los recursos del sistema. La elección de umbrales para el Bot Score implica un trade-off entre la seguridad (bloquear más bots) y la usabilidad (evitar falsos positivos). Un arquitecto debe considerar cómo integrar los Bot Scores en la arquitectura de microservicios, la observabilidad para monitorear su efectividad y los mecanismos de fallback en caso de fallos del servicio de scoring. Además, es crucial entender las implicaciones de privacidad y los requisitos de cumplimiento al recopilar datos para el cálculo de estas puntuaciones.