Méně falešných požadavků. Více času pro zákazníky.
Spam ve formulářích a podezřelé pokusy o přihlášení zatěžují tým i provoz. Corpilus pomáhá vyhodnocovat rizikové požadavky a podle zapojení nastavit reakci vaší aplikace.
Tři místa, kde to firmy cítí nejvíc
Modelové situace z provozu webů a e-shopů. Nejsou to klientské reference a neuvádíme u nich naměřené výsledky.
Opakované falešné poptávky
Z kontaktního formuláře přicházejí poptávky, které vypadají jako slušně napsaný text. Může mezi nimi být skutečný zákazník, takže je někdo musí projít jednu po druhé.
Obchodník třídí požadavky bez hodnoty.
Proč byla poptávka označena a co s ní udělá chráněný formulář.
Skript na stránce předává, jak byl formulář vyplněn a zda stejný text nepřišel už mnohokrát — ne to, jaká slova v něm jsou. Závazné rozhodnutí padne až při ověření výsledku na serveru, přes SDK nebo endpoint pro ověření tokenu.
Podezřelé přihlašování
Na přihlašovací stránku přicházejí pokusy s cizími hesly, přihlášení z neznámých zařízení a z míst, kam se mezi dvěma pokusy nedalo docestovat.
Riziko zneužití účtů a zátěž podpory.
Rozdíl mezi hodnocením rizika a rozhodnutím přihlašovací aplikace.
Když přihlašovací proces pošle Corpilusu přihlášení spolu s historií, dostane míru rizika s konkrétními signály: nemožné cestování, opakované pokusy s cizími hesly, první přihlášení z neznámého zařízení i neznámé země naráz. Historii dodává volající a o přihlášení rozhoduje vaše aplikace.
Automatizované procházení obsahu
Katalog prochází automat, který se tváří jako běžný návštěvník. Ve statistikách to vypadá jako zájem o produkty, přestože žádný zákazník nepřišel.
Nejasný původ návštěvnosti.
Co se dalo rozpoznat a kde integrace umožňuje zásah.
Ochrana pracuje s tím, co vidí na své straně: zda je adresa na veřejných seznamech s reputací IP, zda se user-agent shoduje se známým AI crawlerem a zda platí pravidla, která si nastavíte. Shoda zvýší riziko a zapíše se jako událost; zastavit požadavek dokáže jen trasa, která výsledek kontroly ověřuje.
Uvidíte důvod nálezu i reakci ochrany.
Jeden požadavek z chráněného formuláře tak, jak ho ukáže přehled událostí.
- Čas
- 08:07
- Místo
- Formulář „Kontakt“ na ukazkovy-eshop.example
- Důvod
- Stejný text přišel opakovaně ze stejného zařízení; pole byla vyplněna naráz, bez psaní.
- Riziko
- Vysoké
Požadavek se vyhodnotil a událost se zapsala. Formulář ho zpracoval jako každý jiný — v tomto režimu ochrana do zpracování nezasahuje.
Sledování je nález. Ukáže, co na web přichází, ale samo o sobě nic nezastaví.
Přepínač je tu pro vysvětlení rozdílu. Mění jen to, co vidíte v této ukázce, a na nastavení žádného systému nemá vliv.
Nejprve zjistíme, co váš web potřebuje.
Bez příslibu auditu a bez automatického skenu po zadání adresy.
- 01Vybereme, co chránitProjdeme společně formuláře, přihlašování nebo rozhraní, která chcete chránit — začneme tam, kde vás to dnes zatěžuje.
Pro ITRozsah se určuje po jednotlivých trasách: který formulář, který přihlašovací tok, které rozhraní.
- 02Domluvíme zapojení a sledováníUrčíme, jak se ochrana zapojí a co bude sledovat, abyste viděli, co na web opravdu přichází.
Pro ITNa webu to znamená skript na stránce pro signály a SDK nebo middleware ve vašem serverovém toku pro závazné rozhodnutí.
- 03Reakce nastavíme podle výsledkůKdyž je z čeho vycházet, nastavíme reakce místo po místě — nejdřív tam, kde je dopad největší.
Pro ITPro každý povrch se domluví, od jaké závažnosti se požadavek blokuje a co se stane, když kontrola není dostupná.
Samotný skript na stránce vynucení ochrany na serveru nezajistí. Má-li aplikace požadavek zastavit, musí ověřovat výsledek kontroly v příslušném serverovém toku.
Chráněný formulář neznamená chráněný katalog — veřejné prohlížení obsahu je samostatná otázka. Rozpoznání známého robota také není totéž jako zastavení kopírování obsahu.
Webové kontroly podrobně
Jen kontroly, které se týkají webu. Ověřování tokenu, umístění middleware, obejití klienta, výpadky a kapacitu rozebíráme u integrace a nasazení.
Signály formuláře
Skript předává, jak byla stránka a formulář použity: zda pole přibyla naráz, zda se stejné odeslání opakuje a zda se vyplnilo skryté pole, které návštěvník nevidí.
Formuláře na stránkách, kde je skript nasazen.
Frekvence požadavků
Akční události se posuzují podle adresy určené na serveru, ne podle hodnoty z těla požadavku. Telemetrie ze skriptu se do frekvenčních kontrol nepočítá a nikdy nevede k blokování.
Odeslání formulářů, přihlášení a další akční události.
Hodnocení přihlašování
Endpoint pro posouzení přihlášení vyhodnotí nemožné cestování, opakované pokusy s cizími hesly, první přihlášení z neznámého zařízení i země naráz a pokusy o více účtů ze stejné adresy či zařízení. Vrací riziko a signály, ne verdikt.
Volá se z přihlašovacího procesu přes integraci nebo REST API.
Pravidla a dostupné reakce
Pro každý povrch — formulář, přihlášení, API — politika určí, od jaké závažnosti se požadavek blokuje. Rozhodnutí ostatních vrstev jen zpřísní, nikdy ho nezmírní, a bez nastavení nevynucuje nic navíc.
Vyhodnocování událostí ze skriptu a SDK.
Sken webu zvenčí
Na vyžádání projde web jako návštěvník, jen požadavky HEAD a GET, bez útoků a bez odesílání formulářů: nastavení šifrování a bezpečnostních hlaviček, cookies, veřejně dostupné soubory, sdílení napříč doménami a pravidla pro AI crawlery.
Samostatná kontrola, ne automatický sken po zadání adresy.
Pokud máte WAF, Corpilus ho nenahrazuje ani nevypíná. Která místa ještě doplní o kontrolu, je otázka na projití vrstvu po vrstvě. WAF a další vrstvy
Podívejme se na konkrétní místo, které vám dělá problémy.
Pošlete adresu webu a stručně popište, zda jde o formuláře, přihlašování nebo jinou část aplikace. Navrhneme vhodný postup posouzení.
Odeslání adresy není souhlas s aktivním bezpečnostním testováním. Po zadání adresy nespouštíme žádný automatický sken.
Cena je individuální podle rozsahu. Jak se určuje rozsah