Adaptive Risk Engine, Proof of Work, Verhaltensanalyse und Threat Intelligence arbeiten zusammen — unsichtbar für Menschen, unlösbar für Bots.
Der Ablauf
Das V2-Widget (15 KB gzip) wird asynchron geladen — blockiert weder Rendering noch Interaktion. Kein Framework, keine Dependencies.
Der Server sendet eine adaptive Policy: Challenge-Typ, Schwierigkeit, Site-Profil, UAM-Level — kryptographisch signiert mit EdDSA.
Der Browser löst SHA-256 oder Memory-Hard (Argon2) PoW im WebWorker — der UI-Thread bleibt frei, der Nutzer merkt nichts. Schwierigkeit passt sich an.
Mausentropie, Tipp-Rhythmus, Touch-Events plus Canvas-Timing, WebGL-Renderer, rAF-Cadence, Storage-APIs — entlarvt auch getarnte Headless-Browser. Nur aggregierte Scores, keine Rohdaten.
PoW-Lösung + Behavioral Scores + signierte Bindings (Origin, Site, Form-Typ) werden zum V2-Token zusammengefügt. Kein Cross-Site-Replay möglich.
Profilbasierte Bewertung: Login strenger als Kontaktformular. Umfangreiches IP-Archiv (täglich mehrfach aktualisiert), Kampagnenerkennung, Confidence Score, Reason Codes.
allow, challenge, step_up oder block — abhängig von Site-Profil und Form-Policy. 4-stufiger Under-Attack-Mode eskaliert automatisch.
Proof of Work — SHA-256 / Argon2
a3f8c2e91b7d4f6...
00007f3a9c1b...
Widget-Größe (gzip)
Schicht 1
Jeder Browser muss eine Rechenaufgabe lösen, bevor das Formular abgesendet werden kann. Für einen einzelnen Menschen unmerklich (~200ms), für Bot-Fluten mit tausenden Anfragen pro Sekunde unbezahlbar.
Schicht 2
Während der Nutzer das Formular ausfüllt, sammelt das Widget passiv Verhaltens-Metriken. Keine Rohdaten verlassen den Browser — nur aggregierte Scores.
Maus-Entropie
Shannon, 8 Sektoren
Tipp-Rhythmus
Inter-Key-Intervalle
Scroll/Touch
Events, Geschwindigkeit
Focus-Wechsel
Tab-Reihenfolge
Getippte Zeichen
vs. eingefügte
Time-on-Page
Dauer bis Submit
Behavioral Signals — Live
2.7
Entropie
0.68
Rhythmus
42
Events
Risk Engine — Sentinel
4
/100 Risk Score
Schicht 3
Serverseitig bewertet die Risk Engine alle Signale kontextabhängig — Login wird strenger bewertet als ein Kontaktformular. Site-Profile und Form-Policies steuern die Schwellen individuell.
allow
Menschlich, durchlassen — mit Confidence Score und Reason Codes
challenge / step_up
Verdächtig — zusätzliche Interaktions-Prüfung oder erhöhter PoW
block
Bot erkannt — blockieren
Erkennung
Echte Menschen erzeugen natürliche Verhaltensmuster. Bots verraten sich durch fehlende oder künstliche Signale.
Natürliches Tipp-Muster erkannt
Instant-Fill erkannt — kein Tipp-Muster
Performance
Widget laden
0ms
Policy laden
~10ms
PoW lösen
~200ms
Behavior sammeln
parallel
Token + Bindings
0ms
Risk Engine
<50ms
Teste CaptchaCore live oder lies die Dokumentation für die Integration.