Что проверяет Akamai Bot Manager, от рукопожатия до cookie

Вы открываете сайт ритейлера или авиакомпании, страница грузится наполовину, а все API-запросы за ней возвращают 403. В заголовках ответа или в cookie находятся _abck и bm_sz. Это Akamai Bot Manager. Ниже только то, что публикует сама Akamai, плюс уведомление о cookie одного сайта, который её использует. Внутренности, которые Akamai не документирует, мы не описываем.

Оценка у каждого запроса, начиная с первого

На странице продукта Akamai пишет, что Bot Manager «выставляет оценку от 0 (человек) до 100 (бот), учитывая все аномалии, начиная с самого первого запроса». Владелец сайта не решает «пустить или заблокировать» по каждому запросу вручную. Он раскладывает диапазоны оценки по трём сегментам ответа, которые Akamai называет Cautious (наблюдать), Strict (проверять) и Aggressive (пресекать), и выбирает реакцию для каждого.

На той же странице есть ещё две детали, важные для этой темы:

• Известные боты идут отдельным путём. У Akamai есть каталог известных ботов, а клиенты могут заводить свои категории. Заявленный бот классифицируется по имени, а не оценивается как подозрительный человек.
• «Скрытая защита, выходящая за рамки действий block и allow» указана как возможность продукта. Высокая оценка не обязана превращаться в страницу ошибки, которую вы увидите.

Рукопожатие читается раньше, чем появляется страница

У Akamai есть американский патент US11799908 на «обнаружение ботов в граничной сети по отпечатку TLS». Описанный в нём метод хеширует поля TLS Client Hello: версию record layer, версию клиента и упорядоченные списки расширений, наборов шифров, эллиптических кривых и алгоритмов подписи. Затем хеш проверяется двумя способами: по таблице пар «user agent плюс отпечаток TLS», собранной из реального человеческого трафика, и по опубликованным плохим сигнатурам из связки «отпечаток, порядок заголовков, user agent».

Патент описывает метод, а не то, что работает в продакшене сегодня. Но он показывает, что Akamai считает стоящим проверки: согласуются ли рукопожатие и порядок заголовков с браузером, который назван в вашем User-Agent.

Вторая половина этого слоя - HTTP/2. Два исследователя Akamai представили на Black Hat Europe работу о пассивном снятии отпечатков HTTP/2-клиентов, построенную на более чем 10 миллионах соединений и отпечатках для более чем 40 000 user agent. Каждая реализация HTTP/2 открывает соединение по-своему узнаваемо. Как устроены сами хеши, разобрано в статье про отпечатки TLS, JA3 и JA4.

Скрипт на странице и cookie

Второй слой работает в браузере. Akamai пишет, что обнаружение поведенческих аномалий «настраивается автоматически внедрением простого скрипта в каждую отслеживаемую страницу», и называет среди методов ИИ-модели анализа поведения пользователя и отпечаток браузера. Сторонние разборы обычно называют то, что этот скрипт отправляет обратно, sensor data. Akamai его содержимое не публикует, поэтому здесь мы его не описываем.

Зато видны cookie. Документация Akamai Identity Cloud описывает bm_sv как cookie, которую Bot Manager использует, чтобы отличать запросы, созданные людьми, от запросов ботов и других автоматических процессов. RIPE NCC, у которого на сайте стоит Bot Manager, публикует уведомление о cookie и относит пять из них к строго необходимым для сервиса Bot Management:

Cookie	Срок жизни в этом уведомлении
_abck	один год
bm_sz	четыре часа
ak_bmsc	два часа
bm_sv	два часа
bm_mi	два часа

На другом сайте сроки могут быть иными. Важна схема: одна долгоживущая cookie и несколько коротких.

Что это значит для работы с несколькими аккаунтами

Cookie на год - это память. Из этого следуют три вещи, и ни одна не требует догадок о внутренностях Akamai.

Чистка cookie при каждом запуске делает вас вечным новичком. Автоматизация, которая каждый раз стартует с пустого контекста, приходит без того, что Akamai записала в прошлый раз, и так при каждом визите. Профиль, сохраняющий свои cookie, выглядит вернувшимся посетителем, потому что им и является. Как сохранять это состояние в обычном Playwright, описано в статье про постоянный контекст Playwright.

Одна банка cookie на несколько личностей их связывает. Десять аккаунтов с одной и той же долгоживущей cookie Akamai при десяти разных отпечатках связаны этой cookie. Каждой личности нужна своя банка, наполненная её собственными визитами.

Блокировка скрипта не проходит бесследно. Если внедрённый скрипт не выполнился, обратно ничего не отправлено. Правила перехвата запросов, отбрасывающие скрипты, могут сделать это случайно.

Когда мы - неверный выбор

Если вы собираете публичные данные и проблема только в рукопожатии, обычный Playwright уже отправляет TLS и HTTP/2 настоящего браузера, без всяких профилей. Если у вас один аккаунт на своём компьютере, правильный инструмент - обычный Chrome.

Если владелец сайта отправил вашу сеть или категорию бота в сегмент Aggressive, с вашей стороны это не изменить. Ни один браузер, наш тоже, не купит адресу лучшую историю. AntiBrow держит для каждой личности отдельный локальный профиль со своими cookie и отпечатком, применённым в движке, а локальные профили бесплатны и не ограничены. Это решает вопрос состояния на личность, но не сайт, который уже решил против вашего трафика.

Проверьте сами

Откройте DevTools на сайте: Application, затем Cookies. Если там есть _abck и bm_sz, перед сайтом стоит Akamai. Закройте браузер, снова откройте тот же профиль и проверьте, сохранилась ли _abck. Если нет, ваша схема выбрасывает состояние, которое Akamai записала при прошлом визите. Как это вписывается в работу других вендоров, разобрано в статье как антибот-системы решают, что вы бот.

Источники, проверены 2026-10-22: страница продукта Akamai Bot Manager, документация Akamai Identity Cloud о cookie, патент US11799908, слайды Akamai об отпечатках HTTP/2, уведомление RIPE NCC о cookie.