Headless Chrome ist der Chrome Browser ohne sichtbares Fenster, sodass Skripte Seiten laden und Abläufe durchklicken können.
Teams nutzen ihn für erlaubte Tests, und andere Betreiber nutzen denselben fensterlosen Browser, um eine Person in hohem Tempo nachzuahmen.
So funktioniert es
Weil kein Bildschirm da ist, kann ein Skript Seiten öffnen, Formulare füllen und Links verfolgen, auf einem Server, den niemand ansieht.
Die Browser Engine bleibt Chrome, deshalb kann der Verkehr einem normalen Besuch viel ähnlicher sehen als ein grobes Herunterladen des Seitentextes.
Das fehlende Fenster ist kein Beweis für Missbrauch, denn Testlabore und Barriereprüfungen nutzen denselben Modus jeden Tag.
Missbrauch zeigt sich, wenn viele fensterlose Sitzungen Bezahlvorgänge, Anmeldungen oder Suchen bearbeiten, die für Menschen vor einem Bildschirm gedacht waren.
Konkrete Beispiele
- Eine Release Ingenieurin lässt die Shop Tests in fensterlosem Chrome auf einem Build Server laufen, bevor am Freitag ausgeliefert wird.
- Ein Wiederverkaufsskript steuert fensterloses Chrome durch einen knappen Verkauf und füllt Kaufformulare schneller als Käuferinnen und Käufer am Laptop.
- Ein Überwachungsjob nutzt fensterloses Chrome, um zu bestätigen, dass eine öffentliche Statusseite nach einer Vorlagenänderung noch erscheint.
Schutzmaßnahmen
- Behandeln Sie das bloße Vorhandensein oder Fehlen eines sichtbaren Fensters nicht als Beweis, dass ein Besuch von einem Menschen stammt.
- Koppeln Sie Hinweise auf Browserautomatisierung mit Grenzen für teure Aktionen wie Bezahlen, Registrieren und Passwort zurücksetzen.
- Geben Sie Ihren eigenen Testsystemen einen dokumentierten Weg, damit Sicherheitskontrollen erlaubte fensterlose Tests nicht zerbrechen.
- Prüfen Sie Spitzen identischer Browserverläufe, die nie so pausieren, wie ein Mensch pausiert, der eine Seite liest.
Wie CDPCaptcha hilft
Proof of Work auf der Seite erhöht die Kosten fensterloser Browserautomatisierung, weil jeder Skriptbesuch die Rechenaufgabe lösen muss, bevor die Seite ihn annimmt.
CDPCaptcha ist eine selbst gehostete Proof-of-Work-Prüfung im Browser, ohne Cookies, ohne Tracking und ohne Bilderrätsel.
Entwickelt und gehostet in der EU, in Deutschland, wird der Dienst unter https://cdpcaptcha.com/ beschrieben.