Bot Trafiği Çoğunluk Olduğunda Soru Değişir
Web güvenliği uzun süre sessiz bir varsayıma dayandı: gelen isteğin arkasında çoğunlukla insan vardır. Bu varsayımın üzerine oturum yönetimi, dolandırıcılık önleme, hız sınırlama, giriş güvenliği, içerik koruma ve WAF politikaları inşa edildi. Botlar vardı; ancak çoğu sistem onları istisna olarak ele alıyordu. İnsan trafiği normal kabul ediliyor, bot trafiği ise ayrıştırılması gereken sapma olarak görülüyordu.
2026'ya girerken bu denge değişti. Bot trafiği artık web trafiğinin kenarında duran küçük bir problem değil. Arama motoru tarayıcıları, SEO araçları, fiyat kazıyıcılar, credential stuffing botları, click fraud ağları, residential proxy altyapıları ve AI ajanları aynı uygulama yüzeyine farklı niyetlerle erişiyor.
Bu yüzden modern bot yönetiminde soru artık yalnızca şu değil: bu istek bir bot mu? Daha önemli soru şu: bu hangi tür bot ve ne yapmaya çalışıyor?
Çünkü her bot düşman değildir. Googlebot'un sitenize erişmesi gerekir. Yetkili izleme araçlarının servislerinizi kontrol etmesi gerekir. Bir müşterinin kendi adına işlem yapan AI ajanı tamamen yeni bir erişim modeli oluşturabilir. Buna karşılık credential stuffing yapan, fiyat verinizi çalan, stok tüketen veya içerik kazıyan botların durdurulması gerekir. Bu ayrım yapılmadan kurulan savunma iki kötü sonuç üretir: iyi botları engeller, kötü botları kaçırır.
Modern bot yönetimi bu yüzden tek bir engelleme kararından ibaret değildir. Davranışsal sinyalleri, protokol parmak izlerini, oturum akışını, IP ve ASN bağlamını, istek hacmini ve niyet göstergelerini birlikte değerlendirir. Sonra da her kategoriye farklı politika uygular.
%51 Çağı Rakamlarla
Botlar 2025'te ilk kez insan/insan dışı eşiğini geçti
Imperva Bad Bot Report 2025TR7 Bot Yönetimi davranışsal, protokol, kimlik ve itibar sinyallerini birlikte kullanır
TR7 ÜrünTespit, meşru kullanıcıları etkilemeden istek akışında çalışmalıdır
TR7 MühendislikGerekli (izin ver), tolere edilebilir (kısıtla), düşman (engelle) — tek karar yetmiyor
OWASP OATCAPTCHA'lar uzun süre bot savunmasının varsayılan kontrolüydü. Temel fikir basitti: insanın kolayca çözdüğü, botun çözemediği bir görev oluşturmak. Bu fikir artık eski gücünü kaybetti. Modern görsel AI modelleri görüntü CAPTCHA'larını yüksek doğrulukla çözebiliyor. Speech-to-text sistemleri ses CAPTCHA'larını etkisizleştiriyor. Basit matematik veya mantık soruları LLM'ler için engel oluşturmuyor. Sürükle-bırak veya puzzle tarzı davranışsal CAPTCHA'lar ise insan hareketini taklit eden otomasyon kütüphaneleriyle aşılabiliyor. Daha önemlisi, botun CAPTCHA'yı kendisinin çözmesine bile gerek kalmadı. CAPTCHA çözme servisleri küresel bir tedarik zinciri gibi çalışıyor — bot challenge'ı alıyor, düşük maliyetli bir çözüm servisine iletiyor ve yanıtı gerçek zamanlı olarak kullanıyor. Bu sırada meşru kullanıcı birkaç saniye kaybediyor, erişilebilirlik sorunu yaşıyor veya oturumdan düşüyor. Maliyet dengesi tersine döndü: CAPTCHA meşru kullanıcıya sürtünme ekliyor, ama motive olmuş saldırganı durduramıyor. Daha doğru yaklaşım, kullanıcıdan kendini kanıtlamasını istemeden arka planda sinyal toplamaktır — davranışsal parmak izi, protokol analizi ve niyet sınıflandırması bu yüzden modern bot yönetiminin merkezine yerleşir.
Modern Bot Yönetimi Tek Bir Sinyale Dayanmaz
Bot tespitinde tek bir sinyalin yeterli olduğu dönem geride kaldı. IP itibarı tek başına yetmez; residential proxy ağları gerçek ev internet bağlantılarından trafik çıkarabilir. User-agent güvenilir değildir. Headless tarayıcı kontrolü tek başına zayıftır. CAPTCHA çözümü güvenilir değildir. Etkili bot yönetimi birçok zayıf sinyali birlikte değerlendirir — her biri tek başına aşılabilir ama saldırganın hepsini aynı anda, tutarlı ve düşük maliyetli şekilde taklit etmesi zordur.
Davranışsal Parmak İzi
Gerçek kullanıcılar uygulamayla düzensiz, bağlamsal ve biyolojik olarak tutarsız şekillerde etkileşir — fare hareketleri kusursuz eğriler çizmez, yazma ritmi sabit değildir, kaydırma hızı içerikle değişir, odak olayları, bekleme süreleri, geri dönüşler ve küçük tereddütler oturum içinde doğal bir örüntü oluşturur. Botlar iki uçtan birine düşer: çok düzenli (mükemmel zamanlama, doğrusal hareketler, eşit aralıklı istekler) veya tutarsız insan taklidi. Davranışsal parmak izi bu mikro sinyalleri birlikte değerlendirir — meşru kullanıcıya görünür challenge gösterilmez.
TLS Parmak İzi (JA4)
Botlar çoğu zaman kendilerini modern tarayıcı gibi göstermeye çalışır — user-agent Chrome ayarlanabilir, header'lar düzenlenebilir, JS ortamı kısmen taklit edilebilir. Ancak alt katmanlarda istemci kütüphanesinin gerçek izi kalır. TLS Client Hello içindeki cipher suite listesi, uzantı sırası, desteklenen gruplar ve handshake ayrıntıları istemci kimliği hakkında güçlü sinyaller üretir. Python requests, gerçek Chrome, headless tarayıcı veya özel otomasyon aracı aynı görünmeye çalışsa bile TLS seviyesinde farklı izler bırakır.
HTTP/2 Parmak İzi
HTTP/2 de benzer şekilde değerli sinyaller üretir — frame ayarları, pseudo-header sıralaması, HPACK kodlama davranışı, önceliklendirme tercihleri ve bağlantı yönetimi ayrıntıları istemci kütüphanesinin gerçek doğasını yansıtır. Gerçek tarayıcıların HTTP/2 davranışı ile otomasyon kütüphanelerinin davranışı çoğu zaman birebir aynı değildir. Üst katmanda header'lar taklit edilse bile protokol ayrıntıları farklı kalır — bu fark, gerçek tarayıcıya çok yakın görünen gelişmiş botların tespitinde değerlidir.
Oturum Akışı Analizi
En değerli sinyallerden biri oturumun şeklidir. Tek tek istekler temiz görünebilir — header'lar doğru, IP şüpheli değil, TLS profili kabul edilebilir. Ancak oturumun tamamı incelendiğinde niyet ortaya çıkar. Gerçek kullanıcıların davranışı yolculuk izler: ana sayfaya gelir, içerik tarar, kategoriye geçer, ürün inceler, bekler. Botlar keşif aşamasını atlar — doğrudan hedef uç noktaya gider, aynı işlemi tekrarlar, giriş formuna farklı kimlik bilgileriyle yüklenir, fiyat sayfalarını düzenli aralıklarla çeker, ödeme akışını ürün incelemeden çalıştırır.
IP ve ASN İtibarı
Residential proxy ağları IP itibarı tabanlı savunmaları ciddi şekilde zayıflattı. Saldırganlar artık yalnızca veri merkezi IP'lerinden gelmiyor. Buna rağmen IP ve ASN itibarı tamamen değersiz değildir. Bir residential IP'den dakikada binlerce istek geliyorsa bu hâlâ şüphelidir. Kısa sürede çok sayıda hesap denemesi yapan bir ASN hâlâ önemlidir. Daha önce kötüye kullanımda görülen ağlar risk skoruna katkı sağlamalıdır. Doğru yaklaşım: IP tek başına karar vermemeli — ama karara ağırlık katmalıdır.
Niyet Sınıflandırması
Asıl kırılma noktası niyet sınıflandırmasıdır. 'Otomatik trafik' tek başına yeterli bir kategori değildir — arama motoru da otomatiktir, credential stuffing botu da. Niyet sınıflandırması şu sorulara bakar: hangi uç noktalar hedefleniyor, istekler hangi sırayla geliyor, payload'lar nasıl değişiyor, giriş denemelerinde kimlik bilgileri nasıl varyasyon gösteriyor, fiyat veya envanter sayfaları hangi ritimle çekiliyor. Credential stuffer ile fiyat kazıyıcı aynı şekilde ele alınmaz. Bot yönetimi 'engelle/izin ver' kararından çıkar; kategoriye göre politika uygulayan sisteme dönüşür.
Üç Kategori: İzin Ver, Kısıtla, Engelle
Modern bot yönetiminde hedef tüm botları ortadan kaldırmak değildir. Bu hem mümkün değildir hem de istenen bir şey değildir. Bazı botlar işiniz için gereklidir. Bazıları tolere edilebilir. Bazıları ise doğrudan engellenmelidir. Pratik olarak bot trafiğini üç ana kategoriye ayırmak gerekir.
Gerekli Botlar — İzin Ver
Erişimi işiniz için değerli veya operasyonel olarak gereklidir. Arama motoru tarayıcıları sayfalarınızı indeksler ve organik trafik getirir. Sosyal medya önizleme botları bağlantıların doğru görünmesini sağlar. Yetkili izleme araçları servis erişilebilirliğini kontrol eder. Kendi sentetik testleriniz uygulama sağlığını ölçer. AI ajanları — kimliği doğrulanmış, yetkilendirilmiş, kullanıcı adına işlem yapan — burada yer alır; anonim kötü bot gibi değerlendirilmemelidir. Doğru politika engelleme değil, doğrulama ve kontrollü izin vermedir.
Tolere Edilebilir Botlar — Kısıtla
Doğrudan gerekli değildir, ancak her durumda engellenmesi de gerekmez. Yavaş kazıyıcılar, RSS okuyucuları, arşivleme araçları, sosyal medya önizleme oluşturucuları, orta seviye analiz tarayıcıları bu gruba girer. Belirli sınırlar içinde tolere edilebilir — ancak uygulama kaynaklarını tüketmelerine, veriyi agresif çekmelerine veya kullanıcı deneyimini etkilemelerine izin verilmemelidir. Doğru politika: hız sınırlama, düşük öncelik, challenge uygulama, belirli uç noktalarla sınırlandırma. Belirsiz oturumlar da bu kategoriye alınabilir — düşük maliyetli sürtünmeyle test edilir.
Düşman Botlar — Engelle
Amacı doğrudan zarar vermek olan botlar. Credential stuffing botları sızdırılmış parolaları giriş uç noktalarında dener. Account takeover saldırıları hesapları ele geçirmeye çalışır. Rekabetçi kazıyıcılar fiyat ve envanter verisi çalar. Click fraud botları reklam bütçesini tüketir. Envanter botları stokları yapay şekilde tüketir. İzinsiz içerik kazıyıcılar verinizi başka modeller, rakipler veya veri broker'ları için alır. Doğru politika nettir: engelle, logla, alarm üret ve gerekirse ek güvenlik süreçlerini tetikle. Her başarılı istek maliyet üretir — burada sürtünme değil, doğrudan durdurma gerekir.
Politika Katmanı: Tespitle Eylemi Birbirinden Ayırmak
Bot yönetiminde sık yapılan hata, tespit ve politikayı aynı şey gibi ele almaktır.
Tespit şu soruya cevap verir: bu trafik nedir?
Politika ise farklı bir soruya cevap verir: bu trafikle ne yapacağız?
Bu iki karar ayrılmadığında sistem kırılgan hale gelir. 'Bot ise engelle' gibi basit bir kural, Googlebot'u, RSS okuyucusunu, AI ajanını ve credential stuffer'ı aynı sepete koyar. Bu da yanlış pozitifleri artırır ve iş açısından değerli trafiği keser.
Daha dayanıklı yaklaşım şudur: tespit katmanı botun türünü ve niyetini belirler; politika katmanı kategoriye göre eylem uygular.
Örneğin Googlebot için izin ver, uptime monitor için izin ver, RSS okuyucu için hız sınırı uygula, belirsiz otomasyon için düşük maliyetli challenge uygula, fiyat kazıyıcı için kısıtla veya engelle, credential stuffing için engelle ve alarm üret, click fraud için engelle ve raporla.
Bu ayrım operasyonel esneklik sağlar. Yeni bir AI ajan kategorisi ortaya çıktığında tespit motorunu baştan yazmadan politika güncellenebilir. Tespit hassasiyeti artırıldığında arama motorları yanlışlıkla engellenmez. Farklı bot kategorileri farklı hızlarda yönetilebilir.
Bot Yönetiminizin Çalışıp Çalışmadığını Nasıl Ölçersiniz?
Bot yönetimi tek seferlik kurulum değildir. Saldırganlar değiştikçe sinyaller de değişir. Bu yüzden sistemin başarısı altı pratik metrik üzerinden sürekli ölçülmelidir.
Uç Nokta Başına Bot-İnsan Oranı
Tüm site ortalaması tek başına yeterli değildir. Giriş, kayıt, ödeme, arama, fiyat, envanter, API ve içerik uç noktaları ayrı ayrı izlenmelidir. Bot problemi genellikle belirli uç noktalarda yoğunlaşır. Bir ödeme uç noktasındaki bot oranı ile blog sayfasındaki bot oranı aynı risk seviyesinde değildir. Uç nokta bazlı görünüm, problemi doğru yerde görmenizi sağlar.
Bot Kategori Dağılımı
'%X bot trafiği var' bilgisi tek başına aksiyon üretmez. Önemli olan dağılımdır: ne kadarı arama motoru, ne kadarı izleme aracı, ne kadarı kazıyıcı, ne kadarı credential stuffing, ne kadarı AI ajanı, ne kadarı belirsiz otomasyon. Bot trafiğinizin büyük bölümü arama motorlarından geliyorsa farklı, credential stuffing trafiğinden geliyorsa tamamen farklı bir güvenlik probleminiz vardır.
Tespit Gecikmesi
Bot tespit kararları hızlı verilmelidir. Kullanıcı giriş, ödeme veya arama gibi kritik akışlarda sistemin karar vermesini beklememelidir. Milisaniyeler düzeyinde gecikmeler bile yüksek hacimli uygulamalarda kullanıcı deneyimini etkileyebilir. Pratik hedef, karar mekanizmasının kullanıcı tarafından hissedilmeyecek kadar hızlı çalışmasıdır. TR7 Bot Yönetimi bu kararı 5 ms altı gecikmeyle verecek şekilde tasarlanmıştır.
Yanlış Pozitif Sinyalleri
Yanlış pozitifler yalnızca güvenlik panelinden anlaşılmaz. Gerçek sinyaller çoğu zaman destek taleplerinde, kullanıcı şikayetlerinde, dönüşüm hunisi düşüşlerinde, başarısız login artışlarında veya ödeme terk oranlarında görünür. Yanlış pozitif takibi yalnızca tespit motorunun iç skorlarına bırakılmamalıdır — kullanıcı deneyimi ve iş metrikleriyle birlikte izlenmelidir. Bir bot savunması saldırganı durdururken gerçek müşteriyi de durduruyorsa, başarılı değildir.
Bypass Oranı
Sistemin uzun vadeli sağlığını gösteren en önemli metriklerden biri. Korumalı eylemlere ulaşan doğrulanmış düşman bot oturumlarının oranı izlenmelidir — giriş denemeleri, hesap oluşturma, satın alma, hassas API çağrıları, içerik indirme. Mutlak sayıdan çok trend önemlidir. Bypass oranı sabitse savunma saldırgan temposuna yetişiyor olabilir. Artıyorsa saldırganlar mevcut sinyalleri aşmaya başlamış demektir — yeni sinyaller, politika ayarları veya daha güçlü kontroller gerekir.
Engelleme Başına Maliyet
Her savunma aynı maliyette değildir. İmza tabanlı kontroller ve IP/ASN sinyalleri düşük maliyetle geniş hacimde çalışabilir. Davranışsal analiz daha fazla bağlam ister. Ağır ML inference veya derin oturum analizi her istek için değil, yüksek değerli karar noktaları için kullanılmalıdır. Bot savunması katmanlı kurulmalıdır — ucuz sinyaller geniş trafikte, daha pahalı analizler giriş, ödeme, hesap oluşturma, hassas API ve yüksek riskli aksiyonlarda. Doğru metrik yalnızca 'kaç bot engellendi?' değildir. Daha iyi soru: engellediğimiz saldırının değeri, savunma maliyetinden yüksek mi?
2026'da bot yönetimini zorlaştıran yeni başlıklardan biri AI ajanlarıdır. Geleneksel bot ayrımı çoğunlukla iyi bot ve kötü bot arasında yapılırdı. Arama motoru iyi, credential stuffer kötü. Ancak AI ajanları bu çizgiyi bulanıklaştırır. Bir AI ajanı kullanıcı adına form doldurabilir, ürün araştırabilir, rezervasyon yapabilir, fiyat karşılaştırabilir veya kurumsal bir iş akışını tamamlayabilir. Bu durumda otomatik trafik olması tek başına kötü niyet anlamına gelmez. Burada kritik olan kimlik ve yetkidir. Yetkili bir AI ajanı, anonim bot gibi değil, kullanıcı adına hareket eden bir istemci gibi ele alınmalıdır. Bu da bot yönetimini erişim kontrolüyle birleştirir. Kim adına işlem yaptığı, hangi izinlere sahip olduğu, hangi aksiyonları yapabileceği ve hangi hız sınırlarına tabi olduğu açıkça belirlenmelidir. AI ajanları nedeniyle bot yönetimi artık yalnızca güvenlik katmanı değildir — kimlik, politika ve uygulama deneyimiyle birlikte düşünülmesi gereken bir erişim modeli haline gelir.
Sonuç: CAPTCHA Yerine Sinyal, Engelleme Yerine Sınıflandırma
2026'da bot yönetimi eski reflekslerle yürütülemez.
CAPTCHA'lar birincil kontrol olarak etkisini kaybetti. Residential proxy ağları IP itibarını tek başına yetersiz bıraktı. Headless tarayıcılar basit parmak izi kontrollerini aşabiliyor. AI ajanları ise otomatik trafiği yalnızca kötü niyetli bot kategorisiyle açıklamayı imkânsız hale getiriyor.
Bu ortamda doğru yaklaşım üç parçadan oluşur: davranışsal ve protokol tabanlı sinyallerle tespit; oturum akışı ve payload analiziyle niyet sınıflandırması; bot kategorisine göre ayrıştırılmış politika.
Böylece meşru kullanıcıya CAPTCHA gösterilmez. Gerekli botlara izin verilir. Tolere edilebilir botlar sınırlandırılır. Düşman botlar engellenir. AI ajanları ise kimlik ve yetki bağlamında yönetilir.
Modern bot yönetiminin amacı 'her botu yok etmek' değildir. Amaç, her otomatik trafiğe doğru muameleyi uygulamaktır.
Referanslar ve Kaynaklar
2025'te bot payının %51'i geçtiğini belgeleyen yıllık sektör ölçümü. https://www.imperva.com/resources/resource-library/reports/bad-bot-report/
Credential stuffing (OAT-008), scraping (OAT-011), hesap oluşturma kötüye kullanımı (OAT-019) dahil otomatik tehditlerin kapsamlı kataloğu. https://owasp.org/www-project-automated-threats-to-web-applications/
FoxIO'nun, eski JA3'ün yerini alan, daha güçlü kodlama özellikleriyle modern TLS parmak izi paketi. https://github.com/FoxIO-LLC/ja4
Bot trafiği desenleri ve tespit eğilimleri üzerine üç aylık tehdit istihbarat raporları. https://www.akamai.com/security-research/the-state-of-the-internet
Residential proxy tespiti, davranışsal analiz ve parmak izi teknikleri üzerine teknik yazılar. https://blog.cloudflare.com/tag/bots/
Davranışsal Parmak İzi CAPTCHA'lardan Daha Güçlüdür
TR7 Bot Yönetimi; davranışsal örüntü analizi, TLS ve HTTP/2 parmak izi, IP/ASN bağlamı, oturum akışı ve niyet sınıflandırması dahil 11 ağırlıklı tespit faktörünü birlikte kullanır. Kararlar 5 ms altında verilecek şekilde tasarlanmıştır. Meşru kullanıcılar için CAPTCHA sürtünmesi oluşturmaz. Düşman botlar için ise maliyeti artırır, tespiti güçlendirir ve politika bazlı müdahaleyi mümkün hale getirir.
TR7 Bot Yönetimini Keşfet