Cos’è successo. Cloudflare ha lanciato Precursor, un motore di validazione comportamentale che raccoglie segnali client-side per tutta la durata della sessione di un visitatore. Invece di verificare l’utente solo su endpoint critici (login, checkout) come fa Turnstile, Precursor inietta JavaScript dinamico che cattura movimenti del mouse, eventi da tastiera, cambi di focus e visibilità, e li invia all’edge per l’analisi in tempo reale. Il sistema valuta se il pattern complessivo è umano o automatizzato: i bot possono eseguire JavaScript e passare singoli CAPTCHA, ma replicare un comportamento umano coerente per minuti è costoso e fragile.

Perché ti riguarda. Se costruisci sistemi con agenti web (scraping, test automatizzati, bot di monitoraggio), ti troverai davanti a questo tipo di difesa: non basta più superare la verifica iniziale, serve simulare una sessione intera. Se invece devi distinguere traffico umano da quello automatizzato sul tuo sito, Precursor mostra dove sta andando la detection: dall’evento singolo alla traiettoria completa. Per chi usa agenti legittimi (testing, monitoraggio), diventa più importante identificarsi esplicitamente come bot invece di tentare di sembrare umani — un pattern che fallisce sempre più spesso.

Nel contesto. Precursor è un’estensione opzionale di Bot Management Enterprise, quindi non colpisce tutto il traffico Cloudflare da subito. Ma il segnale è chiaro: la prossima generazione di anti-bot lavora sulla sessione, non sul click.

Nel dettaglio

Cosa c’era prima. Turnstile, il sistema di Cloudflare che ha sostituito i CAPTCHA, valida l’utente in momenti chiave: login, registrazione, pagamento. Gira quasi 3 miliardi di volte al giorno e adatta il livello di friction in base al rischio percepito. Funziona bene per proteggere endpoint sensibili, ma lascia il resto dell’applicazione senza visibilità: Cloudflare vede pattern di rete su 1 trilione di richieste al giorno, ma sul comportamento client-side oltre quei checkpoint critici non aveva granularità.

Come lavora Precursor. Quando lo abiliti, Cloudflare inietta automaticamente uno script nelle risposte HTML che passano per la sua rete. Lo script è compatto, offuscato, generato dinamicamente per ogni risposta, e attacca listener leggeri agli eventi di interazione: puntatore, tastiera, focus, visibilità. I dati raccolti vengono serializzati, bufferizzati in memoria e inviati a intervalli regolari all’edge server. Lì vengono deserializzati e analizzati: Cloudflare cerca segnali difficili da falsificare. Un esempio dal post: i movimenti del mouse umani sono archi limitati dal pivot del polso, hanno delay cognitivi misurabili fra vedere e cliccare, e includono un tremore fisiologico. I bot tendono a muoversi in linee rette o curve Bézier perfette, con precisione e velocità innaturali. Singolarmente, ogni interazione può sembrare plausibile; su una sessione intera, i pattern divergono.

Cosa significa per gli agenti web. Gli agenti che devono apparire umani (scraping mascherato, account farming) ora devono simulare non solo il click giusto, ma minuti di comportamento coerente. È più costoso da costruire, più fragile in produzione, e più facile da rilevare quando fallisce. Gli agenti legittimi (monitoring, testing) dovrebbero invece identificarsi: header User-Agent onesti, rate limiting rispettato, endpoint dedicati dove esistono. Precursor rende più evidente che fingere di essere umani è una strada sempre meno percorribile.

Implicazioni e limiti. Precursor è opt-in e parte di Bot Management Enterprise, quindi la maggior parte del traffico Cloudflare non lo vede ancora. Non sappiamo quanti falsi positivi produce su utenti con assistive technology, browser con JavaScript parziale o estensioni che alterano il comportamento del puntatore. Cloudflare dichiara che il sistema è progettato “con privacy in mente” ma non dettaglia quali dati vengono conservati, per quanto tempo, e se sono linkabili fra sessioni. Il post non riporta metriche di detection rate o confronti con altri sistemi. Quello che è chiaro: la detection si sta spostando dall’evento singolo alla traiettoria di sessione, e questo cambia le regole per chi costruisce automazione web.