Effektiver Bot-Schutz ohne CAPTCHAs.
Vinishu's SDK prüft die Browser deiner User und guckt, ob sich ein Bot dahinter verbergen könnte. Der Nutzer bekommt eine Session zugeordnet, mit der deine API bei Vinishu anfragen kann, ob der Nutzer echt ist.
Es könnte kaum einfacher sein.
Du nimmst Änderungen in zwei Dateien vor: das Layout bzw. die HTML-Seite einmal, dazu jede Route, die du schützen willst.
Änderungen in zwei Dateien. Mit unserem Paket sechs Zeilen. Keine DNS-Änderung.
- app/layout.tsxeinmal
<body>{children}<script src="https://sdk.vinishu.io/v3.js" async></script></body>Einmal ins Layout eingebaut, läuft es auf jeder Seite. Das Script lädt asynchron und legt eine Session in den Browser-Cookies an.
- app/api/login/route.tsje Route
import type { NextRequest } from "next/server";import { verify } from "@vinishu/sdk";export async function POST(req: NextRequest) {const v = await verify(req);if (!v.valid) {return Response.json({ error: "denied" }, { status: 403 });}// your login logic, unchanged}import type { NextRequest } from "next/server";export async function POST(req: NextRequest) {const res = await fetch("https://api.vinishu.io/verify", {method: "POST",body: JSON.stringify({ cookie: req.cookies.get("vn_id")?.value }),});// The answer is { valid, score }. valid is false if a bot sent this request.const v = await res.json();if (!v.valid) {return Response.json({ error: "denied" }, { status: 403 });}// your login logic, unchanged}Im Handler prüfst du die Session, bevor dein Code läuft. Was bei einem Bot-Flag passiert, entscheidest du. Hier ist es eine 403-Antwort. Das machst du in jeder Route, die du schützen willst.
Zeilen, die mit + beginnen, werden hinzugefügt, der Rest steht schon bei dir.
Was dein Server von uns bekommt.
Das ist ein Beispiel, wie eine Antwort einer Verify-Anfrage bei uns aussieht. Einfach zu verarbeiten, und wenn du mehr Informationen brauchst, kannst du sie dir über die IDs holen.
{ "valid": true, "score": 98, "fingerprint_id": "fp_8c21ae4d7b", "session_id": "sn_4f90bd12c8"}valid- Echt oder automatisiert. Das Feld ist unsere Einschätzung. Deine Route muss diese jetzt noch auf den Verlauf der Anfrage anwenden.
score- 0 ist definitiv ein Bot, 100 ist ein Mensch. Mit diesem Wert kannst du eine eigene Schwelle setzen. Mehr dazu gibt es dann in unserer Dokumentation.
fingerprint_id- Damit kannst du Details über den Browser erfahren. Für Sicherheitsexperten, die noch eigene Sicherheitsmaßnahmen einbauen wollen.
session_id- Die ID der generierten Session, damit kannst du das „Warum?“ klären. Such nach dieser ID im Dashboard und du siehst die genauen Gründe für unsere Einschätzung.
Diese Felder kommen bei dir an, ob du die IDs verwendest, ist ganz dir überlassen. Notwendig ist es für den Betrieb nicht.
Keine Antwort mehr - was jetzt?
Passiert nicht, gibt es nicht. Über die AGB sichern wir dir unsere Verfügbarkeit zwar zu, aber es gibt auch Ausfälle, die niemand vorhersehen kann. Was dann passiert, ist dir überlassen.
Keine Antwort innerhalb deines Timeouts - dein Server beantwortet die Anfrage ganz normal. Unsere Empfehlung, so hast du niemals Downtime durch uns. Allerdings kommen jetzt auch Bots durch.
Deine Nutzer haben weiter Zugriff und merken vom Ausfall nichts.
Solange das Timeout läuft, ist unser Schutz weg. Ein Bot, der in dieser Zeit auf deine Seite kommt, wird nicht geprüft.
const v = await verify(id).catch(() => ({ valid: true, degraded: true }));Welche Stellung richtig ist, musst du entscheiden, diese Entscheidung können wir dir nicht abnehmen.
Was du bekommst.
Aufzählung der Kernfunktionen des Vinishu SDK. Schnell und auf einen Blick.
Erkennung
Ausführliche Analyse
Wir prüfen den Browser samt seiner IP ständig neu. TLS-Signale und Request-Header bewerten wir im Bruchteil einer Sekunde. Ändert sich das, was ein Browser vorgibt, merken wir das.
TLS-Erkennung
Wir prüfen TLS-Daten in der Millisekunde, in der die Challenge bei uns gepostet wird. So können wir dir sofort sagen, ob die Daten gefälscht sind.
Durchsetzung
Selbstdefinierte Regeln
Du kannst eigens festlegen, ob bestimmte IPs oder bestimmte HTTP-Header immer durchgelassen werden. Die Regeln sind einfach zu erstellen.
Rate-Limiting vor der teuren Arbeit
Das SDK hält Anfragen nicht von deinem Server fern, aber es verhindert, dass sie dort teure Server-Arbeit beanspruchen.
Performance
Niedrige Latenz
Aktuell läuft Vinishu nur auf Servern in der EU. Hier wird die Anfrage immer auf den nächstgelegenen Server geleitet. Bald unterstützt Vinishu auch Regionen außerhalb der EU, aber mit EU-Fencing.
Entscheidung in Millisekunden
Entschieden, ob der Nutzer ein Bot ist oder nicht, wird schon beim Laden des Scripts. Wenn du das Ergebnis brauchst, ist es innerhalb weniger Millisekunden da und fügt keine Latenz hinzu.
Betrieb
Nachvollziehbare Entscheidungen
Im Dashboard kannst du jede Anfrage nachvollziehen, jede Entscheidung und jeden Block mit Begründung. Auf einen gesammelten Report musst du nicht warten.
Einfaches Management
Lade dein Team ganz einfach ein und gib ihm damit Zugriff auf Vinishu. So hast du nicht die alleinige Arbeit.
Was das SDK nicht kann.
Drei Punkte, nach denen regelmäßig gefragt wird und die ein SDK in seiner Struktur nicht leisten kann. Es läuft in deiner Anwendung, nicht davor.
Keine DDoS-Absorption.
Die Anfrage erreicht deinen Server. Was sie dort kostet, entscheidest du, indem du die Session bei uns checkst - nicht, ob sie ankommt.
Reverse ProxyBald verfügbar
Rate-Limiting nur mittelbar.
Wir verhindern, dass deine Datenbank von einem Bot ausgelesen wird, indem du ihn mit unserem Ergebnis blockst. Wir verhindern nicht, dass er überhaupt anfragt.
Reverse ProxyBald verfügbar
Keine TLS-Termination.
Wir können keine TLS-Checks vor deinem Server machen. Das wird in Zukunft der Reverse Proxy übernehmen, der bald auf den Markt kommt.
Reverse ProxyBald verfügbar
Wenn du etwas davon trotzdem brauchst, können wir dir helfen, indem wir dich vorübergehend mit dem SDK schützen, und sobald der Reverse Proxy da ist, stellen wir deinen Vertrag darauf um. Sprich uns einfach an.
Was passiert, wenn euer Dienst ausfällt?
Das entscheidest du. Auch wenn die Wahrscheinlichkeit dafür sehr gering ist, muss man natürlich darüber nachdenken. Weiter oben auf dieser Seite haben wir es genauer erklärt.
Wie viel Latenz kommt dazu?
Ein paar Millisekunden, da die Entscheidung, ob der Nutzer echt ist, schon lange vor deiner Nachfrage bei uns gefallen ist. Wir liefern dir also nur noch das fertige Ergebnis.
Verlangsamt das Skript meine Seite?
Nein, das Script-Tag lädt mit async und blockiert das Rendern der Seite nicht. Es zeichnet nichts, öffnet keine Popups und hängt sich nicht in deine Formulare. Es speichert nur eine Session in den Cookies, die dein Server später bei uns prüfen kann.
Was seht ihr von meinen Nutzern?
Browser-Signale, Request-Metadaten und Verhaltenssignale, keine Inhalte. Wir sehen nicht, was deine Nutzer eingeben, bestätigen oder auswählen. Passwörter und sonstige Daten bleiben vertraulich zwischen dir und deinen Nutzern.
Welche Sprachen und Frameworks?
Ein fertiges Integrationspaket bieten wir für verschiedene Sprachen an. Auf Anfrage bauen wir auch die Integration für deinen Use-Case. Es ist aber auch nur eine einfache HTTP-Anfrage.
Kann ich meinen Traffic nur beobachten, ohne zu blocken?
Ja, genau das machst du in der Pilotphase. Natürlich geht das auch danach. Wir stellen dir einen Analyse-Endpunkt zur Verfügung, um auch wirklich zu ermitteln, wie groß deine Bot-Last ist.
Muss ich etwas an meinen DNS-Einstellungen ändern?
Nein, das SDK kommt direkt von unseren Servern, extern eingespielt, du musst nichts an deinen Domaineinstellungen ändern.
Was kostet es?
Einen festen Monatspreis, je nachdem, wie viele Domains du betreibst und wie viele Sessions im Monat auf deiner Seite erstellt werden. Alles über dem Limit wird zusätzlich mit einem festgelegten Preis berechnet. Alle Pläne stehen auf der Preisseite. Vorab läuft ein kostenloser Pilot für dich, um das perfekte Paket für dich zu finden.
Tausch deine CAPTCHAs gegen unsichtbaren Schutz.
Script-Tag einbinden, HTTP-Anfrage in deiner API, und der Bot-Schutz ist aktiv. Beim Einbau hilft dir unser Team. Danach testest du Vinishu zwei Wochen im Pilot, mit Traffic-Analyse am Ende.
Finde heraus, wie gefährdet du von Bot-Angriffen bist
Verrate uns den Link zu deiner Website. Wir checken deine öffentlichen Seiten und zeigen dir alle Schwachstellen, bei denen wir keinen Bot-Schutz erkennen. Abgeschickt wird dabei nichts.
- Kostenlos
- Passiv
- 90 Sekunden