unmask

JA4 fingerprint は、TLS handshake から取り出すクライアントの「指紋」だ。 攻撃ツール (curl / python / chromium-bot など) ごとに決まっていて、IP も国も VPN も User-Agent も、どれだけ切り替えても変わらない。
unmask は IP だけでなく JA4 単位でも BAN できる。botnet が IP を入れ替えても、 ひとつの判定でまとめて止まる。

UA 偽装・IP の入れ替え・botnet のスケールアウトに、ひとつの BAN で対応

一度通過した訪問者 (cookie を持つ再訪) は、nginx のワーカー内だけで検証が完結する。 サブリクエストも追加のホップもなく、素の nginx とほぼ変わらないスループットが出る。 アクセスの多いサイトの前段にも、そのまま置ける。

gateway container で Apache や Node など任意の HTTP server の前にも

Googlebot / Bingbot / GPTBot / ClaudeBot など主要な検索・AI クローラーは、 既定ではすべて通過 — 検索順位の事故を起こさない安全側から始まる。公式 IP レンジを公開する vendor は IP レンジで検証し (UA だけのなりすましは弾く)、レンジのないクローラーは UA で通過。600 以上のパターンを組み込み済みで、通す / 弾くは crawler ごとに web UI からワンクリックで切替 — 検索 bot は通して AI クローラーだけブロックする運用もそのまま選べる。

既定 = 検索順位の事故ゼロ · AI だけ弾く運用もワンクリック

unmask が落ちても nginx は止まらない。通過済みの訪問者は cookie 検証だけの 速い経路を保ち、まだ通過していない訪問者にも PoW / CAPTCHA は出ず、 目的のページがそのまま表示される (unmask を入れていないときと同じ動きに自動で戻る)。 「守りは落ちても web は動き続ける」を既定にし、 深夜の障害でサイトごと落ちる事故を、仕組みとして防ぐ。

どちらのモードも既定で fail-open

設定ファイル 1 つと web UI ですべて設定できる。ダッシュボードでは 30 日分のチャート・cookie 通過率・国別・ファネルを確認でき、 hunt 画面では直近のイベントをワンクリックで BAN / verdict 追加できる。 深夜に設定ファイルを手で書き換える必要がなくなり、日々のメンテナンスの負担を軽くする。

すべて自社のサーバーで動く。challenge 判定・cookie・IP・JA4・イベントログは 自分のサーバー内で完結し、利用者の行動が外部の SaaS に漏れることはない。 特定ベンダーへの縛りもなく、GDPR や個人情報保護法との整合も、自社のポリシーで取れる。

外部への API 呼び出しゼロ・第三者 SaaS との委託契約も不要