Descarregar sites que utilizam Kasada

Sobre Kasada

Um produto de mitigação de bots num site é uma declaração sobre quem tem andado a tentar entrar. A Kasada, fundada em 2015 e vendida como serviço com licença Proprietary, existe para sites onde o tráfego automatizado é um problema de negócio e não um incómodo, com ensaio automático de credenciais roubadas contra os pontos de autenticação, recolha de preços e de stock, criação automática de contas e automatização de compras sobre stock escasso.

Conseguimos observar o produto porque a defesa tem um lado de cliente. A Kasada emite desafios criptográficos invisíveis ao navegador em vez de mostrar um enigma ao visitante, e o código do desafio tem de chegar à página, o que deixa uma impressão digital legível sem que seja sequer preciso resolvê-lo. Em outubro de 2026 detetamos a Kasada em 1305 sites.

O número é pequeno, e a pequenez é justamente o ponto. Uma defesa desta classe é comprada por companhias aéreas, bilheteiras, retalho com stock limitado, telecomunicações, jogos e serviços financeiros, e costuma ser comprada depois de um incidente e não à espera dele. Um site que a usa tem alguma coisa que vale a pena automatizar, tem orçamento e passou normalmente por um processo de aquisição em que os seus concorrentes diretos também andam metidos algures.

A lista é por isso útil em sentidos opostos. Os fornecedores concorrentes no mercado anti-bots leem-na como um mapa de contas, com a idade do contrato sugerida pela idade da instalação. As equipas de segurança e de fraude leem-na como uma lista de pares, porque saber que empresas comparáveis decidiram que vale a pena pagar por este problema é a via mais rápida para justificar ou para contestar internamente a mesma despesa. Quem estuda a corrida às armas da automação lê-a como uma medida de onde a despesa defensiva aterrou de facto e não de onde os fornecedores dizem que aterrou.

A honestidade conta mais do que o habitual num produto feito para resistir à medição. Vemos a Kasada onde o desafio é servido em resposta a um pedido normal de uma página. Não a vemos onde a proteção se aplica apenas aos caminhos de autenticação, de checkout ou de API que um rastreio nunca pede, e uma instalação que fica à frente apenas de um subdomínio aplicacional não chega sequer a registar-se no domínio principal. O número deve ser lido como o perímetro visível da base instalada e não como a totalidade dela, e nesta categoria é provável que o resto invisível seja substancial.

Confirmar que uma companhia aérea concreta usa a Kasada leva um minuto num navegador. Produzir a população exige rastrear a web inteira, que é o que o conjunto de dados descarregável é, com o domínio, a data de deteção e o resto da pilha de cada site ao lado, para que as instalações possam ser segmentadas por setor, dimensão e tecnologia vizinha em vez de contadas em abstrato.