Wichtigste Ergebnisse
- 3 von 6am Tor blockiert: zwei falsche Suchmaschinen-Bots und ein KI-Crawler.
- 2 von 6statt der Seite zu einer unsichtbaren Prüfung geschickt: beide gaben sich als Chrome aus.
- 1 von 6kam durch: ein einfaches Skript, das eine Seite abrief und sagte, was es ist.
Unsere Demo-Website, demo.qlyne.com, steht hinter demselben Proxy, den unsere Kunden auf ihren eigenen Servern betreiben. Am 18. Oktober 2026 haben wir ein kleines Skript mit sechs verschiedenen Verkleidungen auf die Startseite gerichtet, je eine Anfrage. Das ist eine Plausibilitätsprüfung, kein Benchmark: sechs Anfragen, eine Seite, ein Durchlauf. Sie zeigt, wie jede Schicht des Tors auf den Besucher antwortet, für den sie gebaut wurde.
Die sechs Besucher
| Profil | Was es vorgibt zu sein | Ergebnis |
|---|---|---|
| Einfaches Skript | Ein Kommandozeilen-Client, der das im User-Agent sagt | durchgelassen |
| Falscher Googlebot | Googlebot im Namen, von einer Adresse außerhalb des Google-Netzes | blockiert |
| Falscher Bingbot | Bingbot im Namen, von einer Adresse außerhalb des Microsoft-Netzes | blockiert |
| KI-Bot | Ein KI-Crawler (GPTBot), der sich zu erkennen gibt | blockiert |
| Automatisierter Browser | Chrome im Namen, ohne die Header, die ein echter Chrome sendet | geprüft |
| Chrome-Nachahmung | Ein aktueller Chrome mit stimmigen Headern, aus einem Skript ohne JavaScript | geprüft |
Warum die falschen Suchmaschinen-Bots blockiert wurden
Ein User-Agent ist eine Behauptung, die jeder eintippen kann. Google und Microsoft veröffentlichen die Netze, aus denen ihre Crawler kommen, also prüft das Tor die Adresse jeder Anfrage, die sich als einer von ihnen ausgibt. Unsere sagten Googlebot und Bingbot und kamen von woanders, und dieser Widerspruch reicht zum Blockieren. Ein echter Googlebot aus dem Google-Netz kommt durch.
Warum der KI-Crawler blockiert wurde
Die Demo blockiert KI-Trainings-Crawler nach Kategorie, eine Einstellung im Dashboard. GPTBot nennt sich ehrlich, also ist das der einfache Fall: Die Regel griff beim Namen. Der schwierige Fall ist ein Crawler, der sich als Browser ausgibt, und darum geht es bei den nächsten beiden Profilen.
Warum zwei geprüft statt blockiert wurden
Beide gaben sich als Chrome aus. Der erste ließ Header weg, die jeder aktuelle Chrome beim Abruf einer Seite sendet, ein starkes Zeichen für Automatisierung. Der zweite sendete alle, stimmig. In beiden Fällen war sich das Tor nicht sicher genug zum Blockieren und antwortete mit einer Prüfung: einem kleinen Proof of Work, den ein echter Browser im Hintergrund löst, ohne dass der Besucher es merkt. Ein Skript ohne JavaScript bleibt dort stehen.
Die Chrome-Nachahmung ist das Profil, auf das man achten sollte. Näher kommt ein einfaches Skript einem Menschen nicht, und wir stellen ihm lieber eine Frage, als es abzuweisen, denn eine falsche Sperre kostet einen echten Kunden.
Warum das einfache Skript durchkam
Es rief eine Seite ab, sagte, was es ist, und tat sonst nichts. So sieht ein Uptime-Monitor oder ein Feed-Reader aus, und ihn zu blockieren würde Werkzeuge kaputt machen, auf die Menschen sich verlassen. Wenn ein solches Skript zu viel in zu kurzer Zeit abruft, stoppt es das Anfragelimit.
Was das nicht zeigt
Sechs Anfragen messen keine Genauigkeit. Sie zeigen, dass jede Schicht so antwortet, wie sie entworfen wurde: die Netzprüfung für Suchmaschinen-Bots, die Kategorieregel für KI-Crawler, die Browserprüfungen für Nachahmungen und das Anfragelimit dahinter. Echter Verkehr ist unordentlicher. Deshalb startet jede neue Website im Beobachten und zeigt, was blockiert worden wäre, bevor irgendetwas blockiert wird.
Wie wir gemessen haben
Eine GET-Anfrage an die Startseite pro Profil, von einer unserer Adressen, mit anderthalb Sekunden Abstand. Nichts berührte Login-Seiten, Fallen oder irgendetwas, das Zustand ändert. Das Ergebnis ist, was zurückkam: die normale Seite, die Prüfseite oder eine Sperre. Derselbe Durchlauf speist die Anzeigetafel auf unserer Startseite.