WebDecoy

폼을 숨겨도 POST 요청은 들어옵니다 — 직접 호스팅하는 FCaptcha와 Hono 예제

안녕하세요. WebDecoy 창업자 Chris입니다. 이번에는 저희가 만드는 무료 오픈소스 프로젝트 FCaptcha를 소개합니다. WebDecoy의 호스팅 서비스와 별도로 직접 운영할 수 있는 CAPTCHA입니다.

가입하면 무료 AI 크레딧을 주거나, 문의 폼이 메일을 발송한다면 브라우저 화면의 검사만으로는 충분하지 않습니다. 자동화된 클라이언트는 폼을 열지 않고 서버에 직접 요청할 수 있기 때문입니다.

FCaptcha는 이미지·음성 퍼즐 대신 브라우저 자동화 신호, 입력·타이밍 신호, Proof of Work를 조합합니다. 체크박스와 비표시 모드가 있으며, MIT 라이선스로 코드를 확인하고 수정할 수 있습니다. Docker 이미지와 Go·Node.js·Python 서버 구현을 제공합니다. 소프트웨어는 무료이고, 서버 비용과 운영은 직접 맡아야 합니다.

실제로 붙여 보는 순서

1. 저장소의 examples/hono에서 로컬 예제를 실행합니다. Node.js 22 이상과 전체 저장소 체크아웃이 필요합니다.
2. 브라우저가 contact action으로 토큰을 발급받고 메시지와 함께 전송합니다.
3. Hono 미들웨어가 서버 전용 secret으로 /siteverify를 호출하고 success, hostname, action을 검사합니다.
4. 검증을 통과한 뒤에만 메시지 저장·발송 같은 작업을 실행합니다. 예제에서는 메시지를 저장하거나 발송하지 않습니다.

잘못된 토큰은 403, 검증 서버 장애는 503으로 처리합니다. 장애 때 검증 없이 요청을 허용하지 않습니다. 토큰은 일회용이므로 재시도할 때 새 토큰이 필요하고, 실제 업무의 중복 실행 방지는 별도로 설계해야 합니다.

실행 가능한 Hono 예제:
https://github.com/WebDecoy/FCaptcha/tree/main/examples/hono

소스와 Docker 설치 안내:
https://github.com/WebDecoy/FCaptcha

CAPTCHA는 로그인 인증·권한 검사나 전체 비용 한도를 대신하지 않습니다. 우회와 오탐 가능성이 있으므로 레이트 제한을 함께 적용하고, 모바일·키보드·보조기술 사용자의 실제 흐름과 거절 시 복구 방법도 확인해 주세요. 예제의 테스트는 토큰 검증 연동을 확인하는 것이며 탐지 정확도 측정은 아닙니다.

가입 없이 볼 수 있는 데모:
https://webdecoy.com/product/fcaptcha-demo/?utm_source=disquiet&utm_medium=community&utm_campaign=fcaptcha_oss&utm_content=hono_intro

어떤 환경의 폼에 붙여 보고 싶으신가요? 설치 과정이나 정상 사용자가 거절되는 상황에 대한 피드백을 환영합니다. 프로젝트가 유용하다면 GitHub에서 Star로 저장해 두실 수 있습니다.

한국어 작성에는 AI를 사용했고, 설명은 공개 Hono 예제와 대조했습니다.

Shopify에서 봇 세션을 보고서에서 제외하면, 봇 요청도 막힌 걸까요?

WebDecoy 창업자 Chris입니다. 스토어 운영에서 “보고서 정리”, “방문 조사”, “주문 판단”을 분리해서 보는 방법을 정리했습니다.

예를 들어 1,000세션에 주문 30건이면 단순 주문 수÷세션 수는 3%입니다. 주문은 그대로 30건이고 집계 대상을 500세션으로 줄이면 6%입니다. 설명용 가상 계산이며 실제 도입 성과가 아닙니다. 분모가 바뀌었으므로 이 숫자만으로 새 주문이 늘었거나 봇 요청이 멈췄다고 말할 수는 없습니다. 실제 보고서의 세션·주문·체크아웃 완료 정의도 확인해야 합니다.

Shopify는 지원되는 보고서에서 Human or bot session 필터·차원을 제공합니다. 이 기능은 보고서의 집계 조건을 바꾸는 것이며, 요청 차단 작업과 구분해야 합니다.
공식 안내: https://help.shopify.com/en/manual/intro-to-shopify/bots/bot-filtering

제가 나누어 확인하는 순서는 이렇습니다.

• 숫자를 해석할 때: 같은 기간·필터 조건인지 확인하고 전체와 사람 세션을 비교합니다.
• 방문을 조사할 때: 탐지 시각과 신호를 보고, 수집이 실제로 작동하는지 테스트합니다. 국가나 VPN만으로 악용을 단정하지 않습니다.
• 주문을 판단할 때: 해당 주문에 연결된 세션·탐지 근거를 확인하고 결정과 이유를 기록합니다.

WebDecoy의 Shopify 앱에서는 탐지 상세와 Flagged Orders를 오가며 이 근거를 확인하고 리뷰 결정·메모를 남길 수 있습니다. Setup & health의 라벨이 붙은 테스트로 스토어프런트 수집을 검증하고, 체크아웃 Web Pixel의 수신은 별도로 확인합니다.

리뷰 저장 자체가 주문 취소를 실행하지는 않습니다. 취소에는 판매자가 별도로 구성·활성화한 Shopify Flow 동작이 필요합니다. WebDecoy 탐지가 Shopify나 광고 플랫폼의 집계를 자동으로 수정한다고 주장하지도 않습니다.

32초 데모와 설치 안내:
https://webdecoy.com/shopify/?utm_source=disquiet&utm_medium=community&utm_campaign=shopify_bot_filtering&utm_content=ko_merchant_guide
Shopify 앱: https://apps.shopify.com/webdecoy-bot-protection

데모는 테스트 스토어와 샘플 데이터이며, 매출 개선이나 탐지 정확도 측정 결과가 아닙니다. JavaScript를 실행하지 않고 디코이에도 접근하지 않는 클라이언트는 스토어프런트 보고서에 나타나지 않을 수 있습니다. 관리 화면과 문서는 현재 영어입니다. 한국어 작성에 AI를 사용했고 기능 설명은 구현과 대조했습니다.

스토어에서 먼저 해결하고 싶은 것은 보고서의 숫자, 의심 방문의 근거, 주문 검토 중 어느 쪽인가요?

WebDecoy가 Shopify App Store에 정식 출시되었습니다 🎉

저는 WebDecoy의 창업자 Chris입니다. 이번 앱은 스토어의 의심스러운 방문을 탐지하는 데서 끝나지 않고, 주문 검토에 필요한 근거를 Shopify 관리자 안에서 확인할 수 있도록 만들었습니다.

• 브라우저 행동 분석, 요청 정보, VPN·프록시·데이터센터 IP 정보, 숨겨진 허니팟 상호작용을 함께 확인
• 세션·지문 근거가 있는 활동을 묶어 반복 방문과 여러 IP를 조사
• Flagged Orders에서 의심 주문의 근거를 확인하고 검토 상태와 메모 기록
• 지원 플랜에서 주문 태그, Shopify 주문 위험 평가, Shopify Flow 연동
• AI 크롤러 방문과 AI 서비스에서 유입된 방문을 별도 보고서로 확인

설치 후 테마의 WebDecoy Bot Detection 앱 임베드를 켜고, Setup & health에서 테스트를 만들어 탐지가 실제로 도착하는지 확인할 수 있습니다. 체크아웃 이벤트는 별도의 Web Pixel로 수집하므로 따로 확인해야 합니다.

앱 설치만으로 주문을 자동 취소하거나 체크아웃을 차단하지 않습니다. 주문 취소는 판매자가 별도로 구성하고 활성화한 Shopify Flow에서만 실행됩니다. JavaScript를 실행하지 않고 허니팟에도 접근하지 않는 수집기는 스토어 보고서에 나타나지 않을 수 있습니다.

무료 플랜은 월 500회 탐지를 제공합니다. 현재 Starter와 Pro에는 14일 무료 체험이 있으며, 최신 가격과 체험 조건은 Shopify의 플랜 승인 화면에서 확인할 수 있습니다.

짧은 데모와 기능·설치 안내 보기
데모는 테스트 스토어와 샘플 데이터를 사용합니다. 관리 화면과 안내 문서는 현재 영어입니다.

Shopify App Store에서 WebDecoy 보기

스토어를 운영하신다면 의심 주문을 검토할 때 어떤 근거가 가장 필요한가요?

이 글의 한국어 작성에는 AI를 사용했으며, 기능 설명은 공개된 Shopify 앱 문서와 대조했습니다.

워드프레스 로그인 스팸·가짜 가입·WooCommerce 결제 악용, 차단 전에 로그부터 확인해 보세요

안녕하세요, WebDecoy를 만드는 Chris입니다. 이번에는 워드프레스 운영자분들이 직접 설치해 볼 수 있는 무료 오픈소스 플러그인을 소개합니다.

WebDecoy Bot Detection은 반복 로그인 시도, 가입·댓글 스팸, WooCommerce 체크아웃의 카드 테스팅 의심 패턴 등을 탐지하고 기록합니다. 로컬 기능은 WebDecoy 계정이나 API 키 없이 사용할 수 있고, 클라우드 연결은 선택 사항입니다.

먼저 한 사이트에서 확인하는 방법

1. 스테이징 사이트에서 관리자 → 플러그인 → 새 플러그인 추가로 이동해 WebDecoy를 검색하고 설치·활성화합니다.
2. WebDecoy 설정에서 모드가 monitor인지 확인합니다. 모니터 모드는 탐지와 기록을 수행하며, 차단을 적용하기 전에 결과를 검토하는 용도입니다.
3. 평소 사용하는 로그인, 회원가입, 댓글 작성 흐름을 테스트합니다. WooCommerce를 사용한다면 테스트 결제 환경에서 체크아웃도 확인합니다.
4. 탐지 로그와 정상 사용자 동작을 함께 검토한 뒤 차단 적용 여부를 결정합니다. 기존 플러그인과의 호환성도 확인해 주세요.

WP-CLI를 사용하는 분들은 다음 명령으로 시작할 수 있습니다.

wp plugin install webdecoy --activate
wp webdecoy config set mode monitor
wp webdecoy status

WordPress.org에서 설치하기
GitHub 소스 코드 보기

워드프레스 사이트나 WooCommerce 스토어를 운영하신다면, 지금 가장 번거로운 문제가 로그인 시도, 가짜 가입, 댓글 스팸, 결제 악용 중 무엇인지 궁금합니다. 설치 후 로그에서 이해하기 어려운 점이나 호환성 문제도 댓글로 알려 주세요. 사용 환경을 적어 주시면 글로 답변드리겠습니다. 로그를 공유할 때는 IP 주소와 고객 정보 등은 가려 주세요.

안녕하세요, WebDecoy를 만드는 Chris입니다. 디스콰이엇에 처음 인사드립니다.

사이트에 오는 봇이 누구인지, 어떤 요청에 대응해야 할지 확인하기 어려우셨나요?

WebDecoy는 AI 크롤러, 스크레이퍼, 자동화 봇의 활동을 관측하고 탐지 근거를 확인할 수 있도록 만든 개발자 도구입니다. User-Agent에 적힌 이름만으로 봇을 신뢰하지 않고, 허니팟 접근 기록과 브라우저 행동 신호, 엣지에서 관측한 요청을 함께 살펴봅니다. 지원되는 크롤러는 IP 대역, DNS, 서명 검증 결과도 확인할 수 있습니다.

처음에는 트래픽을 관측하고, 탐지 결과를 검토한 뒤 필요한 범위에 대응을 설정하는 방식으로 시작할 수 있습니다. 자동 대응 기능은 플랜과 연동 환경에 따라 다릅니다.

한국어로 제품 소개와 요금을 볼 수 있는 페이지를 준비했습니다. 관리 화면과 기술 문서는 현재 영어입니다.

한국어 소개와 무료 시작하기

한국의 개발자분들과 서비스 운영자분들께 두 가지를 여쭙고 싶습니다.

1. 지금 가장 확인하기 어려운 봇 트래픽은 무엇인가요? AI 크롤링, 무단 스크레이핑, 로그인 시도, 스팸 등 실제로 겪는 문제가 궁금합니다.
2. 도입을 검토할 때 가장 먼저 보고 싶은 것은 설치 예시, 탐지 근거, 비용 중 무엇인가요?

댓글로 사용 환경이나 궁금한 점을 남겨 주세요. 가능한 범위에서 글로 답변드리겠습니다. 한국어 설명에서 이해하기 어려운 부분도 알려주시면 개선에 도움이 됩니다.