当业务面临自动化工具（如脚本、模拟器）引发的威胁时，包括数据爬取、业务欺诈、撞库攻击、垃圾注册、恶意抢购及短信接口滥用等，建议启用Bot管理功能。通过配置针对性的防护策略，该功能可有效缓解核心数据资产泄露及营销活动风险，同时降低服务器负载与带宽成本。
自 2026 年 9 月 23 日起，Agentic Bot正式上线，旧版Bot管理进入维护期。旧版用户可继续正常使用，现有功能不受影响。建议用户尽早升级至 Agentic Bot，以获得更全面的防护能力。具体信息，请参见【公告】Web应用防火墙Bot管理模块升级通知。
可以前往左侧导航栏，选择，通过页面样式判断当前版本：
新版Agentic Bot | BOT管理导航栏下子标题为AI洞察、AI爬虫管控、Bot防护模板、高级自定义规则、账号安全。 |
旧版Bot管理 | BOT管理导航栏下子标题为流量分析、AI爬虫管控、Bot防护模板、高级自定义规则、账号安全。 |
功能介绍
Bot管理提供以下核心功能，帮助识别机器流量、防御爬虫风险：
AI洞察/流量分析：无需开通Bot管理即可查看流量分析的风险接口数据，包括流量走势、存在风险的客户端等信息，用于快速识别和定位可能存在风险的接口。开通正式版后，可以查看更详细的数据信息，帮助安全运维人员识别异常流量，从而配置更精细化的防护策略。
AI爬虫管控：AI爬虫、智能体及搜索请求等自动化程序，常通过高频抓取网页内容，用于模型训练、知识库构建及AI应用运行。实施AI爬虫管控，可帮助网站精准识别并管理此类流量，在保护知识产权与核心商业数据的同时，防止服务器带宽资源被过度消耗。
Web防护/App防护：面向Web或App业务场景，可使用Bot管理默认防护策略快速启用基础防护。为实现最佳防护效果，需要持续分析规则命中情况，并相应调整防护动作。
高级自定义规则：支持自定义访问控制规则、频率控制规则和规则分类，拦截符合规则条件请求。高级自定义规则增加了更丰富的匹配条件，如Client ID、JA3/JA4指纹、Web/App SDK采集信息等，并支持基于条件的去重统计能力。
账号安全：通过智能算法实时计算风险分数，精准识别并阻断撞库、暴力破解及批量机器注册等恶意行为。该功能支持从HTTP请求的Query、Body、Header及Cookie中提取多维度身份凭证，构建统一的用户画像。无需手动配置复杂规则，自动防护账号注册与登录两大核心场景。
适用范围
已在接入管理页面完成Web业务接入。
已开通WAF 3.0实例，且实例版本为按量付费版，包年包月高级版、企业版或旗舰版，基础版实例不支持Bot管理。
开通Bot管理
登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。
在左侧导航栏，选择。
申请试用
高级版、企业版、旗舰版WAF实例支持7天免费试用Bot管理功能。试用结束后，系统将清空策略配置，如需保留试用期间的数据，请在试用结束前开通正式版。
前往Bot防护模板或高级自定义规则页面，单击申请7天免费POC。
于7天免费试用POC对话框中，单击确定。
高级版、企业版、旗舰版实例可试用Bot管理功能，每个阿里云账号仅提供一次试用机会。
试用期限为7天，试用结束后将自动清空Bot策略配置。如需保留试用期间的数据并继续使用Bot管理，请在试用结束前开通正式版。
开通正式版
包年包月版
在Bot防护模板或高级自定义规则页面中，单击立即购买。
在立即购买面板，按需开启Agentic Bot管理-Web或Agentic Bot管理-App，并完成支付。
按量付费版
无需单独配置开通。前往Bot防护模板或高级自定义规则页面，创建模板后即视为开通。
Bot管理开通后，将产生额外费用，具体单价请参见按量付费计费说明。
开始使用
关闭Bot管理
包年包月版
若不再需要使用 Bot 管理模块，可通过降配方式将对应 Bot 管理功能设置为关闭。具体操作请参见升级与降配。
按量付费版
若不再需要使用 Bot 管理模块，请删除所有 Bot 管理 Web/App 防护模板及所有高级自定义规则模板。删除完成后，Bot 管理功能将停止计费。
防护时序原理图
以下时序图展示了JS验证与令牌挑战防护模式的工作原理和请求处理流程。
JS验证时序图
客户端发起请求，命中JS校验对应的规则。
WAF返回携带JS挑战生成算法的HTML页面。
浏览器加载JS挑战页面，生成加密参数后，将其添加到Cookie中，并重新发送请求。
WAF收到响应并验证参数是否正确：
如果参数正确，则表明请求由正常用户发起，该请求将被正常转发至源站服务器，返回源站响应。
如果客户端未携带JS挑战插入的Cookie或Cookie值不正确，则表明请求可能由脚本工具发起，WAF将再次返回JS挑战页面。
令牌挑战时序图
客户端发起请求，命中了动态令牌处置对应的规则。
WAF返回携带动态令牌的HTML页面到客户端。
浏览器加载动态令牌的HTML页面，生成加密参数后，将其添加到请求URL的参数中并重新发送请求。
WAF收到响应并验证参数是否正确：
如果参数正确，则表明请求是由正常用户发起，该请求将被正常转发至源站服务器，返回真实响应。
如果客户端未携带参数或参数不正确，则表明请求可能是脚本工具发起，WAF将再次返回动态令牌页面。