Exportación a S3 | cside docs

La exportación a S3 de Device Intelligence escribe cada evaluación completada en un bucket de S3 de tu propiedad, para que puedas cargar los datos de huella y de riesgo en tu propio almacén de datos, tus herramientas antifraude o tu canal de análisis. Cada registro contiene la huella completa del dispositivo, además de las señales de red, IP, geolocalización, VPN, bots y comportamiento que cside calculó para esa visita.

Función de pago de Device Intelligence

La exportación a S3 está disponible en los planes de pago de Device Intelligence y durante una prueba activa de Device Intelligence. Actívala y configúrala en Settings > Device Intelligence del panel. Si tu plan caduca, cside conserva las configuraciones de exportación y pausa la entrega, y la pestaña se sustituye por un aviso para mejorar el plan, así que no puedes editar ni eliminar las exportaciones hasta que lo mejores. La entrega se reanuda sola después de la mejora, sin necesidad de reconfigurar nada.

Cómo funciona la entrega

Formato: JSONL (JSON Lines, application/x-ndjson) o Apache Parquet. Eliges el formato por exportación en el panel. En JSONL, cada línea es un registro completo de evaluación. Parquet empaqueta esos mismos registros en un archivo columnar que puedes cargar directamente en un almacén de datos o motor de consultas.
Frecuencia: cside sube una vez al día. Cada ejecución cubre el día UTC completo anterior. Un día sin evaluaciones completadas no genera ningún objeto.
Distribución de objetos: los objetos se depositan bajo una ruta particionada y autodescriptiva (ver más abajo).
Deduplicado: cada evaluación aparece una sola vez, en su versión calculada más reciente. Volver a ejecutar un día sobrescribe los mismos objetos en su sitio, así que no hay filas duplicadas que reconciliar.
Destino: tu bucket. cside escribe objetos, pero nunca los lee ni los lista.

Los objetos se nombran así:

<path prefix>/cside-fingerprints/team=<team_id>/dt=<YYYY-MM-DD>/fingerprints-<HH>.<ext>

dt=<YYYY-MM-DD> es el día UTC al que pertenecen los registros y <HH> es la hora UTC de dos dígitos, así que la exportación de un día se divide en un objeto por cada hora que tuvo evaluaciones. <ext> es jsonl o parquet. Los segmentos team= y dt= son particiones al estilo Hive, así que motores de consulta como Athena, Glue y Spark las podan automáticamente.

Configurar la exportación

Elige un bucket y un prefijo de ruta

Crea o elige un bucket de S3 y decide un prefijo de ruta para la exportación, por ejemplo fingerprints/. cside escribe solo bajo ese prefijo, lo que mantiene la exportación separada de cualquier otra cosa del bucket. El prefijo es opcional. Sin él, cside escribe en la raíz del bucket.

Concede a cside acceso de escritura

Añade esta declaración a la política de tu bucket, en Permissions de la consola de S3:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCsideNotificationExport",
      "Effect": "Allow",
      "Action": ["s3:PutObject"],
      "Resource": "arn:aws:s3:::<your-bucket>/*",
      "Principal": {
        "AWS": ["arn:aws:iam::590183952644:role/prod-cside-notifications-engine-sa-role"]
      }
    }
  ]
}

Sustituye <your-bucket> por el nombre de tu bucket. El permiso es solo de escritura: s3:PutObject permite a cside añadir objetos y nada más, así que cside no puede listar, leer ni eliminar nada de tu bucket.

Restringir el permiso a tu prefijo

Para acotar más la política, define Resource como arn:aws:s3:::<your-bucket>/<your-path-prefix>/*. El panel genera la política por ti con tu bucket y tu prefijo ya rellenados, así que si has configurado un prefijo, copia esa versión.

Propiedad de los objetos

cside entrega cada objeto con una copia del lado del servidor desde su propio bucket al tuyo. Mantén tu bucket con la propiedad de objetos Bucket owner enforced (ACL deshabilitadas), que es el valor por defecto de S3, para que tu cuenta sea la propietaria de los objetos entregados y pueda leerlos.

Crea la exportación en el panel

Abre el panel, ve a Settings > Device Intelligence y selecciona New export. Rellena el formulario:

Domain Scope: todos los dominios, incluidos los que añadas más adelante, o un subconjunto que elijas
S3 Bucket Name y Region: el bucket del paso 1
Path Prefix (opcional): el prefijo del paso 1
Format: JSONL o Parquet

cside nombra la exportación por ti a partir del alcance y del bucket. En cuanto guardes, los archivos diarios empezarán a aparecer bajo tu prefijo. Desde la misma pestaña puedes pausar una exportación con su interruptor, editarla o eliminarla.

Compartir un bucket con la exportación de alertas de seguridad

La exportación de Device Intelligence y la exportación a S3 de alertas de seguridad escriben desde el mismo rol de IAM de cside y necesitan el mismo permiso s3:PutObject, así que una única declaración AllowCsideNotificationExport con alcance sobre todo el bucket cubre las dos.

Son dos destinos independientes, cada uno con su bucket, su región y su prefijo opcional, así que puedes apuntarlos al mismo bucket o a buckets distintos. Sus archivos nunca colisionan: las alertas se escriben como alerts-team-<team_id>-<from>-<to>.csv y las evaluaciones como cside-fingerprints/team=<team_id>/dt=<YYYY-MM-DD>/. Los prefijos organizan los objetos, no son lo que mantiene separadas ambas exportaciones.

Estructura del registro

Cada línea es un objeto JSON con un conjunto de campos de identidad de nivel superior más objetos anidados por cada grupo de señales:

Objeto	Descripción
`fingerprint`	La huella del dispositivo (navegador, hardware, renderizado y señales de entorno).
`network_client_metrics`	Características TCP y TLS de la conexión.
`ip_enrichment`	Datos de ASN, geolocalización y privacidad derivados de la IP del visitante.
`geo_lite_city_data`	Geolocalización a nivel de ciudad de la IP del visitante.
`vpn_evaluation`	Probabilidad de VPN y señales de apoyo.
`bot_evaluation`	Probabilidad de bot, veredicto y señales de apoyo.
`fingerprint_enrichment`	Señales derivadas de la huella, como la detección de correo desechable.
`rule_evaluations`	Resultados de las reglas evaluadas para esta visita.
`behavior`	Señales de comportamiento en la página para la sesión: hooks de API de JavaScript, recuento de eventos no confiables y detección de agentes. Presente cuando se recopilaron datos de comportamiento; en caso contrario, `null`.

Las claves ausentes significan valores por defecto

Un campo solo aparece cuando tiene un valor distinto del predeterminado. Una clave que falta significa que el valor estaba vacío, era false, 0, o no se recopiló. Al analizar el archivo, trata una clave ausente como un valor por defecto, no como un error.

Campos de nivel superior

Campo	Tipo	Descripción
`evaluation_id`	string	ID único de esta evaluación.
`customer_id`	string	El ID de cside de tu dominio.
`customer_domain`	string	El dominio evaluado.
`team_id`	string	El ID de tu equipo en cside.
`timestamp`	string	Hora de la evaluación, ISO 8601.
`page_url`	string	La página donde se activó la evaluación.
`session_id`	string	ID de sesión del navegador.
`request_id`	string	ID de correlación de la solicitud original.
`client_ip`	string	Dirección IP del visitante.
`user_agent`	string	User agent del navegador del visitante.
`device_id`	string	Identificador estable del dispositivo, derivado de las señales recopiladas. También aparece dentro del objeto `fingerprint`.
`is_bot`	boolean	Si se clasifica al visitante como bot. El veredicto completo está en `bot_evaluation`.
`bot_agent_id`	string	Bot identificado, cuando se conoce (por ejemplo, `google-googleother`).
`is_vpn`	boolean	Si se clasifica al visitante como usuario de VPN. El veredicto completo está en `vpn_evaluation`.
`vpn_probability`	number	Probabilidad de VPN, de 0 a 1.
`vpn_confidence`	number	Confianza en la clasificación de VPN, de 0 a 1.
`vpn_reasons`	string[]	Motivos legibles de la clasificación de VPN.
`device_fingerprint`	string	Token compacto de huella del dispositivo (base64).
`threat_fingerprint`	string	Token compacto de huella de amenaza (base64).

Objeto `fingerprint`

La huella del dispositivo es el objeto más grande. Las tablas siguientes agrupan sus campos por categoría.

Identidad

Campo	Tipo	Descripción
`device_id`	string	Identificador estable del dispositivo, derivado de las señales recopiladas.

Navegador y sistema

Campo	Tipo	Descripción
`product`	string	Valor `navigator.product` del navegador.
`product_sub`	string	Valor `navigator.productSub` del navegador.
`browser_name`	string	Nombre del navegador.
`browser_version`	string	Versión del navegador.
`mobile`	boolean	Si el navegador se identifica como móvil.
`apple_pay_version`	number	Versión de la API de Apple Pay, cuando está disponible.
`user_agent`	string	Cadena user agent del navegador.
`plugins`	string[]	Plugins instalados en el navegador.
`platform`	string	Plataforma del sistema operativo.
`cpu_architecture`	string	Arquitectura de CPU informada.
`hardware_architecture`	number	Indicador de la arquitectura de hardware.
`connection`	string	Tipo de conexión de red (por ejemplo, `4g`).

Renderizado (Canvas, WebGL, WebGPU)

Campo	Tipo	Descripción
`canvas_signal`	string	Señal de renderizado de Canvas.
`webgl_signal`	string	Señal de renderizado de WebGL.
`webgl_vendor`	string	Cadena de proveedor de WebGL.
`webgl_renderer`	string	Cadena de renderizador de WebGL.
`video_card_vendor`	string	Proveedor de la GPU.
`video_card_renderer`	string	Renderizador de la GPU.
`video_card_vendor_unmasked`	string	Proveedor de la GPU sin enmascarar, cuando está disponible.
`video_card_renderer_unmasked`	string	Renderizador de la GPU sin enmascarar, cuando está disponible.
`video_card_version`	string	Cadena de versión del driver de la GPU.
`video_card_shading_language_version`	string	Versión del lenguaje de sombreado.
`webgpu_supported`	boolean	Si WebGPU es compatible.
`webgpu_adapter`	string	Descripción del adaptador de WebGPU.
`webgpu_signal`	string	Señal de renderizado de WebGPU.

Idioma y hora

Campo	Tipo	Descripción
`timezone`	string	Zona horaria informada.
`locale`	string	Configuración regional informada.
`languages`	string[]	Idiomas aceptados.

Audio

Campo	Tipo	Descripción
`audio_signal`	string	Señal de huella de audio.
`audio_max_channels`	number	Máximo de canales de salida de audio.
`audio_channel_count_mode`	string	Modo de conteo de canales de audio.

Hardware

Campo	Tipo	Descripción
`device_memory`	number	Memoria del dispositivo informada, en GB.
`hardware_concurrency`	number	Número de núcleos lógicos de CPU.
`js_heap_size_limit`	number	Límite del heap de JavaScript, en bytes.
`math_values`	object	Resultados de las pruebas de precisión matemática, indexados por operación.

Pantalla

Campo	Tipo	Descripción
`screen_width`	number	Ancho de la pantalla en píxeles.
`screen_height`	number	Alto de la pantalla en píxeles.
`screen_resolution`	string	Cadena de resolución de pantalla.
`color_depth`	number	Profundidad de color de la pantalla.
`device_pixel_ratio`	number	Relación de píxeles del dispositivo.
`touch_support`	boolean	Si se admite la entrada táctil.
`max_touch_points`	number	Máximo de puntos táctiles simultáneos.
`media_matches`	string[]	Consultas de medios CSS coincidentes.

API del navegador

Campo	Tipo	Descripción
`online_status`	boolean	Si el navegador se declara en línea.
`do_not_track`	string	Preferencia de No Rastrear.
`cookies_enabled`	boolean	Si las cookies están habilitadas.
`media_devices`	string[]	Tipos de dispositivos multimedia disponibles.
`indexeddb_support`	boolean	Compatibilidad con IndexedDB.
`localstorage_support`	boolean	Compatibilidad con localStorage.
`sessionstorage_support`	boolean	Compatibilidad con sessionStorage.
`bluetooth_support`	boolean	Compatibilidad con Web Bluetooth.
`geolocation_support`	boolean	Compatibilidad con la API de geolocalización.
`device_motion_support`	boolean	Compatibilidad con eventos de movimiento del dispositivo.
`device_orientation_support`	boolean	Compatibilidad con la orientación del dispositivo.
`speech_recognition_support`	boolean	Compatibilidad con reconocimiento de voz.
`vibration_support`	boolean	Compatibilidad con la API de vibración.
`gamepad_support`	boolean	Compatibilidad con la API de gamepad.
`fullscreen_support`	boolean	Compatibilidad con la API de pantalla completa.
`clipboard_support`	boolean	Compatibilidad con la API del portapapeles.
`service_worker_support`	boolean	Compatibilidad con Service Worker.
`webassembly_support`	boolean	Compatibilidad con WebAssembly.

Preferencias

Campo	Tipo	Descripción
`prefers_dark_mode`	boolean	Prefiere el esquema de color oscuro.
`prefers_reduced_motion`	boolean	Prefiere movimiento reducido.

Fuentes

Campo	Tipo	Descripción
`detected_fonts`	string[]	Fuentes detectadas en el dispositivo.
`font_metrics`	object	Métricas de renderizado de fuentes, indexadas por medición.

Señales de red

Campo	Tipo	Descripción
`stun_ips`	string[]	Direcciones IP de los candidatos WebRTC del visitante, normalmente la dirección pública que informa el servidor STUN. Suele estar vacío: los navegadores ocultan las direcciones locales y WebRTC no siempre está disponible.
`permission_states`	object	Estados de permiso, indexados por nombre de permiso.

WebRTC, voz y MathML

Campo	Tipo	Descripción
`webrtc_supported`	boolean	Compatibilidad con WebRTC.
`webrtc_hash`	string	Hash del conjunto de funciones de WebRTC.
`webrtc_details`	object	Capacidades detalladas de WebRTC.
`webrtc_error`	string	Error de la prueba de WebRTC, si se produjo.
`speech_synthesis_supported`	boolean	Compatibilidad con síntesis de voz.
`speech_hash`	string	Hash del conjunto de voces de síntesis.
`speech_details`	object	Datos detallados de síntesis de voz.
`speech_error`	string	Error de la prueba de voz, si se produjo.
`mathml_supported`	boolean	Compatibilidad con MathML.
`mathml_hash`	string	Hash del renderizado de MathML.
`mathml_details`	object	Datos detallados del renderizado de MathML.
`mathml_error`	string	Error de la prueba de MathML, si se produjo.

Rendimiento y batería

Campo	Tipo	Descripción
`fps`	number	Fotogramas por segundo medidos.
`battery_info`	object	Estado de la batería: `charging`, `level`, `charging_time`, `discharging_time`.

Detección de modo incógnito

Campo	Tipo	Descripción
`incognito_detected`	boolean	Si se detectó un modo de navegación privada.
`incognito_support`	string	Nivel de compatibilidad del método de detección.
`incognito_method`	string	Método de detección utilizado.
`incognito_quota_bytes`	number	Cuota de almacenamiento observada durante la detección.

Detección de herramientas de desarrollo

Campo	Tipo	Descripción
`developer_tools_detected`	boolean	Si las herramientas de desarrollo parecen estar abiertas.
`developer_tools_support`	string	Nivel de compatibilidad de la detección.
`developer_tools_method`	string	Método de detección utilizado.
`developer_tools_gap_px`	number	Diferencia de la ventana, en píxeles, usada para la detección.

Detección de máquina virtual

Campo	Tipo	Descripción
`virtual_machine_detected`	boolean	Si el dispositivo parece ser una máquina virtual.
`virtual_machine_support`	string	Nivel de compatibilidad de la detección.
`virtual_machine_reason`	string	Motivo por el que se marcó el dispositivo.

Automatización y manipulación

Campo	Tipo	Descripción
`web_driver`	boolean	Si `navigator.webdriver` está establecido.
`web_driver_tampered`	boolean	Si la marca webdriver parece manipulada.
`cdp`	boolean	Uso detectado del Chrome DevTools Protocol.
`cdp_tampered`	boolean	Si las señales de CDP parecen manipuladas.
`tamper_injected_globals`	string[]	Variables globales sospechosas inyectadas.
`tamper_expose_binding_leak`	boolean	Fuga de binding asociada a la automatización.
`tamper_desc_instance_own`	string[]	Descriptores de propiedad propios anómalos.
`tamper_desc_proto_nonnative`	string[]	Descriptores de prototipo no nativos.
`tamper_xrealm_webdriver_mismatch`	boolean	Discrepancia de webdriver entre realms.
`tamper_xrealm_renderer_delta`	boolean	Diferencia de renderizador entre realms.
`tamper_probe_blocked`	boolean	Si se bloquearon las pruebas de manipulación.

Atestación del dispositivo

Campo	Tipo	Descripción
`device_uvpaa`	boolean	Autenticador de plataforma con verificación de usuario disponible.
`device_client_caps_count`	number	Cantidad de capacidades del cliente informadas.
`device_caps_uvpa`	boolean	Capacidad del autenticador de plataforma.
`device_apple_pay_active_card`	boolean	Apple Pay tiene una tarjeta activa.
`device_payment_enrolled`	boolean	El dispositivo tiene un método de pago registrado.
`device_serial_present`	boolean	Capacidad de serie presente.
`device_hid_present`	boolean	Capacidad HID presente.
`device_notif_static`	string	Señal estática de capacidad de notificaciones.
`device_notif_queried`	string	Señal consultada de capacidad de notificaciones.
`device_realness_probe_error`	boolean	Si una prueba de autenticidad dio error.

DRM

Campo	Tipo	Descripción
`drm_probed`	boolean	Si se comprobó la compatibilidad con DRM.
`drm_clearkey`	boolean	Compatibilidad con Clear Key.
`drm_widevine`	boolean	Compatibilidad con Widevine.
`drm_widevine_robustness`	string	Nivel de robustez de Widevine.
`drm_externalclearkey`	boolean	Compatibilidad con External Clear Key.
`drm_fairplay`	boolean	Compatibilidad con FairPlay.
`drm_playready`	boolean	Compatibilidad con PlayReady.
`drm_hw_secure_all`	boolean	Compatibilidad con decodificación segura por hardware.
`drm_ua_brand_is_google_chrome`	boolean	La marca del UA declara Google Chrome.
`drm_error`	string	Error de la prueba de DRM, si se produjo.
`drm_elapsed_ms`	number	Duración de la prueba de DRM, en milisegundos.

Etiquetas proporcionadas por el cliente

Campo	Tipo	Descripción
`external_ids`	object	Identificadores que adjuntaste a la huella, como `accountId`, `orderId` o `email`.
`extension_presence_results`	object	Extensiones del navegador detectadas, indexadas por extensión.

Objeto `network_client_metrics`

Características TCP y TLS a nivel de conexión.

Campo	Tipo	Descripción
`client_ip`	string	Dirección IP del visitante.
`client_port`	number	Puerto de origen del visitante.
`user_agent`	string	User agent visto en la capa de red.
`js_timezone`	string	Zona horaria informada por JavaScript.
`timestamp`	string	Hora en que se tomó la muestra de red, ISO 8601.
`request_id`	string	ID de la solicitud en la capa de red.
`protocol`	string	Protocolo HTTP utilizado.
`quic_version`	number	Versión de QUIC, cuando la conexión usó QUIC.
`syn_ip_ttl`	number	TTL de IP del paquete SYN inicial.
`syn_window_size`	number	Tamaño de ventana TCP del SYN inicial.
`syn_window_scale`	number	Escala de ventana TCP del SYN inicial.
`tcp_rtt_usec`	number	Tiempo de ida y vuelta TCP estimado, en microsegundos.
`tcp_rttvar_usec`	number	Varianza del tiempo de ida y vuelta TCP.
`tcp_rtt_min_usec`	number	Tiempo de ida y vuelta TCP mínimo observado.
`tcp_timestamp`	number	Valor de la opción timestamp de TCP.
`tcp_mss_syn`	number	MSS de TCP anunciado.
`tcp_mss_rcv`	number	MSS de TCP observado del par.
`tls_handshake_usec`	number	Duración del handshake TLS, en microsegundos.
`tls_clienthello_size`	number	Tamaño del ClientHello, en bytes.
`tls_sni_format`	string	Formato de la extensión SNI.
`tls_alpn_protocols`	string[]	Protocolos ALPN ofrecidos en el handshake de TLS.
`tls_clienthello_ciphers`	number[]	Cifrados ofrecidos.
`tls_clienthello_extensions`	number[]	Extensiones TLS ofrecidas.
`tls_clienthello_signature_algs`	number[]	Algoritmos de firma ofrecidos.
`tls_clienthello_legacy_version`	number	Versión legada del ClientHello.
`tls_clienthello_supported_versions`	number[]	Versiones de TLS ofrecidas.
`tls_ja4`	string	Huella JA4 del cliente TLS.
`matched_against`	string	Dominio con el que se emparejó la conexión.
`team_id`	string	El ID de tu equipo en cside.

Objeto `ip_enrichment`

Datos derivados de la dirección IP del visitante.

Campo	Tipo	Descripción
`asn`	number	Número de Sistema Autónomo.
`asn_name`	string	Nombre de la organización del ASN.
`asn_network`	string	Rango de red del ASN.
`asn_type`	string	Tipo de ASN, como `hosting` o `isp`.
`city_name`	string	Nombre de la ciudad.
`country_code`	string	Código de país.
`country_name`	string	Nombre del país.
`latitude`	number	Latitud.
`longitude`	number	Longitud.
`postal_code`	string	Código postal.
`region_code`	string	Código de región.
`region_name`	string	Nombre de la región.
`timezone`	string	Zona horaria.
`hosting`	boolean	La IP pertenece a un proveedor de hosting.
`proxy`	boolean	La IP es un proxy conocido.
`relay`	boolean	La IP es un relay privado.
`tor`	boolean	La IP es un nodo de salida de Tor.
`vpn`	boolean	La IP es una VPN conocida.
`service`	string	Servicio de privacidad identificado, cuando se conoce.
`maxmind_asn`	number	ASN según MaxMind.
`is_datacenter_ip`	boolean	La IP está en un rango de centro de datos.
`is_likely_datacenter`	number	Puntuación de probabilidad de centro de datos.

Objeto `geo_lite_city_data`

Geolocalización a nivel de ciudad.

Campo	Tipo	Descripción
`city_name`	string	Nombre de la ciudad.
`country_code`	string	Código de país.
`country_name`	string	Nombre del país.
`latitude`	number	Latitud.
`longitude`	number	Longitud.
`postal_code`	string	Código postal.
`region_code`	string	Código de región.
`region_name`	string	Nombre de la región.
`timezone`	string	Zona horaria.

Objeto `vpn_evaluation`

Probabilidad de VPN y señales de apoyo.

Campo	Tipo	Descripción
`is_vpn`	boolean	Si se clasifica al visitante como usuario de VPN.
`vpn_probability`	number	Probabilidad de VPN, de 0 a 1.
`vpn_confidence`	number	Confianza en la clasificación, de 0 a 1.
`reasons`	string[]	Motivos legibles de la clasificación.
`features`	object	Señales numéricas usadas para la clasificación.
`context`	object	Contexto de enriquecimiento, como el nombre de host de DNS inverso, el ASN y la geolocalización.

Objeto `bot_evaluation`

Probabilidad de bot y veredicto.

Campo	Tipo	Descripción
`is_bot`	boolean	Si se clasifica al visitante como bot.
`bot_probability`	number	Probabilidad de bot, de 0 a 1.
`bot_confidence`	number	Confianza en la clasificación, de 0 a 1.
`bot_agent_id`	string	Bot identificado, cuando se conoce (por ejemplo, `google-googleother`).
`reasons`	string[]	Motivos legibles de la clasificación.
`session_event_count`	number	Número de eventos de comportamiento procesados para la sesión.
`model_1_score`	number	Puntuación del primer modelo de bots (señales de huella y de red).
`model_1_threshold`	number	Umbral de decisión aplicado a la puntuación del primer modelo.
`model_2_score`	number	Puntuación del segundo modelo de bots (señales de comportamiento).
`model_2_threshold`	number	Umbral de decisión aplicado a la puntuación del segundo modelo.
`features`	object	Señales numéricas usadas para la clasificación.

Objeto `fingerprint_enrichment`

Campo	Tipo	Descripción
`throwaway_email_detected`	boolean	Si un correo adjunto usa un dominio desechable.

Objeto `rule_evaluations`

Campo	Tipo	Descripción
`rules`	object[]	Resultados de reglas con nombre. Cada entrada tiene `slot`, `rule_id`, `result`, `metadata` y `computed_at`.

Objeto `behavior`

Señales de comportamiento en la página para la sesión. Todo el objeto es null cuando no se recopilaron datos de comportamiento para la evaluación, así que puedes distinguir “ningún agente detectado” de “sin datos de comportamiento”.

Campo	Tipo	Descripción
`start_time`	number	Inicio de la ventana de observación del comportamiento.
`end_time`	number	Fin de la ventana de observación del comportamiento.
`page_urls`	string[]	Páginas vistas durante la ventana de comportamiento de la sesión.
`js_hooks`	object[]	APIs integradas de JavaScript interceptadas. Cada entrada tiene `key` (la función interceptada, como `eval`, `fetch`, `function_bind`, `script_create` o `node_append_child`), `initializer` (qué instaló el hook) y `count` (cuántas veces se disparó).
`untrusted_event_count`	number	Número de eventos del DOM informados con `isTrusted` en false, una señal común de automatización.
`agent_detected`	boolean	Si alguna muestra de la sesión se marcó como agente automatizado.

Registro de ejemplo

Un único registro, con formato para facilitar la lectura. En el archivo, cada registro es una sola línea.

{
  "evaluation_id": "289076244130249728",
  "customer_id": "7371466449724252160",
  "customer_domain": "shop.example.com",
  "team_id": "7196353823991660544",
  "timestamp": "2026-04-21T17:53:19.378Z",
  "page_url": "https://shop.example.com/checkout",
  "client_ip": "203.0.113.42",
  "user_agent": "Mozilla/5.0 ... Chrome/124.0 Safari/537.36",
  "device_id": "fp_dev_5c8e21",
  "is_bot": false,
  "is_vpn": false,
  "fingerprint": {
    "device_id": "fp_dev_5c8e21",
    "browser_name": "Chrome",
    "browser_version": "124.0.0.0",
    "platform": "MacIntel",
    "timezone": "America/Los_Angeles",
    "languages": ["en-US", "en"],
    "screen_width": 1512,
    "screen_height": 982,
    "device_memory": 8,
    "external_ids": { "orderId": "txn_9931" }
  },
  "network_client_metrics": {
    "client_ip": "203.0.113.42",
    "tls_ja4": "t13d1516h2_8daaf6152771_b186095e22b6"
  },
  "geo_lite_city_data": {
    "country_code": "US",
    "city_name": "San Francisco",
    "latitude": 37.7749,
    "longitude": -122.4194
  },
  "ip_enrichment": { "asn": 13335, "asn_name": "CLOUDFLARENET", "hosting": false },
  "vpn_evaluation": { "is_vpn": false, "vpn_probability": 0.04 },
  "bot_evaluation": { "is_bot": false, "bot_probability": 0.07 },
  "behavior": {
    "start_time": 1776793999000,
    "end_time": 1776794011000,
    "page_urls": ["https://shop.example.com/checkout"],
    "js_hooks": [{ "key": "eval", "initializer": "inline", "count": 2 }],
    "untrusted_event_count": 0,
    "agent_detected": false
  }
}