QuomerceBot

Co robi

Kupuje. Audyt to jedna przeglądarka prowadzona strona po stronie przez to, co robi klient, ze zrzutem ekranu na każdym kroku.

• Otwiera sklep i przechodzi przez niego tak, jak zrobiłby to kupujący: kategoria, produkt, koszyk, krok płatności.
• Robi zrzuty ekranu i nagrywa powtórkę własnej sesji, żeby raport mógł pokazać, co zobaczył, zamiast to opisywać.
• Czyta strony. Nigdy nie zapisuje plików — przeglądarka odrzuca pobieranie na poziomie protokołu, więc link do dużego pliku jest odnotowany i zostawiony w spokoju.
• Wyłącznie przy kontroli prawa odstąpienia (UE) składa dokładnie jedno zamówienie testowe i następnie od niego odstępuje. To jest właśnie to, co jest sprawdzane.

Czego nigdy nie robi

• Nie indeksuje Twojego sklepu. Nic, co przeczyta, nie jest publikowane, odsprzedawane ani używane do trenowania modeli.
• Nie skanuje pod kątem podatności, nie sonduje ścieżek administracyjnych, nie próbuje haseł.
• Nie prowadzi dwóch audytów tego samego sklepu naraz.

Dlaczego jest na Twojej stronie

Bo ktoś zapłacił za jej audyt — właściciel sklepu albo agencja pracująca dla właściciela. Za tym botem nie stoi żadne przeczesywanie internetu: odwiedza wyłącznie adresy, które klient wpisał w zamówieniu.

Jeśli nie zamawiałeś audytu, a bot jest na Twojej stronie, napisz do nas. Podaj domenę — zatrzymamy go. hello@quomerce.com

Klasyfikacja

Według taksonomii botów Cloudflare:

Agent

Agent działający na polecenie użytkownika. Jedno uruchomienie dzieje się dlatego, że jeden klient o nie poprosił.

SEO

Audyt strony: użyteczność, konwersja i dostępność w obrębie sklepu.

Transact

Jedno zamówienie testowe, wyłącznie przy kontroli prawa odstąpienia. Nigdy przy audycie UX.

Intermediary

Oprogramowanie działa na naszej infrastrukturze, ale każde uruchomienie zaczyna inny klient — operator i użytkownik końcowy to nie ta sama strona.

W starszej liście kategorii najbliższa jest Search engine optimization.

Jak go rozpoznać

Po user agencie

Każde żądanie niesie prawdziwy ciąg Chrome albo Safari z dopiętym naszym tokenem — dokładnie tak, jak robi to Googlebot, żeby sklep serwujący różne strony różnym przeglądarkom pokazał botowi to, co zobaczyłby kupujący. Wersja przeglądarki się zmienia, token nie — i to token jest tym, na co warto dopasowywać.

Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/141.0.0.0 Safari/537.36 QuomerceBot/1.0 (+https://quomerce.com/bot)

Sam user agent oczywiście niczego nie dowodzi — ten ciąg może wysłać każdy. Do sprawdzenia służy jedna z dwóch metod poniżej.

Po podpisie (Web Bot Auth)

Żądania są podpisywane kluczem Ed25519 zgodnie z HTTP Message Signatures (RFC 9421), z tagiem web-bot-auth. Klucz publiczny publikujemy w katalogu kluczy:

https://quomerce.com/.well-known/http-message-signatures-directory

Zweryfikuj nagłówki Signature i Signature-Input kluczem o odcisku wskazanym w żądaniu. Cloudflare robi to za Ciebie, jeśli korzystasz z jego bot managementu.

Po adresie IP

Na razie nie publikujemy stałej listy IP, bo opublikowany zakres musi być używany wyłącznie przez bota, a nasz jeszcze taki nie jest. Do tego czasu weryfikuj po podpisie — poniższy adres istnieje i zwraca pustą listę zamiast błędnej.

https://quomerce.com/bot/ips.json

Po odwrotnym DNS

Weryfikacja po odwrotnym DNS jeszcze nie jest dostępna, z tego samego powodu co lista IP. Weryfikuj po podpisie.

Jak się zachowuje

To gwarancje zapisane w kodzie, nie polityka, o której ktoś ma pamiętać.

robots.txt jest respektowany

Pobierany raz na sklep na początku audytu i stosowany do każdej nawigacji, kliknięcia i naciśnięcia klawisza. Dopasowanie zgodnie z RFC 9309: grupa wymieniająca QuomerceBot wygrywa z grupą wildcard, decyduje najdłuższa pasująca reguła Allow albo Disallow, a przy remisie wygrywa Allow.

Crawl-delay jest przestrzegany

Jeśli Twój robots.txt prosi o odstęp, staje się on odstępem między żądaniami. Powyżej 60 sekund w ogóle nie audytujemy sklepu, zamiast iść szybciej, niż prosiłeś — klient dostaje informację dlaczego.

Najwyżej jedno żądanie na sekundę

Audyt prowadzi kilka sesji przeglądarki naraz, ale dzielą one jeden budżet żądań na sklep, zamiast mieć każda swój. Sklep widzi jeden równy strumień, nie kilkanaście.

Zabroniona ścieżka nie jest pobierana

A audyt tak to zapisuje w raporcie, zamiast uznać, że sklep jest zepsuty. Strona, z której kazano nam się wycofać, nigdy nie jest zarzutem wobec Ciebie.

Żadnych pobrań

Przeglądarka odrzuca je na poziomie protokołu. Z Twojej strony nic nigdy nie trafia na dysk.

Żadnych formularzy, z jednym wyjątkiem

Nic nigdzie nie jest wysyłane poza jednym zamówieniem testowym kontroli prawa odstąpienia, opisanym niżej.

Jeśli zamówiłeś audyt: jak go wpuścić

Linijka w rodzaju Disallow: /checkout pod User-agent: * jest wymierzona w wyszukiwarki, ale zatrzyma też ten audyt przed Twoim checkoutem — bot nie odróżnia Twojego sklepu od cudzego. Daj mu własną grupę, a pójdzie za nią:

User-agent: QuomerceBot
Allow: /

Grupa wymieniająca bota z nazwy wygrywa z grupą wildcard, więc to otwiera audyt, nie zmieniając niczego dla wyszukiwarek.

Za Cloudflare albo innym WAF-em

Strona z wyzwaniem to strona, przez którą audyt nie przejdzie — a w raporcie wyjdzie to jako sklep, w którym nikt nie może kupić. Dodaj regułę pomijającą powyższy user agent na czas audytu albo wpuść go na stałe: bot przychodzi wyłącznie wtedy, gdy za to zapłaciłeś.

Jak go zablokować

Dodaj to do swojego robots.txt, a bot nie pobierze ani jednej strony:

User-agent: QuomerceBot
Disallow: /

Zadziała przy następnym uruchomieniu; robots.txt jest czytany za każdym razem od nowa. Możesz też zablokować user agenta na swoim CDN-ie — nie będziemy tego obchodzić.

Jeśli go zablokujesz, a masz zamówiony audyt, raport wróci pusty. Na tym polega blokada i na niczym więcej.

To jedno zamówienie testowe

Kontrola prawa odstąpienia weryfikuje art. 11a dyrektywy 2011/83/UE — przycisk odstąpienia, który sklep musi oferować od 19 czerwca 2026 r. Nie da się sprawdzić przycisku odstąpienia bez czegoś, od czego można odstąpić, więc ta kontrola — i tylko ona — składa jedno prawdziwe zamówienie.

• Wybiera dostawę i płatność, które nie obciążają niczego z góry: pobranie, przelew, odbiór osobisty.
• Gdy takiej nie ma, stosuje kod rabatowy QUOMERCE, który właściciel sklepu tworzy na -100% w ramach zamawiania kontroli. Nic nigdy nie jest opłacane kartą; nie przechowujemy danych kart.
• Następnie od razu odstępuje od zamówienia — i to właśnie zachowanie jest mierzone.
• Jedno zamówienie na audyt, niezależnie od tego, ile wersji językowych sklepu wykupiono.

Problemy, pytania, limity

Jeśli ten bot robi coś, czego się nie spodziewasz — za dużo żądań, strona, na której nie powinien być, ruch, którego nie umiesz sobie wytłumaczyć — napisz do nas, podając domenę i mniej więcej kiedy. Odpowiadamy, zwykle tego samego dnia, i możemy spowolnić albo zatrzymać audyt.