Il punteggio comportamentale è un metodo di valutazione del rischio che giudica una sessione in base a ciò che fa, non solo da dove proviene. Gli difensori assegnano un punteggio a partire da segnali come il tempismo dei clic, il movimento del mouse, lo scorrimento, i percorsi di navigazione, la frequenza delle richieste, il riutilizzo dei cookie e quanto una sessione corrisponde ai normali schemi di navigazione umana.
Questo è importante perché gli aggressori possono nascondersi dietro host cloud, indirizzi IP residenziali, proxy o automazione simile a un browser. Un bot può sembrare legittimo a livello di rete ma comportarsi comunque in modo diverso da un utente reale. Il punteggio comportamentale aiuta i sistemi anti-bot a individuare scraping, credential stuffing e abuso degli account quando il semplice blocco degli IP o i limiti di frequenza non sono sufficienti. In pratica, i siti combinano i punteggi comportamentali con il fingerprinting del browser, i controlli di continuità della sessione e le fasi di challenge per decidere se consentire, rallentare o bloccare una richiesta. L'obiettivo non è dimostrare che ogni sessione sia malevola, ma misurare quanto sia davvero sospetto il suo schema di interazione.