Entre las señales de un escáner están: un clic a los pocos segundos de la entrega, varios enlaces abiertos casi a la vez, solicitudes desde la red de un proveedor de seguridad o de un centro de datos y solicitudes que no se comportan como un navegador real. HawkOpen tiene una regla con nombre para cada una de estas señales.
Cada clic recibe una categoría, como escáner de seguridad, vista previa de enlace o persona, una confianza de «posible» o «probable» y la lista de reglas que coincidieron. Un clic que llega desde la red de un centro de datos nunca se clasifica como probable actividad humana.