Indices d’un scanner, entre autres : trois liens ou plus cliqués en deux secondes (R-CLK-BURST), un clic depuis le réseau d’un éditeur de sécurité (R-CLK-VENDOR), depuis un réseau cloud ou d’hébergement (R-CLK-CLOUD, R-CLK-HOSTING), depuis un navigateur sans fenêtre (R-CLK-HEADLESS) ou automatisé (R-CLK-WEBDRIVER), et un clic quelques secondes après la remise (R-CLK-DELTA). Un clic depuis le réseau d’un centre de données n’est jamais classé comme activité humaine probable.
Indices d’activité humaine, entre autres : la page s’exécute dans un onglet visible du navigateur (R-CLK-JS), un réseau domestique ou mobile (R-CLK-RESID) et un clic bien après la remise (R-CLK-LATE). Même alors, le verdict est au mieux « probable ». Les règles sont versionnées : les clics conservés peuvent être reclassés quand elles progressent.