Entre os sinais de um scanner estão: um clique poucos segundos após a entrega, vários links abertos quase ao mesmo tempo, pedidos vindos da rede de um fornecedor de segurança ou de um centro de dados e pedidos que não se comportam como um navegador real. O HawkOpen tem uma regra com nome para cada um destes sinais.
Cada clique recebe uma categoria, como scanner de segurança, pré-visualização de link ou pessoa, uma confiança de «possível» ou «provável» e a lista de regras que coincidiram. Um clique vindo da rede de um centro de dados nunca é classificado como provável atividade humana.