كيف تكشف المواقع المتصفحات بدون واجهة في 2026: تسريبات CDP، وفحوص التماسك، وما الذي يساعد

انتقلت من HTTP الخام إلى متصفح حقيقي. بصمة TLS: بصمة Chrome الحقيقية فعلاً. عنوان IP: سكني. ومع ذلك ما زال الموقع يعرف. في 2026، تجاوز كشف المتصفحات بدون واجهة navigator.webdriver بأشواط — فالجيل الحالي من الفحوص يكشف بروتوكول الأتمتة نفسه، ومعظم إضافات "التخفّي" تُرقّع إشارات الأمس بينما تُظهر بصخب إشارات اليوم.

يرسم هذا المقال خريطة لما تفحصه المواقع فعلياً الآن، بالترتيب التقريبي الذي تفحصه به، وما الذي يساعد حقاً في كل طبقة. وهو يكمل ثلاثية الكشف مع بصمة TLS عبر JA3/JA4 (طبقة الشبكة) وسمعة IP و ASN (طبقة العنوان) — وهذه هي طبقة المتصفح.

المستوى 1: الكلاسيكيات (محلولة، لكنها لا تزال تُفحَص)

• navigator.webdriver — تفرض المواصفة أن تكون قيمته true تحت الأتمتة. تُخفيه إعدادات التخفّي في Playwright/Puppeteer؛ ويتعامل معه خيار Chrome --disable-blink-features=AutomationControlled أصلياً. تظل المواقع تفحصه لأنه مجاني ويلتقط الروبوتات الساذجة.
• سلاسل وكيل المستخدم بدون واجهة — وجود HeadlessChrome/ في User-Agent. يُصلَح بالوضع الجديد بدون واجهة (headless=new)، الذي يستخدم مسار ثنائي Chrome الحقيقي.
• غياب أثاث المتصفح — صفر navigator.plugins، لا chrome.runtime، وعرض خارجي 0×0. كان الوضع القديم بدون واجهة يفشل في كل هذه؛ بينما يجتازها الوضع الجديد بدون واجهة في معظمها.

إذا كان الهدف يفحص المستوى 1 فقط، فإن Playwright الحديث مع headless=new يمر دون عائق. أما الأهداف الجادة فقد تجاوزت ذلك منذ سنوات.

المستوى 2: كشف CDP — حصان عمل 2026

يقود Playwright و Puppeteer متصفح Chrome عبر بروتوكول Chrome DevTools، ويترك CDP آثاراً جانبية في وقت التشغيل يمكن لـ JavaScript الصفحة ملاحظتها:

// The classic CDP leak: serialization callbacks
const err = new Error();
Object.defineProperty(err, "stack", {
  get() {
    // This getter fires DURING console serialization -
    // which only happens when DevTools/CDP is attached
    window.__cdp_detected = true;
  },
});
console.debug(err);

توجد متغيرات من هذا — آثار جانبية للـ getter أثناء تسلسل console، وشذوذات توقيت في Runtime.evaluate، وسلوك toString() على الدوال الأصلية المُرقّعة — في كل حزمة تجارية لمكافحة الروبوتات. النقطة الحاسمة: هذا يكشف البروتوكول، لا الوضع بدون واجهة. فمتصفح Chrome ذو واجهة، ومُرقّع للتخفّي، ويبدو بشرياً تماماً، سيظل يفشل إن كان مُقاداً عبر CDP.

ما الذي يساعد:

• أوقات تشغيل مُرقّعة — مشغّلات معاد بناؤها (مثل patchright و rebrowser-patches) تنقل آثار CDP الجانبية خارج الفضاء القابل للملاحظة من الصفحة. وهي تتأخر عن الإصدارات الأصلية؛ ثبّت الإصدارات وأعد الاختبار بعد كل ترقية.
• أتمتة بدون CDP — أدوات تقود المتصفح عبر إدخال على مستوى نظام التشغيل أو واجهات برمجة إمكانية الوصول لا تترك أي آثار للبروتوكول في الصفحة، على حساب السرعة وواجهات البرمجة.
• متصفحات تخفٍّ مبنية لهذا الغرض — محركات مثل Camoufox (Firefox المُقوّى) تتجنّب فحوص Chromium-CDP بالكامل؛ فسطح الأتمتة لدى Firefox مختلف وأقل استهدافاً.

المستوى 3: تماسك البيئة

إلى جانب الآثار، تفحص الأنظمة الحديثة ما إذا كانت قصة متصفحك متسقة داخلياً:

الفحص	ما يفضح الروبوت
تجزئة عرض Canvas / WebGL	عرض برمجي عبر SwiftShader/llvmpipe = معالج رسوميات خادم؛ أو تجزئة تتشاركها 10,000 "مستخدم مختلف"
الخطوط والترميزات	مجموعة خطوط خادم Linux تحت وكيل مستخدم Windows
المنطقة الزمنية × اللغة المحلية × جغرافيا IP	Intl يقول UTC، وعنوان IP يقول تكساس، وAccept-Language يقول de-DE
مقاييس الشاشة	1920×1080 دون شريط مهام، و devicePixelRatio يساوي 1 بالضبط، ونافذة لم يُعد تحجيمها قط
تزامن العتاد / الذاكرة	96 نواة مُبلّغ عنها لصفحة تدّعي أنها هاتف
إشارات سلوكية دقيقة	لا عشوائية في الماوس، تعبئة فورية للنماذج، تمرير بخطوات متطابقة قدرها 100 بكسل

هنا يموت التخفّي اليدوي: كل ترقيع تطبّقه يجب أن يتفق مع كل إشارة أخرى. فوكيل مستخدم Windows منتحَل على حاوية Linux يناقض الخطوط، وسلاسل معالج الرسوميات، وبصمات TCP في آنٍ واحد. التماسك يتفوق على الكمال — فمتصفح Chrome صادق ذو واجهة على Linux يحقق نتيجة أفضل من متصفح "Windows" منتحَل بشكل سيئ.

ولا تزال الطبقة الأدنى منطبقة

لا شيء من هذا يهم إذا كانت طبقة العنوان محترقة: فالمتصفح الذي لا تشوبه شائبة على ASN لمركز بيانات يظل "متصفحاً لا تشوبه شائبة داخل مركز بيانات" — وعتبات كشف العمل بدون واجهة تتكيّف مع سمعة IP. فالمتصفح نفسه يتلقى تحديات JavaScript أكثر من عنوان IP مُعلّم. تخفّض المخارج السكنية فعلياً مستوى التدقيق الذي يتعيّن على طبقة المتصفح النجاة منه:

browser = p.chromium.launch(
    headless=False,                      # headed survives more checks
    args=["--disable-blink-features=AutomationControlled"],
    proxy={
        "server": "us.jibaoproxy.com:913",
        "username": "USERNAME", "password": "PASSWORD",
    },
)

قائمة تحقّق عملية

1. استخدم الوضع الجديد بدون واجهة أو الوضع ذا الواجهة؛ ولا تستخدم أبداً الوضع القديم بدون واجهة.
2. افترض وجود كشف CDP على أي هدف جاد — وقت تشغيل مُرقّع، أو مشغّل بدون CDP، أو محرّك مُقوّى غير Chromium.
3. لا تكدّس إضافات التخفّي بشكل أعمى؛ فكل toString() غير مُرقّع هو بحد ذاته إشارة. الترقيعات الأقل والمتماسكة هي الفائزة.
4. طابِق القصة بأكملها: المنطقة الزمنية = جغرافيا IP = اللغة المحلية؛ ومعالج الرسوميات معقول لنظام التشغيل المُدّعى.
5. أضف عشوائية في الإدخال — مسارات ماوس منحنية، وتأخيرات متغيرة، وعودة تمرير عرضية.
6. اختبر مقابل مراقب محايد قبل الهدف الحقيقي.

الخلاصة

• المستوى 1 (علم webdriver، وكيل المستخدم بدون واجهة) هو الحد الأدنى — يجتازه الوضع الجديد بدون واجهة.
• المستوى 2 هو حيث يعيش كشف 2026: آثار بروتوكول CDP تلتقط حتى متصفح Chrome ذا الواجهة المُرقّع للتخفّي؛ استخدم أوقات تشغيل مُرقّعة أو مشغّلات بدون CDP.
• المستوى 3 هو التماسك: كل قيمة منتحَلة يجب أن تتفق مع نظام التشغيل، ومعالج الرسوميات، والخطوط، والمنطقة الزمنية، وجغرافيا IP.
• تتكيّف عتبات الكشف مع سمعة IP — فالمخارج السكنية النظيفة تمنح متصفحك هامشاً.
• تحقّق تجريبياً بعد كل تحديث تبعية؛ فالتخفّي يتعفّن بسرعة.