Cómo evadir DataDome y PerimeterX (HUMAN) en 2026

Si Cloudflare es el sistema antibot que todos encuentran primero, DataDome y PerimeterX (ahora HUMAN Security) son los que ponen fin a los proyectos de scraping. Protegen los objetivos que la gente realmente quiere: sitios de zapatillas y de venta de entradas, motores de tarifas de viajes, grandes plataformas de comercio electrónico, clasificados. Y a diferencia del nivel gratuito de Cloudflare, cada sitio que los ejecuta ha pagado específicamente para detenerte.

Este es el estado en 2026 de lo que ambos sistemas verifican, por qué los repositorios de "bypass" en GitHub están muertos, y el enfoque de cuatro capas que aún funciona. Sigue la misma estructura que nuestra guía de evasión de Cloudflare — si no la has leído, empieza por ahí; los fundamentos se solapan.

Descargo de responsabilidad estándar: scrapea datos públicos, respeta los términos de servicio y la ley local, y no uses nada de esto contra sistemas a los que no tengas derecho de acceso.

Cómo funciona DataDome en 2026

DataDome ejecuta un motor de decisión del lado del servidor alimentado por tres grupos de señales, puntuados en menos de 2 ms por petición:

1. Reputación de red. Tipo de ASN de la IP (centro de datos vs residencial vs móvil), historial de peticiones de la IP a través de toda la red de clientes de DataDome (esto es el golpe mortal — una IP quemada en un sitio de DataDome está quemada en todos ellos), huella TLS (JA4) y orden de los frames HTTP/2.
2. Señales de dispositivo. Una etiqueta de JavaScript recopila hashes de canvas/WebGL, contexto de audio, métricas de pantalla, fuentes instaladas, propiedades de navigator y artefactos de CDP/headless. La carga útil está cifrada y protegida contra reproducción — capturar una carga útil válida y reenviarla dejó de funcionar hace años.
3. Puntuación conductual. Trayectorias del ratón, física del scroll, distribuciones de tiempo entre acciones y — para flujos con sesión iniciada — coherencia a lo largo de toda la sesión. La automatización por pura reproducción tiene cero varianza natural y puntúa pésimamente.

Si fallas la puntuación, obtienes el intersticial de "captcha-delivery.com" (el captcha de DataDome) o un 403 silencioso con una cookie datadome.

Cómo funciona PerimeterX / HUMAN en 2026

Los mismos tres pilares, con distinta ponderación. PerimeterX se apoya con más fuerza en su sensor de JavaScript (cookies _px, el recolector px.js) y en la biometría conductual. Su "Human Challenge" — el botón de mantener pulsado — está diseñado explícitamente para requerir curvas reales de presión del puntero que los bots de reproducción no logran.

Diferencias prácticas que te importan:

• Las cargas útiles del sensor de PerimeterX están fuertemente ofuscadas y rotan con frecuencia — aplicarles ingeniería inversa es un trabajo a tiempo completo, razón por la cual todo repositorio de código abierto px-bypass muere en cuestión de semanas.
• DataDome bloquea de forma más agresiva en la capa de red (IP mala = 403 instantáneo antes de que se ejecute siquiera el JS); PerimeterX más a menudo te deja entrar y te degrada después (datos envenenados, bloqueos suaves).
• Ambos comparten la reputación de IP entre todos los clientes. Quemar IP tiene consecuencias en toda la red en ambos.

Lo que ya no funciona

• Headless Chrome + plugin de sigilo por sí solos. Ambos proveedores identifican artefactos de tiempo de CDP que los plugins de sigilo no parchean.
• Proxies de centro de datos de cualquier tamaño. La clasificación de ASN es instantánea y compartida. 10.000 IP de AWS son 10.000 IP ya marcadas.
• Reproducción de cookies/cargas útiles. Las cargas útiles del sensor están ligadas al dispositivo y protegidas contra reproducción en ambos sistemas.
• requests / httpx con cabeceras de navegador. El handshake TLS te delata antes del primer byte HTTP — consulta JA3/JA4 explicados.

El enfoque de cuatro capas que funciona

Capa 1: IP residenciales con rotación disciplinada

Innegociable en estos objetivos. IP residenciales o móviles de un pool con bajo historial de abuso, rotadas por sesión, no por petición:

# One sticky session per browsing identity - looks like a real user's visit
proxy = "socks5h://USERNAME-session-a1b2c3:[email protected]:913"

La rotación por petición contra DataDome es contraproducente: un "usuario" cuya IP cambia en cada carga de página es en sí mismo una firma de bot. Mantén una IP para una visita lógica (5–15 páginas), luego retira el ID de sesión. Si recibes un 403 o un captcha, no reintentes con la misma IP — esa IP ahora está más caliente; rota la sesión y reduce la velocidad.

Capa 2: Un navegador real con señales de automatización parcheadas

Para flujos protegidos por DataDome/PerimeterX, ejecuta un Chromium real — headed si te lo puedes permitir — mediante Playwright con parches anti-detección de CDP (rebrowser-patches y sus forks), o un navegador antidetección comercial. El sensor de JS debe ejecutarse y producir una historia de dispositivo coherente: entropía de canvas real, métricas de pantalla consistentes, zona horaria que coincida con el país de la IP del proxy.

Capa 3: Realismo conductual

• Aterriza primero en la página de inicio o en una página de búsqueda; nadie se teletransporta a la página 47 de los listados.
• Movimiento del ratón con curva humana hacia los elementos (trayectorias Bézier con ruido), no saltos de coordenadas.
• Tiempo de reflexión log-normal entre acciones (0,8–4 s), no aleatorio uniforme.
• Haz scroll antes de leer; las páginas reportan la profundidad de scroll.
• Mantén la tasa de peticiones por identidad a niveles humanos — un usuario lee ~10–20 páginas por sesión, no 400.

Capa 4: Escala horizontalmente, no verticalmente

Las matemáticas que de verdad derrotan a estos sistemas: en lugar de una identidad haciendo 1.000 páginas (imposible de hacer parecer humano), ejecuta 100 identidades haciendo 10 páginas cada una. Cada identidad = un ID de sesión residencial + una huella + ritmo humano. Esto es una pelea económica — ganas haciendo que cada identidad sea individualmente irrelevante.

DataDome vs PerimeterX: diferencias tácticas

Aspecto	DataDome	PerimeterX / HUMAN
Comportamiento ante IP mala	403 instantáneo / intersticial de captcha	A menudo suave: respuestas degradadas o envenenadas
Tipo de desafío	Captcha de puzzle (captcha-delivery.com)	Human Challenge de mantener pulsado
Énfasis de detección	Capa de red + dispositivo	Sensor JS + biometría conductual
Cookie a vigilar	datadome	_px2 / _px3
Si te desafían	Rota la sesión, NO resuelvas repetidamente desde una sola IP	Frena en seco; los fallos repetidos del desafío envenenan la identidad

Monitoreo: sabe cuándo te están degradando

Ambos sistemas pueden fallarte silenciosamente. Instrumenta tu pipeline:

• Alerta sobre la tasa de 403/captcha por cada 100 peticiones, por ID de sesión.
• Verifica de forma puntual los datos parseados contra una muestra manual de buena calidad conocida — se ha visto que sitios protegidos por PerimeterX sirven precios sutilmente incorrectos a bots sospechosos.
• Rastrea la tasa de bloqueo por sesión de proxy; retira las sesiones calientes pronto en lugar de forzarlas.

Resumen

DataDome y PerimeterX en 2026 son sistemas de puntuación, no puertas — no los "evades" con un solo truco, te mantienes por debajo del umbral de la puntuación en cada capa a la vez: IP residencial limpia por identidad, navegador real con señales parcheadas, comportamiento humano y escala horizontal. Los equipos que tienen éxito tratan cada identidad como desechable e irrelevante; los que fracasan intentan que una sola conexión haga un trabajo sobrehumano.