چطور سایتها در ۲۰۲۶ مرورگر headless را تشخیص میدهند: نشت CDP، بررسی انسجام و راهکارها

از HTTP خام به یک مرورگر واقعی کوچ کردید. فینگرپرینت TLS: واقعاً مال Chrome. IP: مسکونی. و سایت باز هم میداند. در سال 2026، تشخیص مرورگر headless بسیار فراتر از navigator.webdriver رفته است — نسل فعلی بررسیها خودِ پروتکل اتوماسیون را تشخیص میدهد، و اکثر افزونههای «stealth» سیگنالهای دیروز را وصله میکنند در حالی که با صدای بلند سیگنالهای امروز را به نمایش میگذارند.

این مقاله نقشهٔ آن چیزی را میکشد که سایتها واقعاً الان بررسی میکنند، تقریباً به همان ترتیبی که بررسیشان میکنند، و اینکه در هر لایه چه چیزی واقعاً کمک میکند. این مقاله سهگانهٔ تشخیص را با فینگرپرینت TLS با JA3/JA4 (لایهٔ شبکه) و اعتبار IP و ASN (لایهٔ آدرس) کامل میکند — این لایهٔ مرورگر است.

ردهٔ ۱: کلاسیکها (حلشده، اما هنوز بررسی میشوند)

• navigator.webdriver — طبق استاندارد باید زیر اتوماسیون true باشد. راهاندازیهای stealth در Playwright/Puppeteer آن را پنهان میکنند؛ فلگ --disable-blink-features=AutomationControlled در Chrome آن را بهصورت بومی مدیریت میکند. سایتها هنوز بررسیاش میکنند چون رایگان است و باتهای ساده را میگیرد.
• رشتههای UA حالت headless — HeadlessChrome/ در User-Agent. با حالت headless جدید (headless=new) که از مسیر باینری واقعی Chrome استفاده میکند رفع میشود.
• نبود اثاثیهٔ مرورگر — صفرِ navigator.plugins، نبود chrome.runtime، outerWidth برابر 0×0. حالت headless قدیمی در همهٔ اینها مردود میشد؛ headless جدید عمدتاً قبول میشود.

اگر یک هدف فقط ردهٔ ۱ را بررسی کند، Playwright مدرن با headless=new از آن عبور میکند. اهداف جدی سالها پیش از این مرحله گذشتند.

ردهٔ ۲: تشخیص CDP — اسب کاری سال 2026

Playwright و Puppeteer مرورگر Chrome را روی Chrome DevTools Protocol هدایت میکنند، و CDP عوارض جانبی زمان اجرا به جا میگذارد که جاوااسکریپت صفحه میتواند مشاهده کند:

// نشت کلاسیک CDP: کالبکهای سریالایز شدن
const err = new Error();
Object.defineProperty(err, "stack", {
  get() {
    // این getter حین سریالایز شدن console فعال میشود -
    // که فقط زمانی رخ میدهد که DevTools/CDP متصل باشد
    window.__cdp_detected = true;
  },
});
console.debug(err);

گونههای مختلف این — عوارض جانبی getter حین سریالایز شدن console، ناهنجاریهای زمانی در Runtime.evaluate، رفتار toString() روی توابع بومی وصلهشده — در هر بستهٔ تجاری ضدبات وجود دارند. نکتهٔ حیاتی: این پروتکل را تشخیص میدهد، نه حالت headless را. یک Chrome سردار (headed)، stealth-وصلهشده و کاملاً شبیه انسان هم اگر روی CDP هدایت شود مردود میشود.

چه چیزی کمک میکند:

• رانتایمهای وصلهشده — درایورهای بازساختهشده (مثلاً patchright، rebrowser-patches) که عوارض جانبی CDP را از فضای قابلمشاهده توسط صفحه خارج میکنند. اینها از انتشارهای بالادست عقباند؛ نسخهها را پین کنید و بعد از هر ارتقا دوباره تست کنید.
• اتوماسیون غیر-CDP — ابزارهایی که مرورگر را از طریق ورودی سطح سیستمعامل یا APIهای دسترسیپذیری هدایت میکنند هیچ آرتیفکت پروتکلی در صفحه به جا نمیگذارند، به قیمت سرعت و APIها.
• مرورگرهای stealth ساختهشده برای منظور خاص — موتورهایی مثل Camoufox (Firefox سختشده) کاملاً بررسیهای Chromium-CDP را دور میزنند؛ سطح اتوماسیون Firefox متفاوت و کمتر هدفگرفتهشده است.

ردهٔ ۳: انسجام محیطی

فراتر از آرتیفکتها، سیستمهای مدرن بررسی میکنند که آیا روایت مرورگر شما از درون سازگار است یا نه:

بررسی	نشانهٔ بات
هش رندر Canvas / WebGL	رندر نرمافزاری SwiftShader/llvmpipe = GPU سرور؛ یا هشی که میان ۱۰٬۰۰۰ «کاربر متفاوت» مشترک است
فونتها و کدکها	مجموعهٔ فونت سرور Linux زیر یک User-Agent ویندوزی
منطقهٔ زمانی × لوکیل × جغرافیای IP	Intl میگوید UTC، IP میگوید Texas، Accept-Language میگوید de-DE
متریکهای صفحه	1920×1080 بدون هیچ نوار وظیفه، devicePixelRatio دقیقاً 1، پنجرهای که هیچوقت تغییر اندازه نداده
تعداد هستههای پردازنده / حافظه	۹۶ هسته گزارششده به صفحهای که ادعا میکند یک تلفن است
میکروسیگنالهای رفتاری	بدون آنتروپی ماوس، پر شدن آنی فرمها، اسکرول در گامهای یکسان ۱۰۰ پیکسلی

اینجاست که stealth خانگی میمیرد: هر وصلهای که اعمال میکنید باید با هر سیگنال دیگری توافق داشته باشد. یک UA ویندوز جعلی روی یک کانتینر Linux همزمان با فونتها، رشتههای GPU و فینگرپرینتهای TCP تناقض دارد. انسجام بر کمال برتری دارد — یک Chrome سردار Linux صادق بهتر از یک «ویندوز» بدجعلشده امتیاز میگیرد.

و لایهٔ زیرین هنوز برقرار است

هیچکدام از اینها اهمیتی ندارد اگر لایهٔ آدرس سوخته باشد: یک مرورگر بینقص روی یک ASN دیتاسنتر باز هم «یک مرورگر بینقص در یک دیتاسنتر» است — و آستانههای تشخیص headless با اعتبار IP تطبیقپذیرند. همان مرورگر از یک IP علامتخورده چالشهای جاوااسکریپت بیشتری میگیرد. خروجیهای مسکونی عملاً سطح موشکافیای را که لایهٔ مرورگر باید از آن جان سالم به در ببرد پایین میآورند:

browser = p.chromium.launch(
    headless=False,                      # حالت سردار (headed) از بررسیهای بیشتری جان سالم به در میبرد
    args=["--disable-blink-features=AutomationControlled"],
    proxy={
        "server": "us.jibaoproxy.com:913",
        "username": "USERNAME", "password": "PASSWORD",
    },
)

چکلیست عملی

1. از حالت headless جدید یا سردار (headed) استفاده کنید؛ هیچوقت headless قدیمی.
2. روی هر هدف جدی تشخیص CDP را فرض کنید — رانتایم وصلهشده، درایور غیر-CDP، یا یک موتور سختشدهٔ غیر-Chromium.
3. افزونههای stealth را کورکورانه روی هم نچینید؛ هر toString() وصلهنشده خودش یک سیگنال است. وصلههای کمتر و منسجم برنده میشوند.
4. کل روایت را منطبق کنید: منطقهٔ زمانی = جغرافیای IP = لوکیل؛ GPU باورپذیر برای سیستمعامل ادعاشده.
5. آنتروپی ورودی اضافه کنید — مسیرهای منحنی ماوس، تأخیرهای متغیر، اسکرول-به-عقب گاهبهگاه.
6. قبل از هدف واقعی، روی یک ناظر بیطرف تست کنید.

جمعبندی

• ردهٔ ۱ (فلگ webdriver، UA حالت headless) حداقل لازم است — حالت headless جدید از آن عبور میکند.
• ردهٔ ۲ جایی است که تشخیص سال 2026 زندگی میکند: آرتیفکتهای پروتکل CDP حتی Chrome سردار و stealth-وصلهشده را میگیرند؛ از رانتایمهای وصلهشده یا درایورهای غیر-CDP استفاده کنید.
• ردهٔ ۳ انسجام است: هر مقدار جعلی باید با سیستمعامل، GPU، فونتها، منطقهٔ زمانی و جغرافیای IP توافق داشته باشد.
• آستانههای تشخیص با اعتبار IP تطبیق مییابند — خروجیهای مسکونی تمیز برای مرورگر شما حاشیهٔ امن میخرند.
• بعد از هر بهروزرسانی وابستگی، تجربی تأیید کنید؛ stealth سریع میپوسد.