2026 में DataDome और PerimeterX (HUMAN) से कैसे बचें

अगर Cloudflare वह anti-bot सिस्टम है जिससे हर कोई सबसे पहले मिलता है, तो DataDome और PerimeterX (अब HUMAN Security) वे हैं जो scraping प्रोजेक्ट्स का अंत कर देते हैं। ये उन टारगेट्स की सुरक्षा करते हैं जो लोग असल में चाहते हैं: sneaker और टिकटिंग साइटें, travel fare engines, बड़े e-commerce प्लेटफ़ॉर्म, classifieds। और Cloudflare के मुफ़्त tier के विपरीत, इन्हें चलाने वाली हर साइट ने ख़ासतौर पर आपको रोकने के लिए पैसे चुकाए हैं।

यह 2026 की स्थिति है कि दोनों सिस्टम क्या जाँचते हैं, GitHub के "bypass" repos क्यों मर चुके हैं, और चार-परत वाला तरीका जो अब भी काम करता है। यह हमारी Cloudflare bypass गाइड जैसी ही संरचना का पालन करता है — अगर आपने वह नहीं पढ़ी है, तो वहीं से शुरू करें; बुनियादी बातें ओवरलैप होती हैं।

मानक disclaimer: सार्वजनिक डेटा scrape करें, terms of service और स्थानीय क़ानून का सम्मान करें, और इसमें से किसी का भी उपयोग ऐसे सिस्टमों के विरुद्ध न करें जिन तक पहुँचने का आपको कोई अधिकार नहीं है।

2026 में DataDome कैसे काम करता है

DataDome एक server-side decision engine चलाता है जो तीन signal समूहों से चलता है, और प्रति request 2ms से कम में स्कोर किया जाता है:

1. Network reputation। IP ASN type (datacenter बनाम residential बनाम mobile), DataDome के पूरे ग्राहक नेटवर्क में IP request इतिहास (यही असली ख़तरा है — एक DataDome साइट पर जली हुई IP उन सब पर जली हुई है), TLS fingerprint (JA4), और HTTP/2 frame क्रम।
2. Device signals। एक JavaScript tag canvas/WebGL hashes, audio context, screen metrics, इंस्टॉल किए गए fonts, navigator properties, और CDP/headless artifacts इकट्ठा करता है। payload encrypted और replay-protected है — एक वैध payload कैप्चर करके उसे दोबारा भेजना कई साल पहले काम करना बंद कर चुका है।
3. Behavioral scoring। माउस के मार्ग, scroll का भौतिकी, क्रियाओं के बीच के समय का वितरण, और — logged flows के लिए — session भर लगातार सुसंगतता। शुद्ध replay automation में शून्य प्राकृतिक भिन्नता होती है और बहुत बुरा स्कोर पाती है।

स्कोर में नाकाम हों और आपको "captcha-delivery.com" interstitial (DataDome captcha) या एक datadome cookie के साथ खामोश 403 मिलता है।

2026 में PerimeterX / HUMAN कैसे काम करता है

वही तीन स्तंभ, अलग weighting। PerimeterX अपने JavaScript sensor (_px cookies, px.js collector) और behavioral biometrics पर ज़्यादा ज़ोर देता है। इसका "Human Challenge" — दबाकर-रखो वाला button — स्पष्ट रूप से असली pointer pressure curves की माँग करने के लिए डिज़ाइन किया गया है जिनमें replay bots नाकाम रहते हैं।

व्यावहारिक अंतर जो आपके लिए मायने रखते हैं:

• PerimeterX sensor payloads बहुत भारी रूप से obfuscated हैं और बार-बार rotate होते हैं — उन्हें reverse-engineer करना एक पूर्णकालिक काम है, इसीलिए हर open-source px-bypass repo कुछ हफ़्तों में मर जाता है।
• DataDome network परत पर ज़्यादा आक्रामक रूप से ब्लॉक करता है (ख़राब IP = JS चलने से पहले ही तुरंत 403); PerimeterX अधिक बार आपको अंदर आने देता है और बाद में आपको ख़राब करता है (ज़हरीला डेटा, soft blocks)।
• दोनों सभी ग्राहकों में IP reputation साझा करते हैं। IPs जलाने के दोनों पर नेटवर्क-भर परिणाम होते हैं।

अब क्या काम नहीं करता

• अकेले Headless Chrome + stealth plugin। दोनों vendors CDP timing artifacts का fingerprint लेते हैं जिन्हें stealth plugins पैच नहीं करते।
• किसी भी आकार के Datacenter proxies। ASN classification तुरंत और साझा है। 10,000 AWS IPs यानी 10,000 पहले से फ़्लैग की गई IPs।
• Cookie/payload replay। Sensor payloads दोनों सिस्टमों पर device-bound और replay-protected हैं।
• browser headers के साथ requests / httpx। TLS handshake पहले HTTP byte से पहले ही आपकी पोल खोल देता है — देखें JA3/JA4 समझाया गया।

चार-परत वाला तरीका जो काम करता है

Layer 1: अनुशासित Rotation के साथ Residential IPs

इन टारगेट्स पर ग़ैर-समझौतापरक। कम दुरुपयोग इतिहास वाले pool से Residential या mobile IPs, प्रति session rotate की गईं, प्रति request नहीं:

# One sticky session per browsing identity - looks like a real user's visit
proxy = "socks5h://USERNAME-session-a1b2c3:[email protected]:913"

DataDome के विरुद्ध प्रति-request rotation उल्टा पड़ता है: एक "user" जिसकी IP हर page load पर बदलती है, वह ख़ुद एक bot सिग्नेचर है। एक तार्किक visit (5–15 पेज) के लिए एक IP रखें, फिर session ID को रिटायर करें। अगर आपको 403 या captcha मिले, तो उसी IP पर दोबारा कोशिश न करें — वह IP अब और गर्म हो गई है; session rotate करें और धीमे चलें।

Layer 2: पैच किए गए Automation संकेतों वाला एक असली Browser

DataDome/PerimeterX-संरक्षित flows के लिए, एक असली Chromium चलाएँ — headed अगर आप अफ़ोर्ड कर सकें — anti-CDP-detection patches (rebrowser-patches और इसके forks) के साथ Playwright के ज़रिए, या एक commercial anti-detect browser। JS sensor को चलना चाहिए और एक सुसंगत device कहानी पैदा करनी चाहिए: असली canvas entropy, सुसंगत screen metrics, proxy IP के देश से मेल खाता timezone।

Layer 3: Behavioral यथार्थवाद

• पहले homepage या एक search page पर उतरें; कोई listings के page 47 पर टेलिपोर्ट नहीं करता।
• तत्वों की ओर इंसानी-घुमावदार माउस गति (शोर के साथ Bezier पथ), coordinate छलाँगें नहीं।
• क्रियाओं के बीच log-normal think-time (0.8–4s), एकसमान random नहीं।
• पढ़ने से पहले scroll करें; पेज scroll depth रिपोर्ट करते हैं।
• प्रति identity request दर इंसानी स्तरों पर रखें — एक user प्रति session लगभग 10–20 पेज पढ़ता है, 400 नहीं।

Layer 4: क्षैतिज रूप से स्केल करें, लंबवत नहीं

वह गणित जो असल में इन सिस्टमों को हराता है: एक identity से 1,000 पेज कराने (इंसानी दिखाना असंभव) के बजाय, 100 identities चलाएँ जिनमें से हर एक 10 पेज करे। हर identity = एक residential session ID + एक fingerprint + इंसानी pacing। यह एक अर्थशास्त्र की लड़ाई है — आप हर identity को अलग-अलग सामान्य बनाकर जीतते हैं।

DataDome बनाम PerimeterX: रणनीतिक अंतर

पहलू	DataDome	PerimeterX / HUMAN
ख़राब-IP व्यवहार	तुरंत 403 / captcha interstitial	अक्सर नरम: ख़राब किया गया या ज़हरीला response
Challenge प्रकार	Puzzle captcha (captcha-delivery.com)	दबाकर-रखो Human Challenge
Detection पर ज़ोर	Network परत + device	JS sensor + behavioral biometrics
देखने योग्य Cookie	datadome	_px2 / _px3
अगर challenge मिले	session rotate करें, एक IP से बार-बार हल न करें	ज़ोर से पीछे हटें; बार-बार challenge की नाकामी identity को ज़हरीला कर देती है

Monitoring: जानें कि कब आप ख़राब किए जा रहे हैं

दोनों सिस्टम आपको खामोशी से नाकाम कर सकते हैं। अपनी pipeline को instrument करें:

• प्रति 100 requests, प्रति session ID, 403/captcha दर पर अलर्ट करें।
• parse किए गए डेटा की एक ज्ञात-सही मैनुअल नमूने के विरुद्ध spot-check करें — PerimeterX-संरक्षित साइटों को संदिग्ध bots को हल्के से ग़लत क़ीमतें परोसते देखा गया है।
• proxy session के अनुसार block दर ट्रैक करें; गर्म sessions को धकेलने के बजाय जल्दी रिटायर करें।

सारांश

2026 में DataDome और PerimeterX scoring सिस्टम हैं, गेट नहीं — आप उन्हें एक तरकीब से "bypass" नहीं करते, आप हर परत पर एक साथ स्कोर सीमा के नीचे रहते हैं: प्रति identity साफ़ residential IP, पैच किए गए संकेतों वाला असली browser, इंसानी व्यवहार, और क्षैतिज स्केल। जो टीमें सफल होती हैं वे हर identity को disposable और सामान्य मानती हैं; जो नाकाम होती हैं वे एक connection से अतिमानवीय काम कराने की कोशिश करती हैं।