Instagram と TikTok のスクレイピング用プロキシ: 2026 年に機能するもの

Instagram と TikTok は、スクレイピングにおける主流ターゲットの中で最も手強い 2 つです — Google より、Amazon よりも難しい。どちらも積極的な IP スコアリングを行い、複数のレイヤーであなたのクライアントを fingerprint し、そして両方とも soft block で有名です。きれいな 403 を返す代わりに、ログインウォール、空の JSON、"challenge_required"、あるいは何の予告もなく切り詰められた結果が返ってきます。スクレイパーは「動いて」いるのに、取れたデータはゴミです。

このガイドでは、2026 年に各プラットフォームが実際にどうやってあなたをブロックするのか、生き残るためのプロキシ設定、そしてアカウントとセッションを維持するためのリクエストパターンを解説します。（スクレイピングではなくマルチアカウントの管理については、AdsPower/Multilogin と GoLogin/Dolphin Anty のガイドを参照してください。）

Instagram はどうやってブロックするか

• まず IP レピュテーション。datacenter ASN は web 上でほぼ即座にログインウォールに当たり、private API は challenge_required を返します。Instagram は共有・乱用された residential IP に対する許容度も低く — プールの品質がここではほとんどどこよりも重要です。
• IP ごとのリクエスト予算。匿名の web リクエストはログインウォールに当たるまで IP あたり 1 時間でおおよそ 100–200 ページロード。GraphQL エンドポイントはもっと厳しい。予算は IP ごとかつセッション cookie ごとで、別々にトラッキングされます。
• ログイン済みスクレイピングはリスクをアカウントに紐づける。1 時間に 5 つの IP から見られたアカウントは、IP ではなくアカウントが checkpoint されます。ログイン済みでスクレイプするなら、1 アカウント = 1 sticky IP、例外なし。
• デバイス/TLS フィンガープリント。mobile-API ルート（アプリになりすます）は TLS フィンガープリントを既知のアプリスタックと照合します — 素の httpx はここで死にます。curl_cffi による impersonation を参照。

TikTok はどうやってブロックするか

• 署名付きリクエスト。TikTok の web API は、難読化された JavaScript が生成する X-Bogus/署名パラメータを要求します。純粋な HTTP スクレイピングでは、数週間ごとにローテーションする署名をリバースエンジニアリングし続けることになり — ほとんどのチームは代わりに本物のブラウザ（Playwright）を走らせて JSON レスポンスを傍受します。
• 地域分割されたコンテンツ。TikTok のコンテンツ、トレンド、さらには利用可否までもが exit IP の国によって異なります。EU の IP から「US TikTok」をスクレイプすると、ブロックされたデータではなく単に異なるデータが返ってきます — 静かな正しさのバグです。プロキシの国をターゲット市場に合わせてください。
• datacenter IP = 即 captcha。スライダー/渦巻き captcha は cloud ASN からの初回ロード時に出現します。residential exit ならほぼスキップできます。
• webapp での行動スコアリング。スクロールの間隔や視聴時間のシグナルがリスクモデルに供給され、マシン速度でプロフィールをページングするブラウザはセッションが汚染されます（「これ以上コンテンツがない」ように見える空の itemList レスポンス）。

機能する設定

1. residential、geo マッチ、アイデンティティごとに sticky

# One identity = one sticky session, country-pinned
socks5h://USERNAME:[email protected]:913

リクエストごとのローテーションは、低ボリュームの匿名の公開ページであれば問題ありません。セッション cookie やログインが絡んだ瞬間に sticky へ切り替えてください — cookie と IP は 1 つのアイデンティティとして一緒に動かす必要があります（理由）。

2. 公開 Instagram を GraphQL 経由で、プロキシを通して

from curl_cffi import requests

PROXY = {"https": "socks5h://USERNAME:[email protected]:913"}

# Public profile JSON (no login) - impersonate Chrome's TLS
r = requests.get(
    "https://www.instagram.com/api/v1/users/web_profile_info/?username=nasa",
    impersonate="chrome",
    headers={"X-IG-App-ID": "936619743392459"},
    proxies=PROXY,
)
data = r.json()["data"]["user"]
print(data["edge_followed_by"]["count"])

ステータスコードではなくレスポンスを見ること。{"data": null} の 200 や /accounts/login/ へのリダイレクトは、この IP の予算を使い切ったことを意味します — アイデンティティをローテーションし、バックオフして、再開してください。

3. TikTok を Playwright + レスポンス傍受で

from playwright.sync_api import sync_playwright

with sync_playwright() as p:
    browser = p.chromium.launch(proxy={
        "server": "us.jibaoproxy.com:913",
        "username": "USERNAME", "password": "PASSWORD",
    })
    page = browser.new_page()
    items = []
    # Let TikTok's own JS sign the requests; we just read the answers
    page.on("response", lambda res:
        items.extend(res.json().get("itemList", []))
        if "/api/post/item_list" in res.url else None)
    page.goto("https://www.tiktok.com/@nasa")
    for _ in range(5):
        page.mouse.wheel(0, 2500)
        page.wait_for_timeout(1800)   # human-ish scroll cadence
    print(len(items), "videos captured")

これで署名のリバースエンジニアリングを完全に回避できます。ページ自身が有効な X-Bogus を生成し、あなたはその JSON を収穫するだけです。プロキシはブラウザ起動時に設定する必要があり — 認証まわりのクセは Playwright のプロキシ認証 で扱っています。

4. 人間のようにペース配分し、soft block を監視する

• Instagram のアイデンティティあたり ~1 リクエスト / 2–4 秒を予算に。jitter を加えること。TikTok のスクロール間隔は 1.5–3 秒。
• HTTP コードではなくコンテンツのシグナルでアラートを出す。ログインウォールへのリダイレクト、challenge_required、hasMore: true なのに空の itemList。
• アイデンティティは ~150 リクエスト（IG）/ ~30 プロフィールページ（TikTok）で引退させ、24 時間クールダウン。
• バッチごとにコントロールプローブ（既知のプロフィール）を走らせること — コントロールが間違った結果で返ってきたら、そのバッチ全体が疑わしい。

クイックリファレンス

	Instagram	TikTok
最適なアクセス経路	Web GraphQL/API エンドポイント、curl_cffi	Playwright + レスポンス傍受
プロキシタイプ	アイデンティティごとに residential sticky	residential、市場に geo マッチ
datacenter IP	ログインウォール / challenge	即 captcha
soft-block シグナル	ログインリダイレクト、challenge_required、null データ	空の itemList、captcha ページ
geo の敏感さ	中程度	高 — コンテンツが国によって異なる

まとめ

• どちらのプラットフォームも soft block する。レスポンスのコンテンツを検証し、200 OK を決して信用しないこと。
• residential は必須。cookie やログインが存在するときは常に sticky session。TikTok は計測する市場に geo マッチさせること。
• Instagram: web API + curl_cffi の impersonation、アイデンティティあたり ~150 リクエスト、その後ローテーション。
• TikTok: 本物のブラウザに署名させ、JSON を傍受し、人間らしい間隔でスクロールする。
• ログイン済みスクレイピングはリスクをアカウントに縛りつける — 1 アカウント、1 IP、例外なし。