Paano I-bypass ang DataDome at PerimeterX (HUMAN) sa 2026

Kung ang Cloudflare ang anti-bot system na unang nakakaharap ng lahat, ang DataDome at PerimeterX (ngayon ay HUMAN Security) ang mga sistemang pumapatay sa mga scraping project. Pinoprotektahan nila ang mga target na talagang gusto ng mga tao: mga sneaker at ticketing site, travel fare engine, malalaking e-commerce platform, classifieds. At hindi tulad ng libreng tier ng Cloudflare, bawat site na gumagamit nito ay tahasang nagbayad para pigilan ka.

Ito ang 2026 na kalagayan ng kung ano ang sinusuri ng dalawang sistema, kung bakit patay na ang mga "bypass" repo sa GitHub, at ang four-layer na diskarte na epektibo pa rin. Sinusunod nito ang parehong istruktura ng aming gabay sa pag-bypass ng Cloudflare — kung hindi mo pa nabasa iyon, simulan mo doon; magkakapatong ang mga pundasyon.

Karaniwang paalala: mag-scrape ng pampublikong data, igalang ang terms of service at lokal na batas, at huwag gamitin ang anuman dito laban sa mga sistemang wala kang karapatang i-access.

Paano Gumagana ang DataDome sa 2026

Nagpapatakbo ang DataDome ng server-side decision engine na pinapakain ng tatlong grupo ng signal, na ini-score nang wala pang 2ms bawat request:

1. Reputasyon ng network. Uri ng IP ASN (datacenter vs residential vs mobile), kasaysayan ng request ng IP sa buong customer network ng DataDome (ito ang pumapatay — ang IP na nasunog sa isang DataDome site ay sunog na sa lahat ng iyon), TLS fingerprint (JA4), at HTTP/2 frame ordering.
2. Mga signal ng device. May JavaScript tag na kumukolekta ng canvas/WebGL hashes, audio context, screen metrics, naka-install na mga font, mga property ng navigator, at mga artifact ng CDP/headless. Naka-encrypt ang payload at protektado laban sa replay — ang pagkuha ng isang valid na payload at muling pagpapadala nito ay matagal nang hindi gumagana.
3. Behavioral scoring. Mga trajectory ng mouse, physics ng scroll, mga distribution ng oras sa pagitan ng mga aksyon, at — para sa mga naka-log na flow — pagkakapare-pareho sa buong session. Ang purong replay automation ay walang natural na variance at napakababa ng score.

Kapag bumagsak ka sa score, makukuha mo ang "captcha-delivery.com" interstitial (ang DataDome captcha) o isang tahimik na 403 na may datadome cookie.

Paano Gumagana ang PerimeterX / HUMAN sa 2026

Parehong tatlong haligi, ibang timbang. Mas umaasa nang husto ang PerimeterX sa JavaScript sensor nito (mga _px cookie, ang px.js collector) at sa behavioral biometrics. Ang "Human Challenge" nito — ang press-and-hold na button — ay sadyang idinisenyo para mangailangan ng totoong pointer pressure curves na binabagsakan ng mga replay bot.

Mga praktikal na pagkakaiba na mahalaga sa iyo:

• Ang mga sensor payload ng PerimeterX ay matinding na-obfuscate at madalas na nagba-rotate — isang full-time na trabaho ang pag-reverse-engineer sa kanila, kaya namamatay sa loob ng ilang linggo ang bawat open-source na px-bypass repo.
• Mas agresibong nagba-block ang DataDome sa network layer (masamang IP = agad na 403 bago pa tumakbo ang JS); mas madalas namang pinapapasok ka ng PerimeterX at saka ka pinapahina (lasong data, soft blocks).
• Pareho silang nagbabahagi ng IP reputation sa lahat ng customer. Ang pagsunog ng mga IP ay may network-wide na epekto sa pareho.

Kung Ano ang Hindi Na Gumagana

• Headless Chrome + stealth plugin lamang. Fini-fingerprint ng parehong vendor ang mga CDP timing artifact na hindi ina-patch ng mga stealth plugin.
• Datacenter proxy ng anumang laki. Agaran at ibinabahagi ang ASN classification. Ang 10,000 AWS IP ay 10,000 na nakaflag na IP.
• Cookie/payload replay. Ang mga sensor payload ay nakatali sa device at protektado laban sa replay sa parehong sistema.
• requests / httpx na may browser headers. Ipinagkakanulo ka ng TLS handshake bago pa ang unang HTTP byte — tingnan ang paliwanag sa JA3/JA4.

Ang Four-Layer na Diskarte na Gumagana

Layer 1: Residential IP na may Disiplinadong Rotation

Hindi mapag-uusapan sa mga target na ito. Residential o mobile IP mula sa pool na may mababang kasaysayan ng abuse, ini-rotate kada session, hindi kada request:

# One sticky session per browsing identity - looks like a real user's visit
proxy = "socks5h://USERNAME-session-a1b2c3:[email protected]:913"

Ang per-request rotation laban sa DataDome ay kontra-produktibo: ang isang "user" na nagbabago ang IP sa bawat page load ay isa nang bot signature. Panatilihin ang isang IP para sa isang lohikal na pagbisita (5–15 pahina), pagkatapos ay i-retire ang session ID. Kung makakuha ka ng 403 o captcha, huwag mag-retry sa parehong IP — mas init na ang IP na iyon ngayon; i-rotate ang session at bumagal.

Layer 2: Tunay na Browser na may Naka-patch na mga Automation Tell

Para sa mga flow na protektado ng DataDome/PerimeterX, magpatakbo ng tunay na Chromium — headed kung kaya mong gastusan — sa pamamagitan ng Playwright na may mga anti-CDP-detection patch (rebrowser-patches at mga fork nito), o isang komersyal na anti-detect browser. Kailangang ma-execute ang JS sensor at makagawa ng magkakaugnay na kwento ng device: totoong canvas entropy, pare-parehong screen metrics, timezone na tumutugma sa bansa ng proxy IP.

Layer 3: Behavioral na Pagiging Totoo

• Mag-land muna sa homepage o sa isang search page; walang taong tumetelportar sa pahina 47 ng listings.
• Gumamit ng human-curve na mouse movement papunta sa mga elemento (Bezier path na may noise), hindi mga coordinate jump.
• Log-normal na think-time sa pagitan ng mga aksyon (0.8–4s), hindi uniform random.
• Mag-scroll bago magbasa; iniuulat ng mga pahina ang scroll depth.
• Panatilihin ang request rate kada identity sa antas ng tao — nagbabasa ang user ng ~10–20 pahina kada session, hindi 400.

Layer 4: Mag-scale nang Horizontal, Hindi Vertical

Ang matematikang talagang tumatalo sa mga sistemang ito: sa halip na isang identity na gumagawa ng 1,000 pahina (imposibleng paganahin na mukhang tao), magpatakbo ng 100 identity na gumagawa ng 10 pahina bawat isa. Bawat identity = isang residential session ID + isang fingerprint + human na pacing. Ito ay laban ng ekonomiya — nananalo ka sa pamamagitan ng paggawa sa bawat identity na indibidwal na hindi kapansin-pansin.

DataDome vs PerimeterX: Mga Taktikal na Pagkakaiba

Aspeto	DataDome	PerimeterX / HUMAN
Ugali sa masamang IP	Agad na 403 / captcha interstitial	Kadalasan soft: degraded o lasong tugon
Uri ng challenge	Puzzle captcha (captcha-delivery.com)	Press-and-hold Human Challenge
Diin ng detection	Network layer + device	JS sensor + behavioral biometrics
Cookie na babantayan	datadome	_px2 / _px3
Kapag na-challenge	I-rotate ang session, HUWAG paulit-ulit na sagutin mula sa isang IP	Umurong nang husto; ang paulit-ulit na pagbagsak sa challenge ay nilalason ang identity

Monitoring: Alamin Kung Kailan Ka Pinapahina

Pareho silang maaaring magpabagsak sa iyo nang tahimik. I-instrument ang iyong pipeline:

• Mag-alert sa rate ng 403/captcha bawat 100 request, kada session ID.
• Mag-spot-check ng na-parse na data laban sa isang kilalang-tama na manu-manong sample — nakita na ang mga site na protektado ng PerimeterX na nagseserbisyo ng bahagyang maling presyo sa mga pinaghihinalaang bot.
• Subaybayan ang block rate ayon sa proxy session; i-retire nang maaga ang mga maiinit na session sa halip na pilitan.

Buod

Ang DataDome at PerimeterX sa 2026 ay mga sistema ng pag-score, hindi mga pinto — hindi mo sila "ni-bypass" sa isang trick lang, mananatili kang nasa ilalim ng score threshold sa bawat layer nang sabay-sabay: malinis na residential IP kada identity, tunay na browser na may naka-patch na mga tell, ugali ng tao, at horizontal na scale. Ang mga team na nagtatagumpay ay itinuturing ang bawat identity bilang disposable at hindi kapansin-pansin; ang mga nabibigo ay sinusubukang papagtrabahuin nang superhuman ang isang koneksyon.