2026 میں DataDome اور PerimeterX (HUMAN) کو کیسے bypass کریں

اگر Cloudflare وہ anti-bot سسٹم ہے جس سے ہر کوئی سب سے پہلے ملتا ہے، تو DataDome اور PerimeterX (اب HUMAN Security) وہ ہیں جو اسکریپنگ پراجیکٹس کا خاتمہ کر دیتے ہیں۔ یہ ان ٹارگٹس کی حفاظت کرتے ہیں جو لوگ واقعی چاہتے ہیں: sneaker اور ٹکٹنگ سائٹس، سفر کے کرایہ انجن، بڑے e-commerce پلیٹ فارمز، classifieds۔ اور Cloudflare کے مفت ٹیئر کے برعکس، انہیں چلانے والی ہر سائٹ نے خاص طور پر آپ کو روکنے کے لیے رقم ادا کی ہے۔

یہ 2026 کی صورتحال ہے کہ دونوں سسٹمز کیا چیک کرتے ہیں، GitHub کی "bypass" repos کیوں مردہ ہیں، اور وہ چار پرتی نقطۂ نظر جو اب بھی کام کرتا ہے۔ یہ ہماری Cloudflare bypass گائیڈ جیسی ساخت پر چلتا ہے — اگر آپ نے وہ نہیں پڑھی، تو وہیں سے شروع کریں؛ بنیادیں اوور لیپ کرتی ہیں۔

معیاری دستبرداری: عوامی ڈیٹا اسکریپ کریں، خدمت کی شرائط اور مقامی قانون کا احترام کریں، اور اس میں سے کوئی چیز ان سسٹمز کے خلاف استعمال نہ کریں جن تک رسائی کا آپ کو کوئی حق نہیں۔

2026 میں DataDome کیسے کام کرتا ہے

DataDome ایک server-side فیصلہ انجن چلاتا ہے جسے تین signal گروپ فیڈ کرتے ہیں، اور ہر request پر 2ms سے کم میں اسکور کیا جاتا ہے:

1. نیٹ ورک ساکھ۔ IP ASN قسم (datacenter بمقابلہ residential بمقابلہ mobile)، DataDome کے پورے کسٹمر نیٹ ورک میں IP کی request ہسٹری (یہی قاتل ہے — ایک IP جو ایک DataDome سائٹ پر جل گیا وہ ان سب پر جل گیا)، TLS fingerprint (JA4)، اور HTTP/2 frame ترتیب۔
2. ڈیوائس signals۔ ایک JavaScript ٹیگ canvas/WebGL hashes، audio context، اسکرین metrics، نصب شدہ fonts، navigator پراپرٹیز، اور CDP/headless آرٹیفیکٹس جمع کرتا ہے۔ payload خفیہ کردہ اور replay سے محفوظ ہے — ایک درست payload پکڑ کر دوبارہ بھیجنا برسوں پہلے کام کرنا بند کر چکا۔
3. رویّاتی اسکورنگ۔ ماؤس کی رفتاریں، scroll فزکس، اعمال کے درمیان وقفے کی تقسیمیں، اور — لاگ ان شدہ flows کے لیے — سیشن بھر کی یکسانیت۔ خالص replay آٹومیشن میں کوئی قدرتی تغیر نہیں ہوتا اور یہ بہت برا اسکور کرتی ہے۔

اسکور میں ناکام ہوں اور آپ کو "captcha-delivery.com" interstitial ملتا ہے (DataDome captcha) یا datadome cookie کے ساتھ ایک خاموش 403۔

2026 میں PerimeterX / HUMAN کیسے کام کرتا ہے

وہی تین ستون، مختلف وزن۔ PerimeterX اپنے JavaScript sensor (_px cookies، px.js کلیکٹر) اور رویّاتی biometrics پر زیادہ بھروسہ کرتا ہے۔ اس کا "Human Challenge" — دبا کر تھامنے والا بٹن — واضح طور پر اس لیے ڈیزائن کیا گیا ہے کہ اسے حقیقی pointer دباؤ کے منحنی خطوط درکار ہوں جن میں replay bots ناکام ہو جاتے ہیں۔

عملی فرق جو آپ کے لیے اہم ہیں:

• PerimeterX کے sensor payloads بھاری مبہم (obfuscated) ہوتے ہیں اور اکثر گھومتے رہتے ہیں — انہیں reverse-engineer کرنا فل ٹائم نوکری ہے، اسی لیے ہر اوپن سورس px-bypass repo ہفتوں میں دم توڑ دیتا ہے۔
• DataDome نیٹ ورک پرت پر زیادہ جارحانہ انداز میں بلاک کرتا ہے (خراب IP = JS چلنے سے پہلے ہی فوری 403)؛ PerimeterX اکثر آپ کو اندر آنے دیتا ہے اور بعد میں آپ کو خراب کرتا ہے (زہر آلود ڈیٹا، نرم بلاکس)۔
• دونوں تمام کسٹمرز میں IP ساکھ شیئر کرتے ہیں۔ IPs کو جلانے کے دونوں پر پورے نیٹ ورک پر نتائج ہوتے ہیں۔

اب کیا کام نہیں کرتا

• صرف headless Chrome + stealth plugin۔ دونوں وینڈرز CDP timing آرٹیفیکٹس کا fingerprint بناتے ہیں جنہیں stealth plugins پیچ نہیں کرتے۔
• کسی بھی حجم کے datacenter proxies۔ ASN درجہ بندی فوری اور مشترکہ ہے۔ 10,000 AWS IPs دراصل 10,000 پہلے سے فلیگ شدہ IPs ہیں۔
• Cookie/payload replay۔ Sensor payloads دونوں سسٹمز پر ڈیوائس سے بندھے اور replay سے محفوظ ہیں۔
• browser headers کے ساتھ requests / httpx۔ TLS handshake پہلے HTTP بائٹ سے پہلے ہی آپ کا بھید کھول دیتا ہے — دیکھیں JA3/JA4 کی وضاحت۔

وہ چار پرتی نقطۂ نظر جو کام کرتا ہے

پرت 1: نظم و ضبط والی Rotation کے ساتھ Residential IPs

ان ٹارگٹس پر ناقابلِ سمجھوتہ۔ کم abuse ہسٹری والے pool سے residential یا mobile IPs، جو فی session گھمائے جائیں، فی request نہیں:

# One sticky session per browsing identity - looks like a real user's visit
proxy = "socks5h://USERNAME-session-a1b2c3:[email protected]:913"

DataDome کے خلاف فی request rotation الٹا نقصان دہ ہے: ایک "user" جس کا IP ہر صفحہ لوڈ پر بدل جائے، وہ خود ایک bot کا دستخط ہے۔ ایک منطقی دورے (5–15 صفحات) کے لیے ایک IP رکھیں، پھر session ID کو ریٹائر کر دیں۔ اگر آپ کو 403 یا captcha ملے، اسی IP پر دوبارہ کوشش نہ کریں — وہ IP اب زیادہ گرم ہو چکا ہے؛ session گھمائیں اور رفتار کم کریں۔

پرت 2: پیچ شدہ آٹومیشن نشانوں والا حقیقی Browser

DataDome/PerimeterX سے محفوظ flows کے لیے، ایک حقیقی Chromium چلائیں — headed اگر آپ کی استطاعت ہو — Playwright کے ذریعے anti-CDP-detection پیچز کے ساتھ (rebrowser-patches اور اس کے forks)، یا ایک کمرشل anti-detect browser۔ JS sensor کو چلنا اور ایک مربوط ڈیوائس کہانی پیدا کرنا لازمی ہے: حقیقی canvas entropy، یکساں اسکرین metrics، اور proxy IP کے ملک سے میل کھاتا timezone۔

پرت 3: رویّاتی حقیقت پسندی

• پہلے homepage یا کسی search صفحے پر اتریں؛ کوئی listings کے صفحہ 47 پر ٹیلی پورٹ نہیں ہوتا۔
• عناصر کی طرف انسان نما منحنی ماؤس حرکت (شور کے ساتھ Bezier راستے)، نہ کہ coordinate چھلانگیں۔
• اعمال کے درمیان log-normal سوچنے کا وقت (0.8–4s)، یکساں random نہیں۔
• پڑھنے سے پہلے scroll کریں؛ صفحات scroll depth رپورٹ کرتے ہیں۔
• فی شناخت request کی شرح انسانی سطح پر رکھیں — ایک user فی session ~10–20 صفحات پڑھتا ہے، 400 نہیں۔

پرت 4: افقی طور پر اسکیل کریں، عمودی طور پر نہیں

وہ ریاضی جو واقعی ان سسٹمز کو شکست دیتی ہے: ایک شناخت سے 1,000 صفحات کرنے (جسے انسان نما بنانا ناممکن ہے) کے بجائے، 100 شناختیں چلائیں جن میں سے ہر ایک 10 صفحات کرے۔ ہر شناخت = ایک residential session ID + ایک fingerprint + انسانی رفتار۔ یہ ایک معاشی لڑائی ہے — آپ ہر شناخت کو انفرادی طور پر غیر قابلِ توجہ بنا کر جیتتے ہیں۔

DataDome بمقابلہ PerimeterX: حکمتِ عملی کے فرق

پہلو	DataDome	PerimeterX / HUMAN
خراب IP پر رویہ	فوری 403 / captcha interstitial	اکثر نرم: گھٹایا یا زہر آلود جوابات
چیلنج کی قسم	Puzzle captcha (captcha-delivery.com)	دبا کر تھامنے والا Human Challenge
ڈیٹیکشن کا زور	نیٹ ورک پرت + ڈیوائس	JS sensor + رویّاتی biometrics
دیکھنے والی Cookie	datadome	_px2 / _px3
اگر چیلنج ہو	session گھمائیں، ایک IP سے بار بار حل نہ کریں	سختی سے پیچھے ہٹیں؛ بار بار چیلنج کی ناکامیاں شناخت کو زہر آلود کرتی ہیں

مانیٹرنگ: جانیں کہ آپ کب خراب کیے جا رہے ہیں

دونوں سسٹمز آپ کو خاموشی سے ناکام کر سکتے ہیں۔ اپنی پائپ لائن کو instrument کریں:

• فی 100 requests، فی session ID پر 403/captcha کی شرح پر الرٹ کریں۔
• پارس شدہ ڈیٹا کو ایک معلوم اچھے دستی نمونے کے ساتھ اسپاٹ چیک کریں — PerimeterX سے محفوظ سائٹس کو مشتبہ bots کے لیے باریکی سے غلط قیمتیں پیش کرتے دیکھا گیا ہے۔
• proxy session کے حساب سے بلاک کی شرح ٹریک کریں؛ آگے دھکیلنے کے بجائے گرم sessions کو جلد ریٹائر کریں۔

خلاصہ

2026 میں DataDome اور PerimeterX اسکورنگ سسٹمز ہیں، گیٹس نہیں — آپ انہیں کسی ایک ترکیب سے "bypass" نہیں کرتے، بلکہ آپ ہر پرت پر بیک وقت اسکور کی حد سے نیچے رہتے ہیں: فی شناخت صاف residential IP، پیچ شدہ نشانوں والا حقیقی browser، انسانی رویہ، اور افقی اسکیل۔ کامیاب ہونے والی ٹیمیں ہر شناخت کو قابلِ تلفی اور غیر قابلِ توجہ سمجھتی ہیں؛ ناکام ہونے والی ایک کنکشن سے فوق البشری کام کرانے کی کوشش کرتی ہیں۔