سائٹس 2026 میں headless براؤزرز کا کیسے پتہ لگاتی ہیں: CDP لیکس، ہم آہنگی چیکس اور کیا مدد دیتا ہے

آپ خام HTTP سے ایک حقیقی براؤزر کی طرف منتقل ہو گئے۔ TLS فنگرپرنٹ: حقیقتاً Chrome کا۔ IP: residential۔ اور پھر بھی سائٹ جانتی ہے۔ 2026 میں، headless براؤزر detection navigator.webdriver سے کہیں آگے بڑھ چکی ہے — چیکس کی موجودہ نسل آٹومیشن پروٹوکول کو خود detect کرتی ہے، اور زیادہ تر "stealth" پلگ ان کل کے سگنلز کو پیچ کرتے ہیں جبکہ آج کے سگنلز کو زور سے ظاہر کرتے ہیں۔

یہ مضمون اس بات کا نقشہ بناتا ہے کہ سائٹس اب دراصل کیا چیک کرتی ہیں، تقریباً اسی ترتیب میں جس میں وہ چیک کرتی ہیں، اور ہر تہہ پر کیا واقعی مدد دیتا ہے۔ یہ detection کی تثلیث کو مکمل کرتا ہے بمع JA3/JA4 TLS فنگرپرنٹنگ (نیٹ ورک تہہ) اور IP ساکھ اور ASN (ایڈریس تہہ) — یہ براؤزر تہہ ہے۔

درجہ 1: کلاسکس (حل شدہ، لیکن پھر بھی چیک شدہ)

• navigator.webdriver — سپیسیفیکیشن کے مطابق آٹومیشن کے تحت true ہونا لازمی ہے۔ Playwright/Puppeteer stealth سیٹ اپس اسے چھپاتے ہیں؛ Chrome کا --disable-blink-features=AutomationControlled اسے قدرتی طور پر سنبھالتا ہے۔ سائٹس پھر بھی اسے چیک کرتی ہیں کیونکہ یہ مفت ہے اور سادہ bots کو پکڑتا ہے۔
• Headless UA سٹرنگز — User-Agent میں HeadlessChrome/۔ نئے headless موڈ (headless=new) سے ٹھیک ہوا، جو حقیقی Chrome binary پاتھ استعمال کرتا ہے۔
• گمشدہ براؤزر فرنیچر — صفر navigator.plugins، کوئی chrome.runtime نہیں، 0×0 outerWidth۔ پرانا headless موڈ ان سب میں ناکام ہوتا تھا؛ نیا headless زیادہ تر پاس ہو جاتا ہے۔

اگر کوئی ہدف صرف درجہ 1 چیک کرتا ہے، تو headless=new کے ساتھ جدید Playwright گزر جاتا ہے۔ سنجیدہ اہداف برسوں پہلے آگے بڑھ گئے۔

درجہ 2: CDP detection — 2026 کا اصل کارکن

Playwright اور Puppeteer Chrome کو Chrome DevTools Protocol پر چلاتے ہیں، اور CDP runtime کے ضمنی اثرات چھوڑتا ہے جنہیں صفحے کی JavaScript دیکھ سکتی ہے:

// The classic CDP leak: serialization callbacks
const err = new Error();
Object.defineProperty(err, "stack", {
  get() {
    // This getter fires DURING console serialization -
    // which only happens when DevTools/CDP is attached
    window.__cdp_detected = true;
  },
});
console.debug(err);

اس کی مختلف صورتیں — console serialization کے دوران getter ضمنی اثرات، Runtime.evaluate میں timing کی بے ضابطگیاں، پیچ شدہ native فنکشنز پر toString() کا رویہ — ہر تجارتی اینٹی بوٹ بنڈل میں موجود ہیں۔ اہم نکتہ: یہ پروٹوکول کو detect کرتا ہے، headless موڈ کو نہیں۔ ایک headed، stealth پیچ شدہ، بالکل انسان جیسا دکھنے والا Chrome بھی ناکام ہو جاتا ہے اگر اسے CDP پر چلایا جائے۔

جو مدد دیتا ہے:

• پیچ شدہ runtimes — دوبارہ بنائے گئے drivers (مثلاً patchright، rebrowser-patches) جو CDP ضمنی اثرات کو صفحے سے قابلِ مشاہدہ جگہ سے باہر منتقل کرتے ہیں۔ وہ upstream ریلیزز سے پیچھے رہتے ہیں؛ ورژنز کو پن کریں اور ہر اپڈیٹ کے بعد دوبارہ ٹیسٹ کریں۔
• غیر CDP آٹومیشن — وہ ٹولز جو براؤزر کو OS سطح کے ان پٹ یا accessibility APIs کے ذریعے چلاتے ہیں، صفحے میں کوئی پروٹوکول آرٹیفیکٹ نہیں چھوڑتے، رفتار اور APIs کی قیمت پر۔
• مخصوص مقصد کے stealth براؤزرز — Camoufox (سخت کردہ Firefox) جیسے انجن Chromium-CDP چیکس کو مکمل طور پر بائی پاس کرتے ہیں؛ Firefox کا آٹومیشن سطح مختلف ہے اور کم ٹارگٹ کیا گیا ہے۔

درجہ 3: ماحول کی ہم آہنگی

آرٹیفیکٹس سے آگے، جدید نظام چیک کرتے ہیں کہ آیا آپ کے براؤزر کی کہانی اندرونی طور پر مطابقت رکھتی ہے:

چیک	bot کی نشانی
Canvas / WebGL render hash	SwiftShader/llvmpipe سافٹ ویئر رینڈرنگ = سرور GPU؛ یا ایک hash جو 10,000 "مختلف صارفین" کے درمیان مشترک ہے
فونٹس اور codecs	Windows User-Agent کے تحت Linux سرور فونٹ سیٹ
Timezone × locale × IP geo	Intl کہتا ہے UTC، IP کہتا ہے Texas، Accept-Language کہتا ہے de-DE
اسکرین میٹرکس	1920×1080 صفر taskbar کے ساتھ، devicePixelRatio بالکل 1، window کبھی ری سائز نہیں ہوا
ہارڈ ویئر concurrency / میموری	96 cores ایک صفحے کو رپورٹ کیے گئے جو فون ہونے کا دعویٰ کرتا ہے
رویہ جاتی مائیکرو سگنلز	کوئی ماؤس entropy نہیں، فوری فارم بھرائی، یکساں 100px قدموں میں اسکرول

یہی وہ جگہ ہے جہاں DIY stealth مر جاتا ہے: آپ جو بھی پیچ لاگو کرتے ہیں اسے ہر دوسرے سگنل سے متفق ہونا چاہیے۔ Linux کنٹینر پر ایک جعلی Windows UA بیک وقت فونٹس، GPU سٹرنگز، اور TCP فنگرپرنٹس سے متصادم ہوتا ہے۔ ہم آہنگی کمالیت کو شکست دیتی ہے — ایک ایماندار headed Linux Chrome ایک بری طرح جعلی "Windows" کے مقابلے میں بہتر اسکور کرتا ہے۔

اور نیچے کی تہہ پھر بھی لاگو ہوتی ہے

اگر ایڈریس تہہ جل چکی ہے تو ان میں سے کسی کی کوئی اہمیت نہیں: datacenter ASN پر ایک بے عیب براؤزر پھر بھی "datacenter میں ایک بے عیب براؤزر" ہے — اور headless detection کی حدیں IP ساکھ کے مطابق ڈھلتی ہیں۔ ایک ہی براؤزر کو فلیگ شدہ IP سے زیادہ JavaScript چیلنجز ملتے ہیں۔ residential exits مؤثر طریقے سے اس جانچ پڑتال کو کم کرتے ہیں جسے براؤزر تہہ کو زندہ رہنا ہے:

browser = p.chromium.launch(
    headless=False,                      # headed survives more checks
    args=["--disable-blink-features=AutomationControlled"],
    proxy={
        "server": "us.jibaoproxy.com:913",
        "username": "USERNAME", "password": "PASSWORD",
    },
)

عملی چیک لسٹ

1. نیا headless یا headed موڈ استعمال کریں؛ کبھی legacy headless نہیں۔
2. کسی بھی سنجیدہ ہدف پر CDP detection فرض کریں — پیچ شدہ runtime، غیر CDP driver، یا ایک سخت کردہ غیر Chromium انجن۔
3. stealth پلگ ان کو اندھا دھند جمع نہ کریں؛ ہر غیر پیچ شدہ toString() خود ایک سگنل ہے۔ کم، ہم آہنگ پیچز جیتتے ہیں۔
4. پوری کہانی کو میل کھائیں: timezone = IP geo = locale؛ دعویٰ شدہ OS کے لیے GPU قابلِ یقین ہو۔
5. ان پٹ entropy شامل کریں — خمدار ماؤس پاتھ، متغیر تاخیریں، کبھی کبھار اسکرول بیک۔
6. اصل ہدف سے پہلے کسی غیر جانبدار مبصر کے خلاف ٹیسٹ کریں۔

خلاصہ

• درجہ 1 (webdriver فلیگ، headless UA) بنیادی شرط ہے — نیا headless موڈ اسے پاس کر دیتا ہے۔
• درجہ 2 وہ جگہ ہے جہاں 2026 کی detection رہتی ہے: CDP پروٹوکول آرٹیفیکٹس headed، stealth پیچ شدہ Chrome کو بھی پکڑ لیتے ہیں؛ پیچ شدہ runtimes یا غیر CDP drivers استعمال کریں۔
• درجہ 3 ہم آہنگی ہے: ہر جعلی قدر کو OS، GPU، فونٹس، timezone، اور IP geo سے متفق ہونا چاہیے۔
• detection کی حدیں IP ساکھ کے مطابق ڈھلتی ہیں — صاف residential exits آپ کے براؤزر کو رعایت دلاتے ہیں۔
• ہر dependency اپڈیٹ کے بعد تجرباتی طور پر تصدیق کریں؛ stealth تیزی سے بوسیدہ ہو جاتا ہے۔