Como burlar o DataDome e o PerimeterX (HUMAN) em 2026

Se o Cloudflare é o sistema antibot que todo mundo encontra primeiro, o DataDome e o PerimeterX (agora HUMAN Security) são os que acabam com projetos de scraping. Eles protegem os alvos que as pessoas realmente querem: sites de tênis e de venda de ingressos, motores de busca de tarifas de viagem, grandes plataformas de e-commerce, classificados. E ao contrário do plano gratuito do Cloudflare, todo site que os usa pagou especificamente para te impedir.

Este é o panorama de 2026 do que ambos os sistemas verificam, por que os repositórios de "bypass" do GitHub estão mortos e a abordagem em quatro camadas que ainda funciona. Ela segue a mesma estrutura do nosso guia de bypass do Cloudflare — se você ainda não leu, comece por lá; os fundamentos se sobrepõem.

Aviso padrão: faça scraping de dados públicos, respeite os termos de serviço e a lei local, e não use nada disto contra sistemas aos quais você não tem direito de acessar.

Como o DataDome Funciona em 2026

O DataDome roda um motor de decisão do lado do servidor alimentado por três grupos de sinais, pontuados em menos de 2ms por requisição:

1. Reputação de rede. Tipo de ASN do IP (datacenter vs residencial vs móvel), histórico de requisições do IP em toda a rede de clientes do DataDome (este é o golpe fatal — um IP queimado em um site do DataDome está queimado em todos eles), TLS fingerprint (JA4) e ordenação de frames HTTP/2.
2. Sinais de dispositivo. Uma tag JavaScript coleta hashes de canvas/WebGL, audio context, métricas de tela, fontes instaladas, propriedades de navigator e artefatos de CDP/headless. O payload é criptografado e protegido contra replay — capturar um payload válido e reenviá-lo deixou de funcionar há anos.
3. Pontuação comportamental. Trajetórias de mouse, física do scroll, distribuições de tempo entre ações e — para fluxos logados — consistência ao longo de toda a sessão. Automação de replay puro tem variância natural zero e pontua péssimo.

Falhe na pontuação e você recebe a tela intersticial "captcha-delivery.com" (o captcha do DataDome) ou um 403 silencioso com um cookie datadome.

Como o PerimeterX / HUMAN Funciona em 2026

Os mesmos três pilares, com pesos diferentes. O PerimeterX se apoia mais no seu sensor JavaScript (cookies _px, o coletor px.js) e na biometria comportamental. Seu "Human Challenge" — o botão de pressionar e segurar — foi explicitamente projetado para exigir curvas reais de pressão do ponteiro que os bots de replay não conseguem reproduzir.

Diferenças práticas que importam para você:

• Os payloads do sensor do PerimeterX são fortemente ofuscados e rotacionam com frequência — fazer engenharia reversa deles é um trabalho de tempo integral, e é por isso que todo repositório open-source de px-bypass morre em semanas.
• O DataDome bloqueia de forma mais agressiva na camada de rede (IP ruim = 403 instantâneo antes mesmo do JS rodar); o PerimeterX mais frequentemente te deixa entrar e te degrada depois (dados envenenados, bloqueios suaves).
• Ambos compartilham reputação de IP entre todos os clientes. Queimar IPs tem consequências em toda a rede nos dois.

O Que Não Funciona Mais

• Headless Chrome + plugin stealth sozinho. Ambos os fornecedores fazem fingerprint de artefatos de timing do CDP que os plugins stealth não corrigem.
• Proxies de datacenter de qualquer tamanho. A classificação de ASN é instantânea e compartilhada. 10.000 IPs da AWS são 10.000 IPs já sinalizados.
• Replay de cookie/payload. Os payloads do sensor são vinculados ao dispositivo e protegidos contra replay nos dois sistemas.
• requests / httpx com headers de navegador. O handshake TLS te entrega antes do primeiro byte HTTP — veja JA3/JA4 explicados.

A Abordagem em Quatro Camadas Que Funciona

Camada 1: IPs Residenciais com Rotação Disciplinada

Inegociável nesses alvos. IPs residenciais ou móveis de um pool com baixo histórico de abuso, rotacionados por sessão, não por requisição:

# One sticky session per browsing identity - looks like a real user's visit
proxy = "socks5h://USERNAME-session-a1b2c3:[email protected]:913"

A rotação por requisição contra o DataDome é contraproducente: um "usuário" cujo IP muda a cada carregamento de página é, em si, uma assinatura de bot. Mantenha um IP para uma visita lógica (5–15 páginas) e depois aposente o ID da sessão. Se você receber um 403 ou captcha, não tente de novo no mesmo IP — esse IP agora está mais quente; rotacione a sessão e desacelere.

Camada 2: Um Navegador Real Com os Indícios de Automação Corrigidos

Para fluxos protegidos por DataDome/PerimeterX, rode um Chromium real — com interface gráfica, se puder bancar — via Playwright com patches anti-detecção de CDP (rebrowser-patches e seus forks), ou um navegador anti-detect comercial. O sensor JS precisa executar e produzir uma história de dispositivo coerente: entropia real de canvas, métricas de tela consistentes, fuso horário batendo com o país do IP do proxy.

Camada 3: Realismo Comportamental

• Caia na homepage ou em uma página de busca primeiro; ninguém se teletransporta para a página 47 de listagens.
• Movimento de mouse com curva humana até os elementos (caminhos Bezier com ruído), não saltos de coordenada.
• Tempo de "pensar" log-normal entre ações (0,8–4s), não aleatório uniforme.
• Faça scroll antes de ler; as páginas reportam profundidade de scroll.
• Mantenha a taxa de requisições por identidade em níveis humanos — um usuário lê ~10–20 páginas por sessão, não 400.

Camada 4: Escale Horizontalmente, Não Verticalmente

A matemática que de fato derrota esses sistemas: em vez de uma identidade fazendo 1.000 páginas (impossível de parecer humano), rode 100 identidades fazendo 10 páginas cada. Cada identidade = um ID de sessão residencial + um fingerprint + ritmo humano. Esta é uma briga de economia — você vence tornando cada identidade individualmente irrelevante.

DataDome vs PerimeterX: Diferenças Táticas

Aspecto	DataDome	PerimeterX / HUMAN
Comportamento com IP ruim	403 instantâneo / tela de captcha	Frequentemente suave: respostas degradadas ou envenenadas
Tipo de desafio	Captcha de quebra-cabeça (captcha-delivery.com)	Human Challenge de pressionar e segurar
Ênfase da detecção	Camada de rede + dispositivo	Sensor JS + biometria comportamental
Cookie a observar	datadome	_px2 / _px3
Se for desafiado	Rotacione a sessão, NÃO resolva repetidamente a partir de um IP	Recue forte; falhas repetidas de desafio envenenam a identidade

Monitoramento: Saiba Quando Você Está Sendo Degradado

Ambos os sistemas podem te falhar silenciosamente. Instrumente seu pipeline:

• Alerte sobre a taxa de 403/captcha por 100 requisições, por ID de sessão.
• Confira por amostragem os dados extraídos contra uma amostra manual sabidamente boa — sites protegidos por PerimeterX já foram vistos servindo preços sutilmente errados a supostos bots.
• Acompanhe a taxa de bloqueio por sessão de proxy; aposente sessões quentes cedo em vez de insistir.

Resumo

O DataDome e o PerimeterX em 2026 são sistemas de pontuação, não portões — você não os "bypassa" com um truque, você fica abaixo do limiar de pontuação em todas as camadas ao mesmo tempo: IP residencial limpo por identidade, navegador real com indícios corrigidos, comportamento humano e escala horizontal. As equipes que têm sucesso tratam cada identidade como descartável e irrelevante; as que falham tentam fazer uma conexão realizar trabalho sobre-humano.