บทแนะนำ "วิธีบายพาส Cloudflare" ส่วนใหญ่บนอินเทอร์เน็ตเลิกใช้งานได้ตั้งแต่ปลายปี 2024 เหตุผลไม่ใช่เพราะ Cloudflare เพิ่มการป้องกันแบบใหม่ แต่เป็นเพราะการป้องกันแบบเก่าอย่าง JA3 fingerprinting และการตรวจ header พื้นฐานถูกแทนที่ด้วยรุ่นใหม่ที่ทำลายทุกทางลัด คู่มือนี้อธิบายว่า Cloudflare ตรวจสอบอะไรจริง ๆ ในปี 2026 ทำไม cloudscraper undetected-chromedriver และปลั๊กอิน "stealth" ส่วนใหญ่ถึงล้มเหลว และสูตรสี่ชั้นที่ยังใช้งานได้จริงในระดับโปรดักชัน
สรุปตรง ๆ ไว้ก่อน: ไม่มีทริกเดียวที่ใช้ได้ การบายพาส Cloudflare อย่างน่าเชื่อถือต้องอาศัย IP ที่ถูกต้อง TLS fingerprint ที่ถูกต้อง การจัดลำดับ HTTP/2 frame ที่ถูกต้อง และ (สำหรับระดับ Bot Management) เบราว์เซอร์จริง ทำพลาดแม้แต่อย่างเดียว คุณก็จะตกด่านกรองที่ขอบเครือข่ายก่อนที่คำขอของคุณจะไปถึง origin server เสียด้วยซ้ำ
การตรวจจับบอตของ Cloudflare ทำงานเป็นไปป์ไลน์ของตัวกรองที่ขอบเครือข่าย แต่ละคำขอจะผ่านตัวกรองเหล่านี้ตามลำดับ ตัวกรองที่ปฏิเสธก่อนคือผู้ชนะ ซึ่งหมายความว่าคำขอหนึ่งอาจล้มเหลวจากชื่อเสียงของ IP เพียงอย่างเดียวก่อนที่จะมีการตรวจ fingerprint หรือ header ใด ๆ
นี่คือการตรวจสอบอย่างแรกและถูกที่สุด Cloudflare เก็บฐานข้อมูลที่จัดทำดัชนีด้วย ASN (Autonomous System Number) ASN ที่เป็นของผู้ให้บริการคลาวด์ชื่อดัง (AWS AS16509, GCP AS15169, Azure AS8075, OVH AS16276, DigitalOcean AS14061, Hetzner AS24940, Vultr AS20473) จะถูกตรวจสอบเข้มงวดที่สุด แม้จะมี fingerprint ระดับเบราว์เซอร์ที่สมบูรณ์แบบ คำขอที่ออกมาจาก ASN เหล่านี้ก็จะถูกถือว่าผิดไว้ก่อนจนกว่าจะพิสูจน์ได้ว่าบริสุทธิ์
ASN แบบ residential (Comcast AS7922, Verizon AS701, China Telecom AS4134, BT AS2856) ถูกสันนิษฐานว่าถูกต้องตามกฎหมาย คำขอจาก IP residential ที่มี fingerprint แบบ Python ซุ่มซ่ามก็ยังผ่านได้ ขณะที่คำขอจาก IP ดาต้าเซ็นเตอร์ที่มี Chrome fingerprint สมบูรณ์แบบจะถูก challenge หรือบล็อก
JA4 คือผู้สืบทอดของ JA3 ในปี 2023 เผยแพร่โดย FoxIO มันแฮชฟิลด์ TLS ClientHello เฉพาะเจาะจง ได้แก่ เวอร์ชัน TLS, cipher suites (ตามลำดับ), extensions (ตามลำดับ), ALPN protocols, signature algorithms และ supported groups ผลลัพธ์คือ fingerprint แบบกำหนดได้แน่นอน เช่น t13d1516h2_8daaf6152771_b1ff8ab2d16f
Chrome 124 จริงผลิต JA4 เฉพาะตัวหนึ่ง Firefox 124 จริงผลิตอีกแบบที่ต่างออกไป ไลบรารี requests ของ Python (ซึ่งใช้ urllib3 และ OpenSSL) ผลิต JA4 ที่ไม่มีเบราว์เซอร์จริงตัวใดเคยปล่อยออกมา เพราะลำดับ cipher และรายการ extension ไม่ตรงกับทั้ง Chrome และ Firefox Cloudflare จับรูปแบบนี้ได้ก่อนที่จะแยกวิเคราะห์ HTTP header ใด ๆ
นัยที่ตามมา: ทุกไลบรารีที่ใช้ OpenSSL ของระบบหรือ TLS มาตรฐานของ Python ล้วนตรวจจับได้ ซึ่งรวมถึง requests aiohttp httpx (คอนฟิกค่าเริ่มต้น) และ wrapper "bypass" ใด ๆ ที่สร้างทับมันขึ้นมา
การเชื่อมต่อ HTTP/2 ส่ง settings frames, window updates, priority frames และ headers frames เบราว์เซอร์ส่งสิ่งเหล่านี้ตามลำดับเฉพาะด้วยค่าเฉพาะ Chrome 124 ส่ง SETTINGS frame เริ่มต้นด้วยค่าที่แม่นยำเหล่านี้ แล้วตามด้วย WINDOW_UPDATE แล้วจึงเป็น HEADERS ส่วน httpx ของ Python ที่เปิดใช้ HTTP/2 ส่ง settings payload ที่ต่างออกไปและข้าม priority frames ที่ Chrome รวมไว้
ลำดับ pseudo-header ของ HTTP/2 ก็รั่วตัวตนเช่นกัน Chrome ส่ง :method :authority :scheme :path ตามลำดับนั้น Firefox ส่ง :method :path :authority :scheme ไลบรารี Python และ Go ส่วนใหญ่จัดเรียงตามลำดับตัวอักษร Cloudflare เทียบลำดับกับรูปแบบที่คาดหวังของ User-Agent ที่ประกาศไว้และตั้งธงเมื่อไม่ตรงกัน
Header ของ HTTP/1.1 รักษาลำดับการแทรกไว้ Chrome จริงส่ง header ตามลำดับคงที่: Host Connection Cache-Control sec-ch-ua sec-ch-ua-mobile sec-ch-ua-platform Upgrade-Insecure-Requests User-Agent Accept Sec-Fetch-Site Sec-Fetch-Mode Sec-Fetch-User Sec-Fetch-Dest Accept-Encoding Accept-Language ไลบรารี requests ของ Python จัดเรียงใหม่และบางครั้งใช้ตัวพิมพ์ใหญ่ต่างกัน แม้ตั้งค่า header เองด้วยลำดับที่ถูกต้องก็ไม่ช่วย เพราะไลบรารีเบื้องล่างจะจัดเรียงใหม่อยู่ดี
หากตัวกรองก่อนหน้าผ่านแต่คะแนนยังน่าสงสัย Cloudflare จะส่ง JavaScript challenge สคริปต์จะคำนวณ token จากค่าสภาพแวดล้อมของเบราว์เซอร์ (canvas hash, WebGL renderer, audio context, navigator properties, การวัดเวลา) แล้วส่งผ่าน XHR ไม่มี HTTP client ตัวใดแก้สิ่งนี้ได้ คุณต้องใช้เบราว์เซอร์จริง และเบราว์เซอร์ต้องดูเหมือนจริง (ไม่มี navigator.webdriver = true ไม่มีคุณสมบัติที่หายไป)
ในระดับ Bot Management Cloudflare เก็บการเคลื่อนเมาส์ ความเร็วการเลื่อน จังหวะการคลิก และไดนามิกการกดแป้นพิมพ์ผ่านสคริปต์ที่รันต่อเนื่อง เบราว์เซอร์ headless ที่โหลดหน้าและสแครปทันทีโดยไม่เคยขยับเมาส์เลยจะถูกตรวจจับภายในไม่กี่วินาที ผู้ใช้จริงเคลื่อนไหวแบบไม่แน่นอน หยุดพัก และอ่านซ้ำ ส่วนบอตเลื่อนเป็นเส้นตรงและคลิกแม่นยำระดับพิกเซล
เครื่องมือทางลัดที่ขับเคลื่อนการสแครปปี 2021-2024 ล้วนมีจุดล้มเหลวร่วมกันหนึ่งอย่าง: มันแพตช์พื้นผิวที่มองเห็นได้ แต่ไม่ใช่ TLS stack เบื้องล่าง
| เครื่องมือ | สิ่งที่มันแพตช์ | ทำไมถึงล้มเหลวในปี 2026 |
|---|---|---|
cloudscraper | ตัวแก้ JS challenge (เก่า) | Cloudflare ย้ายไปใช้ Turnstile ในปี 2023; challenge แบบเก่าถูกเลิกใช้ |
undetected-chromedriver | แพตช์ธงรั่วของ Selenium | JA4 ยังรั่วจาก TLS ของ chromedriver เบื้องล่าง; navigator.webdriver เป็นเพียง 1 ใน 40+ สัญญาณ |
selenium-stealth | ฉีดคุณสมบัติ JS ปลอม | Cloudflare อ่านจากชั้น C++ ไม่ใช่ JS; การปลอมตรวจจับได้ว่าไม่สอดคล้อง |
FlareSolverr | ห่อ Chromium เพื่อแก้ challenge ครั้งเดียว | cf_clearance ผูกกับ IP ของตัวแก้; proxy ใหม่ทำให้ token เป็นโมฆะทันที |
puppeteer-extra-plugin-stealth มาตรฐาน | แพตช์จุดตรวจจับ ~17 จุด | Cloudflare เพิ่มการตรวจใหม่ ~12 รายการในปี 2024-2025 ที่ปลั๊กอินไม่ครอบคลุม |
รูปแบบนั้นชัดเจน: เครื่องมือที่ห่อเบราว์เซอร์จริงและแพตช์การรั่วที่รู้จักจะแพ้การแข่งขันสะสมอาวุธภายในไม่กี่เดือน ส่วนเครื่องมือที่จำลอง TLS stack ของเบราว์เซอร์ (curl_cffi, tls-client) ยังอยู่รอดเพราะมันอยู่ใกล้กับสายส่งข้อมูลมากกว่า
การบายพาสที่ใช้ได้ในปี 2026 ต้องมีครบทั้งสี่ชั้น ข้ามไปแม้แต่ชั้นเดียวอัตราความสำเร็จจะลดเหลือหลักหน่วย
นี่คือสิ่งที่ต่อรองไม่ได้สำหรับเว็บใด ๆ ที่ใช้ Cloudflare Pro หรือสูงกว่า ตัวกรองชื่อเสียงของ IP ปฏิเสธ ASN ดาต้าเซ็นเตอร์ก่อนที่ TLS handshake จะเสร็จสมบูรณ์ ใช้ residential proxy พร้อม sticky session อย่างน้อย 10 นาทีเพื่อให้คุกกี้ cf_clearance อยู่รอด
ใช้ curl_cffi (Python) หรือ tls-client (Go/Python) ทั้งสองลิงก์กับ BoringSSL ที่ดัดแปลงซึ่งมาพร้อมลำดับ cipher รายการ extension และค่า ALPN ที่แม่นยำของ Chrome
from curl_cffi import requests
response = requests.get(
"https://target.com/api/products",
impersonate="chrome124",
proxies={"https": "http://user-session-abc123:[email protected]:10001"},
timeout=30,
)
print(response.status_code, len(response.text))พารามิเตอร์ impersonate="chrome124" สลับ TLS stack ออกเพื่อให้ ClientHello ตรงกับ Chrome 124 ทีละไบต์ แฮช JA4 จะเหมือนกับการติดตั้ง Chrome 124 จริงทุกประการ จับคู่มันกับ residential proxy แล้วคุณจะผ่านสองตัวกรองแรก
curl_cffi ตั้ง header ตามลำดับของ Chrome โดยอัตโนมัติเมื่อคุณใช้ impersonate หากคุณเพิ่ม header กำหนดเอง ให้ต่อท้ายไว้ที่ปลายมากกว่าแทรกตรงกลาง หลีกเลี่ยงการตั้ง header ที่ Chrome จริงจะไม่ส่ง (เช่น X-Requested-With บนการนำทางปกติ)
สำหรับ Accept-Language ให้จับคู่กับตำแหน่งทางภูมิศาสตร์ของ proxy IP residential ของสหรัฐฯ ที่ส่ง Accept-Language: zh-CN,zh;q=0.9 เป็นสัญญาณเล็ก ๆ แต่มีจริง ใช้ en-US,en;q=0.9 สำหรับ IP ของสหรัฐฯ de-DE,de;q=0.9 สำหรับ IP ของเยอรมนี และอื่น ๆ ทำนองนี้ นี่คือหนึ่งในไม่กี่สัญญาณที่คุณแก้ไขได้ฟรี
หากเป้าหมายจุดชนวน Managed Challenge (คุณเห็นหน้า challenge ของ CF ในเนื้อหา response) curl_cffi เพียงอย่างเดียวแก้มันไม่ได้ ให้เปลี่ยนไปใช้ Playwright กับ Chromium ที่แพตช์แล้ว
from playwright.sync_api import sync_playwright
from rebrowser_playwright.sync_api import sync_playwright as rebrowser_sync
with rebrowser_sync() as p:
browser = p.chromium.launch(
headless=True,
proxy={
"server": "http://gate.jibaoproxy.com:10001",
"username": "user-session-abc123",
"password": "pass",
},
)
context = browser.new_context(
user_agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.0.0 Safari/537.36",
viewport={"width": 1920, "height": 1080},
locale="en-US",
timezone_id="America/New_York",
)
page = context.new_page()
page.goto("https://target.com/", wait_until="networkidle")
# cf_clearance is now in context.cookies()
cookies = context.cookies()
cf_clearance = next((c for c in cookies if c["name"] == "cf_clearance"), None)
browser.close()ใช้ rebrowser-playwright แทน playwright มาตรฐาน มันแพตช์การรั่วของ CDP runtime (Runtime.enable การเปิดเผยคำสั่ง CDP ต่อหน้าเว็บ) ที่ Cloudflare อ่านเพื่อตรวจจับการอัตโนมัติแบบ headless หลังจากผ่าน challenge ให้ดึง cf_clearance จากคุกกี้และส่งคืนให้ curl_cffi สำหรับวงรอบการสแครปจริง เบราว์เซอร์จำเป็นต้องใช้ครั้งเดียวต่อ session ไม่ใช่ต่อคำขอ
สัญชาตญาณที่จะใช้ proxy ที่ถูกที่สุดมักผิดเสมอบนเว็บที่ป้องกันด้วย Cloudflare ลองไล่ดูคณิตศาสตร์ด้วยตัวเลขจริง
สมมติฐาน: หน้า HTML เฉลี่ย 500KB สแครป 100,000 หน้ารวม เป้าหมายใช้ Cloudflare Pro โดยเปิด Bot Fight Mode
| การตั้งค่า | ต้นทุนแบนด์วิดท์ | อัตราความสำเร็จ | คำขอต่อหนึ่งความสำเร็จ | ต้นทุนรวม | ต้นทุนต่อหน้า |
|---|---|---|---|---|---|
| ดาต้าเซ็นเตอร์ $0.8/GB + requests | $0.0005 / req | 0.5% | 200 | $10,000 | $0.10 |
| ดาต้าเซ็นเตอร์ $0.8/GB + curl_cffi | $0.0005 / req | 3% | 33 | $1,650 | $0.0165 |
| Residential $2/GB + requests | $0.0033 / req | 40% | 2.5 | $825 | $0.0083 |
| Residential $2/GB + curl_cffi | $0.0033 / req | 92% | 1.09 | $360 | $0.0036 |
| Residential $2/GB + Playwright (rebrowser) | $0.017 / req (assets + JS) | 96% | 1.04 | $1,700 | $0.017 |
ข้อค้นพบสองประการที่น่าสังเกต:
นี่คือรูปแบบที่เราแนะนำให้ลูกค้าที่สแครปเป้าหมายที่ป้องกันด้วย Cloudflare ในระดับสเกล มันลดการใช้ Playwright (ซึ่งช้าและแพง) ให้น้อยที่สุด และเพิ่มการใช้ curl_cffi (ซึ่งเร็วและถูก) ให้มากที่สุด
from curl_cffi import requests as cf_requests
from rebrowser_playwright.sync_api import sync_playwright
PROXY_USER_FMT = "user-session-{sid}"
PROXY_HOST = "http://gate.jibaoproxy.com:10001"
PROXY_PASS = "your_password"
def get_cf_clearance(target_url, session_id):
"""One-shot Playwright call to solve the challenge and extract cf_clearance."""
with sync_playwright() as p:
browser = p.chromium.launch(
headless=True,
proxy={"server": PROXY_HOST,
"username": PROXY_USER_FMT.format(sid=session_id),
"password": PROXY_PASS},
)
ctx = browser.new_context(user_agent="Mozilla/5.0 ... Chrome/124.0.0.0 Safari/537.36")
page = ctx.new_page()
page.goto(target_url, wait_until="networkidle", timeout=45000)
cookies = ctx.cookies()
browser.close()
return {c["name"]: c["value"] for c in cookies}
def scrape_with_clearance(urls, session_id, cookies):
"""Reuse the same session_id (sticky IP) for all requests."""
proxy = f"http://{PROXY_USER_FMT.format(sid=session_id)}:{PROXY_PASS}@gate.jibaoproxy.com:10001"
out = []
for url in urls:
r = cf_requests.get(
url,
impersonate="chrome124",
proxies={"https": proxy},
cookies=cookies,
timeout=30,
)
if r.status_code == 200:
out.append((url, r.text))
elif r.status_code in (403, 503) and "challenge" in r.text.lower():
# cf_clearance expired; re-solve
cookies = get_cf_clearance(url, session_id)
r = cf_requests.get(url, impersonate="chrome124",
proxies={"https": proxy}, cookies=cookies)
out.append((url, r.text))
return out, cookies
# Usage
session_id = "scrape-job-2026-05-27"
cookies = get_cf_clearance("https://target.com/", session_id)
results, cookies = scrape_with_clearance(target_urls, session_id, cookies)จุดสำคัญในสูตรนี้:
การติดตั้ง Cloudflare บางแบบไม่สามารถบายพาสได้ด้วยต้นทุนที่สมเหตุสมผลใด ๆ หากคุณเห็นสัญญาณเหล่านี้ ให้เปลี่ยนกลยุทธ์ (ใช้ API ร่วมมือกับเจ้าของเว็บ หรือซื้อข้อมูล) แทนการเผางบกับการบายพาสที่จะไม่มีวันเสถียร
| ระดับเป้าหมาย | สูตร | อัตราความสำเร็จที่คาดหวัง |
|---|---|---|
| CF Free / Pro (ไม่มี Bot Fight) | ดาต้าเซ็นเตอร์ + curl_cffi | 60-75% |
| CF Free / Pro + Bot Fight Mode | Residential + curl_cffi | 85-93% |
| CF Business | Residential + curl_cffi + Playwright เป็นครั้งคราว | 80-90% |
| CF Business + Turnstile | Residential + rebrowser-playwright (ทุกคำขอ) | 70-85% |
| CF Enterprise + Bot Management | Mobile residential + rebrowser + การจำลองพฤติกรรม | 30-60% |
| CF Enterprise + Bot Management + WAF กำหนดเอง | อย่าสแครป; มองหา API หรือความร่วมมือ | <10% |
JIBAO Proxy นำเสนอ dynamic residential proxies ที่มี IP กว่า 90 ล้านใน 240+ ประเทศ sticky sessions นานสูงสุด 60 นาที และการกำหนดเป้าหมายระดับประเทศเริ่มต้นที่ $2/GB สำหรับ mobile IP ดู dynamic mobile proxies ทั้งสองใช้งานได้ทันทีกับ curl_cffi, tls-client, Playwright, Puppeteer, Selenium และ HTTP client ใด ๆ ที่รองรับ proxy แบบ HTTP/SOCKS5
อ่านเพิ่มเติมที่เกี่ยวข้อง: Sticky vs Rotating Proxy Sessions ครอบคลุมการกำหนดค่า session แบบเจาะลึก Proxies for AI Agents อธิบายกรณีใช้งาน AI agent ที่ทับซ้อนอย่างมากกับเวิร์กโฟลว์การบายพาส Cloudflare
รับ500MB ทราฟฟิกฟรี รันชุด curl_cffi + sticky residential กับเป้าหมายของคุณก่อนตัดสินใจ
Start Free Trialผู้ใช้ใหม่รับ 500MB เมื่อสมัครสมาชิก พร้อมโบนัสในการเติมเงินครั้งแรก ข้อเสนอมีระยะเวลาจำกัด