Cách các trang web phát hiện trình duyệt headless trong năm 2026: rò rỉ CDP, kiểm tra tính mạch lạc và điều gì giúp ích

Bạn đã chuyển từ HTTP thô sang một trình duyệt thật. Dấu vân tay TLS: thật sự của Chrome. IP: residential. Vậy mà trang web vẫn biết. Trong năm 2026, việc phát hiện trình duyệt headless đã đi xa hơn nhiều so với navigator.webdriver — thế hệ kiểm tra hiện tại phát hiện chính giao thức tự động hóa, và phần lớn các plugin "stealth" vá các tín hiệu của hôm qua trong khi phô bày ầm ĩ các tín hiệu của hôm nay.

Bài viết này lập bản đồ những gì các trang web thực sự kiểm tra bây giờ, gần như theo thứ tự chúng kiểm tra, và điều gì thực sự giúp ích ở mỗi lớp. Nó hoàn thiện bộ ba về phát hiện cùng với lấy dấu vân tay TLS JA3/JA4 (lớp mạng) và danh tiếng IP & ASN (lớp địa chỉ) — đây là lớp trình duyệt.

Bậc 1: Những Thứ Kinh Điển (Đã Giải Quyết, nhưng Vẫn Bị Kiểm Tra)

• navigator.webdriver — theo đặc tả buộc phải là true khi tự động hóa. Các thiết lập stealth của Playwright/Puppeteer giấu nó đi; cờ --disable-blink-features=AutomationControlled của Chrome xử lý nó một cách tự nhiên. Các trang vẫn kiểm tra vì nó miễn phí và bắt được các bot ngây thơ.
• Chuỗi UA headless — HeadlessChrome/ trong User-Agent. Được sửa bởi chế độ headless mới (headless=new), vốn dùng đường dẫn binary Chrome thật.
• Thiếu "đồ đạc" của trình duyệt — navigator.plugins rỗng, không có chrome.runtime, outerWidth 0×0. Chế độ headless cũ trượt tất cả những thứ này; headless mới phần lớn vượt qua.

Nếu một mục tiêu chỉ kiểm tra Bậc 1, Playwright hiện đại với headless=new đi qua được. Các mục tiêu nghiêm túc đã vượt qua giai đoạn này từ nhiều năm trước.

Bậc 2: Phát Hiện CDP — Trụ Cột của Năm 2026

Playwright và Puppeteer điều khiển Chrome qua Chrome DevTools Protocol, và CDP để lại các tác dụng phụ thời gian chạy mà JavaScript của trang có thể quan sát:

// Rò rỉ CDP kinh điển: callback tuần tự hóa
const err = new Error();
Object.defineProperty(err, "stack", {
  get() {
    // Getter này kích hoạt TRONG quá trình tuần tự hóa console -
    // điều chỉ xảy ra khi DevTools/CDP được gắn vào
    window.__cdp_detected = true;
  },
});
console.debug(err);

Các biến thể của điều này — tác dụng phụ của getter trong quá trình tuần tự hóa console, các bất thường về thời gian trong Runtime.evaluate, hành vi của toString() trên các hàm native đã được vá — có trong mọi bộ anti-bot thương mại. Điểm mấu chốt: điều này phát hiện giao thức, không phải chế độ headless. Một Chrome có giao diện, đã được vá stealth, trông giống con người một cách hoàn hảo vẫn trượt nếu nó được điều khiển qua CDP.

Điều giúp ích:

• Runtime đã được vá — các driver được dựng lại (ví dụ patchright, rebrowser-patches) chuyển các tác dụng phụ CDP ra khỏi không gian mà trang có thể quan sát. Chúng tụt hậu so với các bản phát hành upstream; hãy ghim phiên bản và kiểm tra lại sau mỗi lần nâng cấp.
• Tự động hóa không qua CDP — các công cụ điều khiển trình duyệt qua đầu vào cấp hệ điều hành hoặc API trợ năng không để lại dấu vết giao thức nào trong trang, đánh đổi bằng tốc độ và API.
• Các trình duyệt stealth được xây dựng có chủ đích — các engine như Camoufox (Firefox đã được gia cố) né tránh hoàn toàn các kiểm tra Chromium-CDP; bề mặt tự động hóa của Firefox khác biệt và ít bị nhắm tới hơn.

Bậc 3: Tính Mạch Lạc của Môi Trường

Ngoài các dấu vết, các hệ thống hiện đại kiểm tra liệu câu chuyện của trình duyệt có nhất quán nội tại hay không:

Kiểm tra	Dấu hiệu bot
Hash render Canvas / WebGL	Render phần mềm SwiftShader/llvmpipe = GPU máy chủ; hoặc một hash bị chia sẻ bởi 10.000 "người dùng khác nhau"
Font & codec	Bộ font máy chủ Linux dưới một User-Agent Windows
Múi giờ × locale × IP geo	Intl nói UTC, IP nói Texas, Accept-Language nói de-DE
Chỉ số màn hình	1920×1080 không có thanh tác vụ, devicePixelRatio đúng bằng 1, cửa sổ chưa bao giờ thay đổi kích thước
Số luồng phần cứng / bộ nhớ	96 nhân được báo cáo cho một trang tự nhận là điện thoại
Vi tín hiệu hành vi	Không có entropy chuột, điền form tức thì, cuộn theo các bước 100px giống hệt nhau

Đây là nơi stealth tự làm chết: mọi bản vá bạn áp dụng phải đồng nhất với mọi tín hiệu khác. Một UA Windows giả mạo trên một container Linux mâu thuẫn với font, chuỗi GPU, và dấu vân tay TCP cùng một lúc. Tính mạch lạc thắng sự hoàn hảo — một Chrome Linux có giao diện trung thực chấm điểm tốt hơn một Chrome "Windows" giả mạo vụng về.

Và Lớp Bên Dưới Vẫn Còn Áp Dụng

Không điều nào trong số này có ý nghĩa nếu lớp địa chỉ đã bị cháy: một trình duyệt hoàn hảo trên một ASN datacenter vẫn là "một trình duyệt hoàn hảo trong một datacenter" — và các ngưỡng phát hiện headless thích ứng theo danh tiếng IP. Cùng một trình duyệt nhận nhiều thử thách JavaScript hơn từ một IP bị gắn cờ. Các điểm thoát residential thực sự hạ thấp mức độ soi xét mà lớp trình duyệt phải sống sót:

browser = p.chromium.launch(
    headless=False,                      # headed survives more checks
    args=["--disable-blink-features=AutomationControlled"],
    proxy={
        "server": "us.jibaoproxy.com:913",
        "username": "USERNAME", "password": "PASSWORD",
    },
)

Danh Sách Kiểm Tra Thực Tế

1. Dùng chế độ headless mới hoặc chế độ có giao diện; không bao giờ dùng headless cũ.
2. Hãy giả định có phát hiện CDP trên bất kỳ mục tiêu nghiêm túc nào — runtime đã vá, driver không qua CDP, hoặc một engine không phải Chromium đã được gia cố.
3. Đừng chồng các plugin stealth một cách mù quáng; mỗi toString() chưa vá tự nó là một tín hiệu. Ít hơn, các bản vá mạch lạc, thì thắng.
4. Khớp toàn bộ câu chuyện: múi giờ = IP geo = locale; GPU hợp lý với OS được khai báo.
5. Thêm entropy đầu vào — đường chuột cong, độ trễ thay đổi, thỉnh thoảng cuộn ngược lại.
6. Kiểm tra với một bên quan sát trung lập trước khi nhắm vào mục tiêu thật.

Tóm Tắt

• Bậc 1 (cờ webdriver, UA headless) là điều kiện tối thiểu — chế độ headless mới vượt qua nó.
• Bậc 2 là nơi việc phát hiện của năm 2026 tồn tại: các dấu vết giao thức CDP bắt được cả Chrome có giao diện, đã vá stealth; hãy dùng runtime đã vá hoặc driver không qua CDP.
• Bậc 3 là tính mạch lạc: mọi giá trị giả mạo phải đồng nhất với OS, GPU, font, múi giờ, và IP geo.
• Các ngưỡng phát hiện thích ứng theo danh tiếng IP — các điểm thoát residential sạch mua thêm sự nương tay cho trình duyệt của bạn.
• Hãy xác minh bằng thực nghiệm sau mỗi lần cập nhật phụ thuộc; stealth mục ruỗng rất nhanh.