Instagram 與 TikTok 抓取用的 Proxy：2026 年什麼才有效

Instagram 與 TikTok 是抓取領域中最難啃的兩個主流目標 — 比 Google 難，比 Amazon 難。兩者都跑著積極的 IP 評分，都在多個層面對你的客戶端做指紋識別，而且都以軟封鎖聞名：你拿到的不是乾淨的 403，而是登入牆、空的 JSON、「challenge_required」，或被默默截斷的結果。你的抓取器「能跑」，而你的資料是垃圾。

本指南涵蓋這兩個平台在 2026 年實際上如何封鎖你、能撐得住的 proxy 設定，以及能讓帳號與工作階段存活的請求模式。（若你要的是多帳號管理而非抓取，請參見我們的 AdsPower/Multilogin 與 GoLogin/Dolphin Anty 指南。）

Instagram 如何封鎖你

• IP 信譽優先。資料中心 ASN 在網頁端幾乎會立刻撞上登入牆，而私有 API 會回傳 challenge_required。Instagram 對共用／被濫用的住宅 IP 的容忍度也很低 — 這裡的 IP 池品質比幾乎任何地方都更重要。
• 每個 IP 的請求預算。匿名網頁請求在撞上登入牆之前，每個 IP 每小時大約有 100–200 次頁面載入；GraphQL 端點更緊。這個預算是按 IP 且按工作階段 cookie 分別追蹤的。
• 登入後抓取會把風險綁到帳號上。一個帳號在一小時內被看到來自 5 個 IP，被加上檢查點（checkpoint）的是帳號，不是那些 IP。如果你登入後抓取，就是一個帳號 = 一個黏性 IP，沒有例外。
• 裝置／TLS 指紋。行動 API 路徑（冒充 app）會把 TLS 指紋拿來和已知的 app 技術堆疊比對 — 原生 httpx 在這裡會死；參見 curl_cffi 模仿。

TikTok 如何封鎖你

• 簽章請求。TikTok 的網頁 API 需要由混淆過的 JavaScript 產生的 X-Bogus／簽章參數。純 HTTP 抓取意味著要逆向工程每隔幾週就輪換一次的簽章 — 大多數團隊改跑真正的瀏覽器（Playwright），並攔截 JSON 回應。
• 依地區切分的內容。TikTok 的內容、趨勢，甚至可用性，都會依出口 IP 的國家而不同。用歐盟 IP 抓「美國 TikTok」給你的是不一樣的資料，而不只是被擋的資料 — 這是一個無聲的正確性 bug。讓 proxy 的國家與目標市場相符。
• 資料中心 IP = 立刻出現 captcha。從雲端 ASN 第一次載入時就會跳出滑桿／旋轉 captcha。住宅出口大多能跳過它。
• 網頁 app 內的行為評分。捲動節奏與觀看時長訊號會餵進風險模型；一個以機器速度翻閱個人檔案分頁的瀏覽器，工作階段會被「下毒」（回傳看起來像「沒有更多內容」的空 itemList）。

有效的設定

1. 住宅、地區相符、每個身分黏性

# One identity = one sticky session, country-pinned
socks5h://USERNAME:[email protected]:913

對於低流量的匿名公開頁面，每次請求輪換是沒問題的。一旦牽涉到工作階段 cookie 或登入，就切換成黏性 — cookie 與 IP 必須以同一個身分一起移動（為什麼）。

2. 透過 proxy，以 GraphQL 抓取公開 Instagram

from curl_cffi import requests

PROXY = {"https": "socks5h://USERNAME:[email protected]:913"}

# Public profile JSON (no login) - impersonate Chrome's TLS
r = requests.get(
    "https://www.instagram.com/api/v1/users/web_profile_info/?username=nasa",
    impersonate="chrome",
    headers={"X-IG-App-ID": "936619743392459"},
    proxies=PROXY,
)
data = r.json()["data"]["user"]
print(data["edge_followed_by"]["count"])

盯著回應內容，而不是狀態碼：一個帶 {"data": null} 的 200，或一個重新導向到 /accounts/login/，都代表這個 IP 的預算用完了 — 輪換身分、退避，然後再繼續。

3. 用 Playwright + 回應攔截抓 TikTok

from playwright.sync_api import sync_playwright

with sync_playwright() as p:
    browser = p.chromium.launch(proxy={
        "server": "us.jibaoproxy.com:913",
        "username": "USERNAME", "password": "PASSWORD",
    })
    page = browser.new_page()
    items = []
    # Let TikTok's own JS sign the requests; we just read the answers
    page.on("response", lambda res:
        items.extend(res.json().get("itemList", []))
        if "/api/post/item_list" in res.url else None)
    page.goto("https://www.tiktok.com/@nasa")
    for _ in range(5):
        page.mouse.wheel(0, 2500)
        page.wait_for_timeout(1800)   # human-ish scroll cadence
    print(len(items), "videos captured")

這完全避開了簽章逆向工程：頁面自己會產生有效的 X-Bogus，而你只負責收割 JSON。proxy 必須在瀏覽器啟動時就設定好 — 驗證的眉角在 Playwright proxy 驗證裡有說明。

4. 像人一樣放慢節奏，並監控軟封鎖

• 每個 Instagram 身分大約 1 次請求 / 2–4 秒；加上抖動。TikTok 捲動節奏 1.5–3 秒。
• 對內容訊號發出警示，而不是 HTTP 碼：登入牆重新導向、challenge_required、帶有 hasMore: true 的空 itemList。
• 一個身分在大約 150 次請求（IG）／大約 30 個個人檔案頁面（TikTok）之後就退役；冷卻 24 小時。
• 每一批都跑一個控制探針（一個已知的個人檔案）— 如果控制探針回來的資料不對，整批都有嫌疑。

快速參考

	Instagram	TikTok
最佳存取路徑	Web GraphQL/API 端點、curl_cffi	Playwright + 回應攔截
proxy 類型	每個身分黏性住宅	住宅、與市場地區相符
資料中心 IP	登入牆／challenge	立刻 captcha
軟封鎖訊號	登入重新導向、challenge_required、null 資料	空 itemList、captcha 頁面
地區敏感度	中等	高 — 內容依國家而不同

總結

• 兩個平台都會軟封鎖：驗證回應內容，永遠別相信 200 OK。
• 住宅是必備的；只要有 cookie 或登入就用黏性工作階段；把 TikTok 的地區與你要量測的市場相符。
• Instagram：web API + curl_cffi 模仿，每個身分約 150 次請求，然後輪換。
• TikTok：讓真正的瀏覽器去簽章請求、攔截 JSON、以人類節奏捲動。
• 登入後抓取會把風險綁到帳號上 — 一個帳號、一個 IP，沒有例外。