Прогон детекторов, сентябрь 2026 - Cloudflare и DataDome пройдены, PerimeterX нет

Это второй прогон серии и первый, в котором встретились управляемая проверка Cloudflare и PerimeterX. Две из этих трёх защит пройдены. PerimeterX нет, а на одной из целей он не пропустил ни разу - эта строка стоит в таблице наравне с остальными.

Условия

Профиль создан для этого прогона и выброшен после него. Настройки по умолчанию, ничего не подкручено, без прогрева, без истории на сайтах. Ядро Chrome 153, macOS, с интерфейсом.

Одно условие отличается от августа, и его стоит назвать прямо, потому что именно оно на самом деле всех интересует: во всех проверках ниже браузером управлял Playwright по протоколу DevTools. Ничего не нажималось руками. Пока загружалась каждая страница и пока каждая защита гоняла свой сенсор, отладчик был подключён.

Что нового в этом месяце

В августе были Whoer, CreepJS, DataDome и Kasada. В сентябре добавлены:

• Управляемая проверка Cloudflare - три цели, которые на обычный запрос отвечают cf-mitigated: challenge
• PerimeterX - две цели
• Отпечатки TLS и HTTP/2 - как выглядит рукопожатие с другой стороны прокси

О провале с PerimeterX

Прочитайте эти строки, они здесь самые интересные.

wayfair.com держал свою стену «нажмите и удерживайте» при каждой попытке, где навигация завершилась: шесть разных резидентных выходов, один помеченный выход и повторные визиты через оба. Ноль прохождений. Это не проблема адреса, и описывать её так мы не будем.

fiverr.com за тем же вендором пропустил четыре холодных визита из шести, а затем начал блокировать частые повторные визиты с одного адреса. В таблице оба результата.

Итог: PerimeterX - не та защита, которую мы сегодня проходим, поэтому больше нигде на этом сайте вы его не найдёте.

Две поправки к нашей собственной методике

Обе давали неверные цифры, пока их не поймали, и обе из тех ошибок, после которых отчёт о детекторах ничего не стоит.

Поиск строк в исходнике страницы засчитывал прохождения как блокировки. Cloudflare оставляет свой скрипт проверки на каждой странице, которую уже пропустил, а сенсор PerimeterX стоит на страницах, которые загрузились без проблем. Проверка, которая ищет любой из них в HTML, находит их и на странице с полностью отрисованной витриной. Первый проход этого прогона по этой причине назвал четыре прохождения блокировками. Каждый вердикт здесь читает отрисованный текст и сначала ищет собственное содержимое сайта - на наличие стены страница проверяется только тогда, когда содержимого нет.

Один замер через фиксированную паузу засчитывал ещё не завершённые проверки как блокировки. Управляемой проверке через резидентный канал часто нужно больше десяти секунд. Теперь каждая проверка до 45 секунд ждёт появления собственного содержимого сайта, а прохождение записывает, сколько это заняло.

Один адрес выхода - не выборка

DataDome три раза из трёх заблокировал нас через один французский резидентный выход, и его страница блокировки называла этот адрес. Шесть других французских выходов, с теми же настройками профиля и в той же сессии, прошли с первого визита: 200 и никакой проверки.

Остановись мы на первом выходе, на этой странице было бы написано, что DataDome мы не проходим. Верно обратное, и переменной был адрес, а не браузер. Поэтому каждая чувствительная к репутации проверка в этом прогоне - один свежий профиль и один холодный визит на выход, на многих выходах. Заблокированные строки остаются в таблице.

Оговорка работает и в нашу сторону. Один сегмент этого прогона шёл через выход, весь пул которого числится в списках прокси-адресов. Cloudflare его всё равно пропустил, но DataDome и PerimeterX придают репутации адреса большой вес, так что этот сегмент нужно читать как измерение адреса, а не браузера.

Меняет ли ответ подключённый отладчик?

Страница блокировки DataDome среди возможных причин называет «использование инструментов разработчика или инспектирования», и это похоже на обнаружение отладчика. Поэтому мы измерили, а не предположили.

Один и тот же профиль через один и тот же закреплённый выход дважды загрузил leboncoin.fr: один раз с подключённым на всё время загрузки Playwright, второй раз с адресом, переданным браузеру при запуске, когда во время загрузки ничего не было подключено. Оба раза отрисовался настоящий сайт. На этой цели и с этим профилем подключение отладчика результат не изменило. Этот список на странице блокировки - шаблонный текст, а не находка.

Что мы не измеряли

• WebRTC, часовой пояс против выхода, языки navigator, ОС против user agent. Их покрывает август, и там было сказано, что они в списке на сентябрь. Этот прогон их не повторял.
• Базовую линию. В августе профиль сравнивался с Playwright со stealth-плагином на тех же целях. Это сравнение не повторялось, так что ничто на этой странице не является сравнением с конкурентами.
• Kasada, Whoer и CreepJS. В этом месяце не перепрогонялись.

Каждая строка есть в наборе данных, включая заблокированные и завершившиеся ошибкой, и бесплатного тарифа достаточно, чтобы повторить любую из них.

AntiBrow, “Detection run, September 2026,” 2026-09-12.
<a href="https://antibrow.com/reports/detection-2026-09">antibrow.com/reports/detection-2026-09</a>
(CC BY 4.0)

AntiBrow. Detection run, September 2026 (2026-09-12). https://antibrow.com/reports/detection-2026-09. CC BY 4.0.

@misc{antibrow_2026_09,
  title  = {Detection run, September 2026},
  author = {AntiBrow},
  year   = {2026}, month = {9},
  url    = {https://antibrow.com/reports/detection-2026-09},
  note   = {CC BY 4.0}
}