Proxies pour contourner DataDome : comment fonctionne la protection et ce qui aide réellement au scraping

Vous avez configuré un scraper, lancé la collecte de données — et après quelques minutes, vous recevez une page avec un captcha ou une réponse vide. Il est probable que le site soit protégé par DataDome. C'est l'un des systèmes anti-bots les plus agressifs sur le marché, et les proxies classiques des centres de données ne vous sauveront pas ici. Dans cet article, nous examinerons comment DataDome détecte les bots et quels types de proxies donnent des résultats.

Qu'est-ce que DataDome et où est-il utilisé

DataDome est une plateforme SaaS commerciale de protection contre les bots, utilisée par de grands magasins en ligne, des portails d'actualités, des marketplaces et des services de réservation à travers le monde. Fondée en 2015, l'entreprise protège aujourd'hui des milliers de sites avec un public total de milliards de requêtes par jour.

Parmi les clients de DataDome figurent des plateformes telles que Reddit, Foot Locker, Rakuten, AngelList et de nombreuses autres grandes ressources. Si vous êtes impliqué dans le suivi des prix des concurrents, le scraping des fiches produits, la collecte de données à partir de marketplaces étrangers ou l'agrégation de nouvelles, il y a de fortes chances que vous ayez déjà rencontré ce système.

Les signes caractéristiques qu'un site est protégé par DataDome :

• Une page avec captcha apparaît après plusieurs requêtes consécutives
• Dans la réponse du serveur, il y a un en-tête x-datadome-cid
• Redirection vers le domaine geo.captcha-delivery.com
• Réponse HTTP 403 ou 429 lors de requêtes fréquentes depuis une seule IP
• Défi JavaScript lors de la première visite (page de « vérification du navigateur »)

DataDome fonctionne en temps réel : chaque requête entrante est analysée en quelques millisecondes. Le système décide de laisser passer l'utilisateur, d'afficher un captcha ou de bloquer — avant même que le serveur ne renvoie le contenu principal de la page. C'est pourquoi il est plus difficile de le contourner que de simples blocages IP.

Comment DataDome détecte les bots : mécanismes de protection

Pour comprendre quels proxies fonctionnent, il faut examiner ce que DataDome analyse. Le système utilise une approche multicouche — aucun des facteurs n'est un critère unique de blocage. La décision est prise sur la base d'un ensemble de signaux.

1. Réputation de l'adresse IP

La première chose que vérifie DataDome est la réputation de l'adresse IP à partir de bases de données externes et internes. Le système détermine instantanément si l'IP appartient à un centre de données (AWS, Google Cloud, Hetzner, DigitalOcean), à un fournisseur VPN ou s'il s'agit d'une véritable adresse résidentielle/mobile. Les IP des centres de données reçoivent automatiquement un « score de suspicion » élevé avant même l'analyse du comportement.

2. Analyse comportementale

DataDome suit les modèles de comportement : la vitesse des requêtes, la séquence de navigation sur les pages, le temps entre les clics, le mouvement de la souris (s'il y a JavaScript). Un utilisateur réel fait des pauses, navigue par des chemins logiques, revient parfois en arrière. Un bot effectue généralement des requêtes à intervalles réguliers, sur des URL strictement définies, sans « écarts aléatoires ».

3. Empreinte JavaScript

Si la requête passe par un navigateur (ou un navigateur sans tête comme Puppeteer/Playwright), DataDome exécute un script JavaScript qui collecte l'« empreinte » de l'environnement : version du navigateur, polices installées, résolution d'écran, support WebGL, empreinte canvas, présence de plugins. Les navigateurs sans tête sans camouflage supplémentaire sont facilement détectés par leurs paramètres caractéristiques.

4. En-têtes HTTP

Les en-têtes de la requête sont analysés : User-Agent, Accept-Language, Accept-Encoding, Referer, sec-ch-ua et d'autres. Un décalage entre le User-Agent déclaré et les paramètres réels de la requête est un signal fort de bot.

5. Apprentissage automatique en temps réel

Tous les signaux collectés sont traités par un modèle d'apprentissage automatique, qui a été formé sur un énorme ensemble de données concernant les utilisateurs réels et les bots. Le modèle est constamment mis à jour — ce qui fonctionnait il y a un mois peut ne plus fonctionner aujourd'hui. C'est pourquoi les solutions statiques deviennent rapidement obsolètes.

Pourquoi les proxies des centres de données ne fonctionnent pas contre DataDome

C'est la question la plus fréquente de ceux qui commencent à travailler avec des sites protégés. Les proxies des centres de données sont bon marché, rapides, avec un temps de disponibilité élevé. On pourrait penser que c'est le choix idéal pour le scraping. Mais contre DataDome, ils sont pratiquement inutiles.

La raison est simple : DataDome maintient et utilise des bases de données ASN (systèmes autonomes) de tous les grands fournisseurs d'hébergement. Lorsque la requête provient d'une adresse IP appartenant, par exemple, à un sous-réseau d'Amazon Web Services ou d'OVH, le système lui attribue immédiatement le statut de « suspect ». Même si votre scraper imite parfaitement le comportement humain — l'IP du centre de données vous met déjà en danger.

Un autre problème est celui des IP « brûlées ». Si des milliers d'utilisateurs avant vous ont utilisé la même adresse IP pour des activités de bots (et dans les pools de centres de données bon marché, c'est la norme), DataDome a déjà une histoire négative pour cette adresse. Même la première requête depuis une telle IP peut être bloquée.

Proxies résidentiels : l'outil principal pour contourner DataDome

Les proxies résidentiels sont des adresses IP appartenant à de véritables utilisateurs domestiques d'Internet. Elles sont fournies par des fournisseurs d'accès Internet (Rostelecom, Comcast, Deutsche Telekom, etc.) et, du point de vue de DataDome, apparaissent comme des personnes ordinaires assises chez elles devant leur ordinateur.

C'est pourquoi les proxies résidentiels sont l'outil de travail principal pour le scraping des sites protégés par DataDome. Ils passent le premier contrôle de réputation IP, ce qui vous donne un « crédit de confiance » pour un travail ultérieur.

Ce qu'il faut prendre en compte lors du choix de proxies résidentiels pour DataDome

Un point important : les proxies résidentiels ne garantissent pas un contournement à 100% de DataDome par eux-mêmes. Ils résolvent le problème de la réputation IP, mais si votre scraper effectue 100 requêtes par minute depuis une seule adresse ou envoie des en-têtes incorrects — DataDome bloquera quand même. L'IP n'est qu'un des niveaux de protection.

Proxies mobiles : quand une confiance maximale est nécessaire

Les proxies mobiles sont des adresses IP des opérateurs mobiles (réseaux 4G/5G). Ils ont une caractéristique particulière : une seule adresse IP d'un opérateur mobile peut être utilisée par des milliers de véritables utilisateurs simultanément via NAT. DataDome le sait — et c'est pourquoi il accorde une confiance maximale aux IP mobiles.

Bloquer une IP mobile signifie bloquer potentiellement des milliers de vrais clients de l'opérateur — aucun site normal ne prendra ce risque. C'est pourquoi les proxies mobiles offrent le pourcentage le plus élevé de requêtes réussies sur les sites avec DataDome.

Quand choisir des proxies mobiles plutôt que résidentiels :

• Le site est très agressivement protégé — les proxies résidentiels entraînent des blocages même à faible fréquence de requêtes
• Vous scrapez la version mobile du site — IP mobile + User-Agent mobile semblent organiques
• Besoin de travailler avec des applications — si vous scrapez une API mobile, l'IP mobile correspond logiquement à la requête
• Sessions à long terme — les proxies mobiles maintiennent bien la session sans changer d'IP

Le inconvénient des proxies mobiles — ils sont plus chers que les résidentiels et ont généralement un pool d'IP plus petit. Pour un scraping à grande échelle avec des milliers de requêtes par heure, cela peut devenir une limitation. Dans ces cas, la stratégie optimale consiste à utiliser des proxies mobiles pour « l'exploration » et des pages complexes, et des résidentiels pour la collecte de données en masse.

Stratégie de rotation et de délais : comment ne pas se faire prendre même avec de bons proxies

Même avec des proxies résidentiels ou mobiles, vous pouvez être bloqué si vous ne construisez pas correctement votre stratégie de requêtes. DataDome analyse le comportement au niveau de la session — et des modèles anormaux suscitent des soupçons, indépendamment de la qualité de l'IP.

Règles de scraping sécurisé via DataDome

Rotation : quand changer d'IP

Il n'y a pas de réponse universelle — tout dépend du site spécifique. Mais la logique générale est la suivante : DataDome se souvient de l'activité de l'IP dans une fenêtre glissante (généralement 10-60 minutes). Si, pendant ce temps, une adresse a reçu un nombre suspect de requêtes — l'IP reçoit un bannissement temporaire.

La stratégie optimale consiste à faire tourner les IP non pas selon un minuteur, mais selon le nombre de requêtes. Par exemple : 15-25 requêtes → changement d'IP → pause de 30-60 secondes → nouvelle session. Cette approche imite le comportement de différents utilisateurs, chacun ayant visité plusieurs pages et étant parti.

En-têtes et empreinte : ce que vérifie encore DataDome en plus de l'IP

De bons proxies sont une condition nécessaire, mais pas suffisante pour contourner DataDome. Le système analyse l'ensemble de la requête. Si l'IP est résidentielle, mais que les en-têtes trahissent un bot — le blocage se produira quand même.

En-têtes critiques

Voici ce que DataDome vérifie dans les en-têtes HTTP et sur quoi il faut faire attention :

Une attention particulière doit être portée aux cookies de DataDome. Lors de la première requête, le système définit son cookie (généralement appelé datadome). Si votre scraper ne conserve pas et ne renvoie pas ce cookie dans les requêtes suivantes — DataDome considère chaque requête comme la première visite d'un nouvel utilisateur, ce qui est suspect en soi à une fréquence élevée.

Empreinte TLS

La protection avancée de DataDome analyse également l'empreinte TLS — les caractéristiques de la poignée de main SSL/TLS. Différentes bibliothèques HTTP (requests, curl, axios) ont des ensembles de suites de chiffrement et d'extensions TLS caractéristiques qui diffèrent de celles des navigateurs. Si vous utilisez la bibliothèque standard Python requests — son empreinte TLS est facilement identifiable. La solution consiste à utiliser des bibliothèques imitant le TLS des navigateurs (par exemple, curl-impersonate ou des solutions spécialisées).

Outils pour travailler avec des sites protégés par DataDome

Le choix correct de l'outil pour le scraping est tout aussi important que le choix du proxy. Différentes tâches nécessitent différentes approches. Examinons les principales options en termes de compatibilité avec DataDome.

Automatisation du navigateur (Puppeteer, Playwright)

Les navigateurs sans tête devraient théoriquement bien fonctionner avec DataDome, car ils exécutent JavaScript et forment une empreinte « réelle ». En pratique, Puppeteer ou Playwright standard sont facilement détectés par leurs paramètres caractéristiques : navigator.webdriver = true, absence de plugins, valeurs non standard de WebGL. Pour contourner cela, un camouflage supplémentaire est nécessaire via des plugins comme puppeteer-extra-plugin-stealth.

Navigateurs anti-détection

Pour les tâches nécessitant un travail complet avec le site (pas seulement du scraping, mais aussi de l'interaction), les navigateurs anti-détection sont le choix optimal. Dolphin Anty, AdsPower, GoLogin et Multilogin créent des profils de navigateur complets avec des empreintes réalistes. En combinaison avec des proxies résidentiels ou mobiles, ils offrent le niveau de contournement le plus élevé pour DataDome.

Le schéma de connexion dans un navigateur anti-détection est standard : vous créez un profil → dans les paramètres du proxy, vous indiquez le type (HTTP/SOCKS5), l'hôte, le port, le nom d'utilisateur et le mot de passe du service proxy → vous lancez le profil. Chaque profil fonctionne dans un environnement isolé avec une empreinte unique.

Services de scraping spécialisés

Il existe des services prêts à l'emploi (ScrapingBee, Apify, Bright Data Scraping Browser) qui prennent en charge tout le travail de contournement des protections — vous transmettez simplement l'URL et recevez le HTML. Ils utilisent leurs propres pools de proxies résidentiels et résolvent automatiquement les captchas. Inconvénient — coût élevé pour de grands volumes et moins de contrôle sur le processus.

Comparaison des approches

Scénario pratique : suivi des prix sur un site protégé

Supposons que vous suiviez les prix des concurrents sur un marketplace étranger protégé par DataDome. Vous devez collecter des données sur 5000 produits toutes les 6 heures. Voici le schéma optimal :

1. Outil : Playwright avec le plugin stealth (résout automatiquement le défi JS)
2. Proxy : Résidentiels avec rotation, géolocalisation — pays du site cible
3. Session : Collante pendant 15 minutes, 20 requêtes par IP
4. En-têtes : User-Agent Chrome actuel, Accept-Language correct
5. Cookies : Conservation et transmission des cookies DataDome entre les requêtes d'une session
6. Délai : Aléatoires de 4 à 12 secondes entre les requêtes
7. Démarrage de la session : Toujours commencer par la page d'accueil, puis passer aux produits

Avec cette configuration, le taux de réussite des requêtes est de 85-95%, ce qui est tout à fait suffisant pour un suivi régulier. Les 5-15% restants — nouvelle requête via une autre IP.

Conclusion et recommandations

DataDome est un système de protection sérieux, mais pas infranchissable. La clé pour travailler avec des sites sous sa protection est une approche globale : le bon type de proxy, des en-têtes corrects, un comportement réaliste et une stratégie de rotation bien pensée.

Principales conclusions de l'article :

• Les proxies des centres de données ne fonctionnent pas contre DataDome — ils sont bloqués au niveau de la réputation de l'IP
• Les proxies résidentiels sont l'outil de base pour la plupart des tâches de scraping
• Les proxies mobiles offrent une confiance maximale et conviennent aux sites très protégés
• De bons proxies ne sont qu'une partie de la solution : les en-têtes, les cookies et le comportement sont tout aussi importants
• Les navigateurs anti-détection associés à des proxies de qualité donnent les meilleurs résultats
• La stratégie de rotation et de délais est critique — même avec des proxies résidentiels, vous pouvez être banni lors d'un scraping agressif

Si vous êtes impliqué dans le suivi des prix, le scraping des fiches produits ou la collecte de données sur des sites protégés par DataDome, nous vous recommandons de commencer par des proxies résidentiels — ils offrent un équilibre optimal entre la qualité de contournement de la protection et le coût. Pour des tâches nécessitant un niveau de confiance maximal de la part des systèmes anti-bots, envisagez des proxies mobiles — surtout si vous travaillez avec des versions mobiles de sites ou des API d'applications mobiles.