Pada 13 Juli 2026, Cloudflare mulai meluncurkan kepada semua klien Precursor — mesin klien yang mengevaluasi bukan hanya permintaan terpisah dan bukan hanya melewati captcha, tetapi perilaku selama seluruh sesi. Pernyataan CTO Cloudflare, Dane Knecht, singkat dan tepat: "Alih-alih hanya memeriksa ID di gerbang, kami melihat perilaku selama seluruh kunjungan" — daripada memeriksa izin masuk, kami melihat perilaku selama kunjungan.
Bagi mereka yang mengotomatiskan browser — scraper, multi-akun, otomatisasi SMM, agen AI — ini adalah perubahan satuan pengukuran risiko. Sebelumnya, satuan yang digunakan adalah permintaan: jika berhasil melewati tantangan, Anda mendapatkan cf_clearance, dan Anda dapat bekerja. Sekarang satuan yang digunakan adalah sesi, dan sesi tersebut hidup, mengumpulkan penilaian, dan dapat "rusak" kapan saja setelah Anda melewati pemeriksaan.
Apa yang Diluncurkan Cloudflare
Precursor adalah skrip yang diterapkan Cloudflare ke halaman melalui jaringannya. Diaktifkan dengan saklar di panel (Security → Settings → Precursor), tidak memerlukan perubahan pada kode situs, dan bekerja di seluruh zona sekaligus; perilaku dapat disesuaikan secara spesifik melalui Precursor Rules. Ini diposisikan bukan sebagai pengganti Turnstile, tetapi sebagai pelengkap: Turnstile adalah pemeriksaan sekali, Precursor adalah pemeriksaan berkelanjutan.
Apa yang dikumpulkan skrip, menurut deskripsi dari Cloudflare sendiri:
- gerakan kursor — lintasan, kecepatan, karakter lengkungan;
- ritme gulir;
- kadenza pengetikan — waktu dan ritme, tetapi bukan tombol yang ditekan;
- aktivitas clipboard;
- perubahan fokus elemen dan visibilitas halaman/tab.
Selanjutnya, hal yang menarik dimulai. Cloudflare secara langsung menjelaskan bahwa apa yang dicari dalam data ini bukanlah "jejak", tetapi fisika dan fisiologi manusia: lengkungan gerakan mouse yang dibatasi oleh rotasi pergelangan tangan, alih-alih pergerakan linier dari otomatisasi; penundaan kognitif yang terukur antara munculnya rangsangan di layar dan reaksi; mikro-getaran tangan — tremor — sebagai kebisingan alami dalam lintasan.
Lapisan kedua — pemeriksaan silang untuk kontradiksi internal. Apakah kursor bergerak saat halaman tersembunyi? Apakah ada peristiwa dari keyboard, tetapi tidak ada bidang teks yang dalam fokus? Setiap sinyal secara terpisah terlihat normal, tetapi bersama-sama mereka tidak membentuk gambaran koheren dari manusia yang hidup — dan ini dapat terdeteksi lebih murah daripada analisis klik terpisah.
Ketiga dan yang paling tidak menyenangkan bagi otomatisasi: penilaian terakumulasi berdasarkan sesi dan tidak direset dengan memuat ulang halaman. Teknik klasik "mendapatkan blokir — F5 / tab baru" tidak lagi menjadi reset status. Hasil pemeriksaan berkelanjutan memperbarui cf_clearance yang sama, dan Cloudflare secara langsung menyatakan bahwa konfirmasi clearance yang telah diberikan dapat dikurangi atau dibatalkan di tengah sesi, serta memicu tantangan tambahan.
Dua Mode — dan Mengapa Ini Penting untuk Diketahui Sebelumnya
- Minimize Friction (secara default) — pemeriksaan latar belakang tanpa interstisial. Pengguna tidak melihat apa-apa, tetapi jaminan "sesi valid" lebih lemah.
- Maximize Security (direkomendasikan oleh Cloudflare) — tantangan interstisial ringan yang menetapkan sesi yang valid, dengan penurunan UX yang disadari.
Kesimpulan praktis: perilaku perlindungan di situs tertentu sekarang tergantung pada pengaturan yang tidak dapat Anda lihat dari luar. Skrip yang sama, proxy yang sama, dan situs yang sama dapat berperilaku berbeda sebelum dan setelah pemilik mengubah mode. Aktivasi terlihat oleh pemilik situs di Security → Analytics → Traffic → Bot analysis — dalam satu baris dengan distribusi bot score dan pertandingan WAF.
Skala: Mengapa Ini Bukan "Satu Lagi Anti-Bot"
Konteks yang membuat berita ini lebih penting daripada rilis biasa. Cloudflare memproses lebih dari 1 triliun permintaan per hari, Turnstile beroperasi hampir 3 miliar kali sehari. Menurut perkiraan perusahaan, lalu lintas otomatis untuk pertama kalinya melebihi manusia dan mencapai sekitar 57% dari semua permintaan web. Mengaktifkan lapisan perilaku dengan satu saklar pada basis seperti itu berarti bahwa proporsi internet di mana deteksi perilaku sesi berfungsi dapat melonjak — tanpa satu pun komitmen di sisi situs.
Dan tujuan yang dinyatakan — adalah apa yang digunakan hari ini: "otomatisasi canggih yang menjalankan JavaScript, berfungsi dalam lingkungan browser nyata dan melewati captcha terpisah tanpa menimbulkan kecurigaan". Artinya, Playwright/Puppeteer dengan patch stealth, browser anti-deteksi, dan browser agen — adalah sasaran yang dijelaskan Precursor secara terbuka.
Untuk kejujuran: Cloudflare belum menerbitkan data kuantitatif — baik akurasi, maupun proporsi false positive, maupun overhead dari pemantauan berkelanjutan di browser. Saat ini ini adalah kemampuan yang dinyatakan, bukan diukur secara independen. Gelombang keluhan publik tentang pemblokiran massal yang salah selama dua minggu peluncuran juga tidak terlihat.
Apa Artinya dalam Praktik
1. Kualitas IP Tidak Lagi "Syarat yang Cukup" — Tetapi Tetap Diperlukan
Kesimpulan yang menggoda "karena deteksi perilaku, proxy tidak lagi berpengaruh" — salah. Precursor bekerja di atas lapisan sebelumnya: reputasi IP, TLS/HTTP fingerprinting, bot score. IP dari pusat data di subnet yang terpapar mendapatkan bot score tinggi dan mode tantangan yang ketat bahkan sebelum analisis mouse dilakukan. Perilaku adalah ujian tambahan, bukan pengganti filter masuk: proxy residensial yang bersih atau proxy seluler dengan ASN yang hidup hanya memberikan kesempatan untuk mencapai ujian kedua.
2. Sesi — Objek Kebersihan Baru
Sebelumnya, kesalahan tipikal berbunyi "terlalu banyak permintaan dari satu IP". Sekarang ditambahkan "terlalu banyak aktivitas yang tidak mirip manusia dalam satu sesi". Dari sini praktiknya:
- Jangan gunakan satu konteks browser untuk ratusan tugas. Sesi yang panjang adalah jejak perilaku yang panjang, di mana setiap anomali dapat terakumulasi. Sesi yang lebih pendek — lebih sedikit materi untuk penilaian.
- Jaga pasangan "sesi ↔ IP" tetap stabil. Mengganti IP keluar di tengah sesi adalah kontradiksi yang mencolok; untuk skenario dengan login, diperlukan sticky sessions dengan waktu hidup sesuai tugas, bukan rotasi agresif untuk setiap permintaan.
- Jangan campurkan profil. Satu akun — satu set yang stabil: profil browser, IP, zona waktu, bahasa, pola perilaku.
3. Perilaku Sintetis Harus Dilakukan dengan Lebih Jujur — Atau Tidak Dilakukan Sama Sekali
Emulasi "manusia" yang naif (gerakan linier ke tengah tombol, jeda rata-rata 100 ms, klik instan setelah pemuatan) di bawah pemeriksaan silang bekerja melawan Anda: mereka menambahkan sinyal, bukan menguranginya. Jika skenario tidak memerlukan imitasi manusia — lebih aman untuk tidak menghasilkan perilaku sama sekali daripada menghasilkan yang buruk. Lebih dalam tentang lapisan ini telah kami bahas dalam materi tentang biometrik perilaku dan proxy.
4. API Endpoint dan Klien Non-Browser — Kisah Terpisah
Precursor memerlukan eksekusi JavaScript. Klien tanpa browser — curl, backend seluler — dan permintaan XHR/fetch ke endpoint yang dilindungi harus membawa kredensial sesi dengan benar, yaitu cf_clearance. Praktisnya, ini berarti: pertama browser menetapkan sesi yang valid, dan kemudian permintaan "cepat" dilakukan dengan cookie-nya dan dalam konteks jaringan yang sama (IP yang sama, profil TLS yang disepakati). Ketidaksesuaian antara sesi browser dan klien HTTP adalah kontradiksi internal yang dicari.
5. Titik Pengambilan Data Bergeser
Di mana situs mengaktifkan Maximize Security, pengumpulan tanpa kepala yang murah akan menjadi jauh lebih mahal. Reaksi yang bijaksana — bukan eskalasi "emulasi cerdas" dengan harga berapa pun, tetapi peninjauan sumbernya: API resmi platform, umpan mitra, endpoint seluler, dataset publik. Jalur sepenuhnya berbasis browser masuk akal untuk dipertahankan di mana data tidak dapat diperoleh dengan cara lain.
Ke Mana Ini Menuju
Precursor secara logis terintegrasi dalam garis Cloudflare selama tahun lalu: pemblokiran crawler AI secara default, AI Crawl Control dengan aturan granular, Pay Per Crawl sebagai upaya untuk membuat akses ke konten berbayar, dan mulai 15 September 2026 — pemblokiran crawler AI campuran di halaman dengan iklan secara default. Vektor umum: situs ingin tahu bukan "apakah Anda manusia saat masuk", tetapi "siapa Anda selama kunjungan dan mengapa Anda datang".
Bagi pasar otomatisasi, ini berarti pergeseran lambat tetapi satu arah: biaya satu sesi "mirip manusia" meningkat, biaya satu permintaan tidak lagi menjadi metrik utama. Mereka yang mengumpulkan lebih sedikit tetapi lebih akurat akan menang: sesi yang rapi, IP bersih untuk tugas, jejak yang disepakati — dan penilaian yang jernih tentang data mana yang layak untuk jalur browser.
Singkatnya
- Sejak 13 Juli 2026, Cloudflare meluncurkan Precursor — deteksi perilaku sesi yang diaktifkan dengan satu saklar tanpa perubahan kode di sisi situs.
- Sinyal: kursor, gulir, ritme pengetikan (tanpa konten), clipboard, fokus, dan visibilitas; ditambah pemeriksaan silang untuk kontradiksi.
- Penilaian terakumulasi berdasarkan sesi; memuat ulang halaman tidak mengatur ulang tanda tangan, clearance dapat dibatalkan di tengah kunjungan.
- Proxy tidak "hilang": lapisan IP tetap sebagai filter masuk, perilaku — sebagai ujian kedua.
- Cloudflare belum menerbitkan data kuantitatif tentang akurasi dan false positive — terlalu awal untuk menarik kesimpulan tentang ketatnya.