Come estrarre dati da LinkedIn nel 2026 senza rischiare ban: guida e proxy necessari

```html

LinkedIn è la piattaforma più chiusa tra quelle grandi e allo stesso tempo la fonte più ambita di dati B2B: profili di specialisti, aziende, offerte di lavoro, approfondimenti per la generazione di lead e il reclutamento. Nel 2026, raccogliere questi dati è diventato notevolmente più difficile e rischioso. LinkedIn ha vinto una causa contro hiQ Labs, ha denunciato e chiuso il più grande servizio di scraping Proxycurl, e a livello tecnico ha imparato a filtrare i bot ancora prima che tu riceva la prima riga di HTML. Analizziamo passo dopo passo come estrarre dati pubblici da LinkedIn nel 2026, dove passa il confine legale e tecnico e quali proxy reggono realmente il carico.

Per chi e perché è necessario

Lo scraping di LinkedIn non è un "hack grigio", ma uno strumento di lavoro per compiti perfettamente legali: raccolta di lead per vendite B2B, analisi del mercato del lavoro e dei salari, monitoraggio dei concorrenti e delle loro assunzioni, arricchimento del CRM, ricerca di settori. Il problema è che LinkedIn considera i propri dati come un attivo e li protegge più aggressivamente di qualsiasi altro social network. Pertanto, prima di inviare la prima richiesta, è necessario comprendere due cose: cosa è possibile raccogliere secondo la legge e perché il codice normale si scontra con un muro dopo cinque minuti.

Confine legale: cosa ha mostrato il 2026

Il principale fraintendimento è che "i dati sono pubblici, quindi possono essere prelevati liberamente". La giurisprudenza degli ultimi anni dice esattamente il contrario.

Il caso hiQ Labs contro LinkedIn è stato a lungo considerato una vittoria per gli scraper: la Corte d'Appello del nono circuito nel 2019 e nel 2022 ha stabilito che l'accesso ai profili pubblici non viola la legge anti-hacker CFAA. Ma nel novembre 2022, la stessa corte si è sostanzialmente schierata a favore di LinkedIn: il divieto di scraping nel contratto utente è stato riconosciuto come legalmente vincolante come obbligo contrattuale. Il 7 dicembre 2022, le parti hanno registrato un accordo di conciliazione: a hiQ sono stati richiesti 500.000 dollari (violazione del contratto più CFAA a causa di account falsi) e è stato imposto un divieto permanente con l'obbligo di distruggere tutto il codice e i dati raccolti. La società hiQ ha cessato di esistere.

Un secondo caso esemplare è Proxycurl (società Nubela), il più grande API per i dati di LinkedIn. Il 24 gennaio 2025, LinkedIn ha presentato contro di esso una causa federale nel Distretto Settentrionale della California su sei basi: violazione del contratto, frode, CFAA, legge californiana sulla concorrenza sleale e altro. Proxycurl è stata accusata di aver creato centinaia di migliaia di account falsi per raccogliere milioni di profili, inclusi dati non pubblici. La questione è stata risolta a metà del 2025: a luglio il servizio ha salutato i clienti e ha chiuso. Il fondatore ha scritto esplicitamente che l'azienda generava circa 10 milioni di dollari di fatturato, circa la metà proveniva dallo scraping di LinkedIn, e "in questa lotta non si può vincere" contro un'azienda con un budget legale praticamente illimitato. Le condizioni del divieto si applicavano anche ai clienti di Proxycurl.

La conclusione per la pratica è estremamente concreta:

• Non effettuate il login. Non appena vi autenticate, accettate il contratto utente, che vieta qualsiasi raccolta automatica. Lo scraping da un account è una violazione diretta del contratto, su cui LinkedIn vince le cause.
• Nessun account falso. Sia hiQ che Proxycurl sono stati "affondati" dalla massa di profili falsi: questa è una violazione separata della CFAA.
• Raccogliete solo dati pubblici e non personali dove possibile. Qui si aggiunge il GDPR: la raccolta di dati personali anche da profili aperti senza una base legale nell'UE è considerata una violazione — questa logica è stata stabilita separatamente dal regolatore europeo, e l'abbiamo esaminata in dettaglio nel materiale sul web scraping sotto il GDPR.

In parole semplici, i proxy risolvono il problema tecnico dell'accesso, ma non forniscono una base legale. La compliance riguarda cosa e perché raccogliete, non attraverso quale IP.

Perché uno script normale muore dopo cinque minuti

LinkedIn ha costruito una protezione multilivello, e comprendere come funziona determina direttamente ciò di cui avrete bisogno.

Il muro di autorizzazione

Pubblicamente, senza accesso, sono disponibili il profilo base, la pagina aziendale, le offerte di lavoro e la ricerca di offerte. Ma dopo aver visualizzato solo 3-5 profili, LinkedIn mostra la finestra di accesso. Non è un bug — è il primo confine: la piattaforma limita consapevolmente la visualizzazione anonima.

Analisi comportamentale

Il secondo strato monitora come navigate nel sito: i tempi tra le richieste (una persona non apre 100 profili al minuto), i modelli di navigazione, i movimenti del mouse, la catena di transizioni (referrer). Tutti i segnali vengono ridotti a un "fraud score" e confrontati con il comportamento tipico di un utente reale.

Fingerprinting della richiesta

Il terzo strato è l'impronta della connessione. LinkedIn analizza la qualità dell'IP (residenziale dalla rete domestica o datacenter da hosting), l'impronta TLS/JA3 del client, le intestazioni e i cookie, i metadati del dispositivo. Se l'impronta TLS restituisce python-requests e non il vero Chrome, sarete visibili immediatamente — anche attraverso un proxy residenziale perfetto.

Un marcatore separato che incontrerete per primo è HTTP status 999. Questo è un codice non standard, unico per LinkedIn: così la piattaforma risponde a traffico sospetto. Viene provocato da User-Agent non browser (curl, python-requests, wget), alta frequenza di richieste da un singolo IP o rete, intervalli di datacenter e cloud, ignorando robots.txt. Se ricevete 999 — smettete di inviare richieste da questo IP, aspettate 30-60 secondi e provate un altro proxy.

Come fare scraping di LinkedIn nel 2026: passo dopo passo

1. Decidete il punto di ingresso. Lo scraping DOM HTML su LinkedIn nel 2026 praticamente non funziona — il markup è dinamico e confuso. I dati vengono forniti tramite i tag application/ld+json sulle pagine dei profili, delle aziende e delle offerte di lavoro, così come tramite endpoint XHR interni per la paginazione (ad esempio, seeMoreJobPostings/search?start=25 con un passo di 25 risultati). La principale fonte "viva" è l'interfaccia REST interna di LinkedIn (Voyager API), che alimenta il sito stesso. È importante: questa API non è documentata, LinkedIn monitora attivamente per abusi e blocca gli account che lavorano tramite Voyager in 3-7 giorni. Proprio per questo è più sicuro limitarsi a pagine pubbliche senza autenticazione.
2. Imitate un vero browser a livello TLS. Non basta sostituire l'User-Agent del browser nelle intestazioni. Serve un client con un'impronta TLS e HTTP/2 compatibile con Chrome: librerie come curl_cffi (impersonate), uTLS o un browser headless (Playwright/Puppeteer con configurazione stealth). Un proxy residenziale con impronta python-requests fallirà comunque.
3. Collegate i proxy giusti e ruotate per sessione. Ruotate l'IP per sessione, non per ogni richiesta, se volete mantenere le sessioni di cookie tra le pagine. Cambiare frequentemente l'IP all'interno di una singola catena logica appare sospetto.
4. Mantenete un ritmo umano. Nel 2026, la soglia sicura è di circa 20-30 richieste ai profili da un singolo IP all'ora; oltre, scatta il rate limiting. Impostate pause casuali tra le richieste (non fisse di 1,5 secondi per tutto), randomizzate l'ordine e gli intervalli. L'intervallo tra la visualizzazione dei profili è più importante del numero totale.
5. Iniziate con un piccolo parallelismo. Non avviate 50 thread contemporaneamente. Iniziate con 2-3 sessioni simultanee e aumentate, osservando la percentuale di risposte 999 e captcha.
6. Gestite i blocchi in modo intelligente. Riconoscete 999 e captcha come segnali, non come errori: riducete il ritmo, cambiate proxy, fate una pausa. Registrate il tasso di successo per ogni pool di IP — da esso si vede quando il pool è "bruciato".

Insidie

• La tentazione di autenticarsi per dati "completi". La ricerca di persone, i dati ampliati delle aziende e gli strumenti per reclutatori sono disponibili solo dopo il login — ma proprio l'accesso trasforma la raccolta in una violazione delle ToS e mette il vostro account a rischio di ban in 3-7 giorni. Valutate il rischio con lucidità.
• Proxy da datacenter. LinkedIn mantiene liste di blocco ASN dei fornitori di hosting e contrassegna i nuovi IP da datacenter in pochi minuti. Per LinkedIn, questo è quasi garantito un 999.
• Account falsi. Tecnologicamente allettante, legalmente — un percorso diretto verso una causa per CFAA. Entrambi i casi eclatanti del 2022 e del 2025 si basavano su questo.
• Dati personali e GDPR. "Il profilo è aperto" non significa "i dati possono essere elaborati". Per il pubblico dell'UE è necessaria una base legale indipendentemente dal proxy.
• Proxy gratuiti. Le liste pubbliche di IP sono da tempo nelle blacklist di LinkedIn e spesso compromesse — soldi e tempo sprecati.

Quali proxy servono per LinkedIn — e perché

Il tipo di proxy qui conta più del codice dello scraper stesso. La situazione per il 2026 è la seguente:

• Proxy da datacenter — non funzionano. LinkedIn riconosce immediatamente gli ASN di hosting. Per questa piattaforma, il datacenter è praticamente escluso, indipendentemente dal costo.
• Proxy residenziali — minimo obbligatorio. Questi sono IP di veri fornitori di internet domestici: per il sistema di rilevamento, la richiesta appare provenire da un normale appartamento. I proxy residenziali rotanti offrono il miglior rapporto "costo per richiesta riuscita" e mantengono tra l'85% e il 92% di richieste riuscite secondo le misurazioni di settore. Questa è la base per raccogliere profili pubblici e offerte di lavoro in volume.
• Proxy mobili — il top per LinkedIn. I proxy mobili 4G/5G utilizzano IP degli operatori dietro CGNAT, che condividono migliaia di veri abbonati. LinkedIn non può bannare un tale IP senza colpire un gran numero di utenti mobili legittimi, quindi gli indirizzi mobili per la piattaforma sono praticamente indistinguibili dal traffico reale. Costano di più per gigabyte, ma si ripagano nei scenari più sensibili e ad alto ritmo.

Una combinazione pratica per il 2026: proxy residenziali per il volume principale più proxy mobili per le aree "pesanti" e alto parallelismo — e sicuramente sopra un'impronta TLS compatibile con Chrome. I proxy senza un'impronta corretta non salveranno, e un'impronta corretta senza un IP di qualità si scontrerà con 999.

Conclusione

Fare scraping di LinkedIn nel 2026 non significa "ho messo requests e via". La piattaforma ha vinto cause chiave, ha chiuso interi servizi e filtra i bot a livello di IP, impronta TLS e comportamento. Una strategia funzionante: raccogliere solo dati pubblici e senza login, non creare account falsi, mantenere un ritmo umano di 20-30 richieste per IP all'ora, imitare un vero browser a livello TLS e fare affidamento su un'infrastruttura proxy di qualità — IP residenziali come base e mobili come potenziamento. Il valore si è spostato dal codice allo strato portante di identità: vince chi ha un IP pulito, indistinguibile da un utente reale. È possibile selezionare proxy residenziali e mobili per le esigenze di scraping nel catalogo ProxyCove — con geo-targeting e rotazione per il ritmo desiderato.