Browser Stealth 2026: 651 valutazione benchmark - chi supera davvero

```html

La lista degli strumenti stealth per l'automazione del browser nel 2026 è cresciuta fino a decine di nomi, e ogni secondo repository promette "undetected". Non è possibile verificarlo a occhio: lo stesso Camoufox in uno studio si posiziona a metà classifica, mentre in un altro è tra i primi quattro. Analizziamo due benchmark indipendenti del 2026 con metodologia aperta, guardiamo i numeri reali e, soprattutto, comprendiamo quale strato di rilevamento non viene misurato affatto.

Cosa è stato misurato: due benchmark, due arbitri diversi

Il primo studio è il benchmark anti-detect di Ian Patterson (pubblicato il 18 maggio 2026). Sette strumenti sono stati testati su 31 obiettivi in quattro categorie: pannelli di rilevamento JS, endpoint TLS, siti live sotto Cloudflare e altri anti-bot, oltre a piattaforme di contenuti ad alto carico con "fingerprinting" silenzioso. Risultato: 651 verdetti: 217 celle con tre esecuzioni indipendenti, tutto completato in 5 ore e 11 minuti di una notte. I test sono stati eseguiti in modalità headed da un IP residenziale (Mac Studio, Columbia Britannica).

Il secondo è il benchmark stealth del The Web Scraping Club (23 luglio 2026): 15 librerie Python open-source, inclusi patch di Playwright, strumenti nativi CDP e build personalizzate di browser. Il ruolo di giudice esterno è stato ricoperto da deviceandbrowserinfo.com con la sua analisi JSON e il flag isBot; il punteggio del probe interno ha coinciso con il verdetto esterno al 92% su 13 strumenti testati.

La differenza chiave: il primo benchmark colpisce obiettivi di produzione live (cioè la combinazione "fingerprint + reputazione IP + comportamento del sito"), il secondo colpisce il fingerprinting JS puro in condizioni di laboratorio, escludendo consapevolmente il fingerprinting di trasporto, i tempi e la reputazione dei proxy. Da qui la divergenza nei leader.

Tabella: chi ha superato quanti obiettivi live

I risultati di Patterson sui 31 obiettivi (OK — accesso ottenuto, gated — sfida interstiziale, blocked — rifiuto severo senza possibilità di superare il controllo):

• nodriver (Chrome 148 di sistema) — 28 OK, 3 gated, 0 blocked
• CloakBrowser (Chromium 145) — 26 OK, 3 gated, 2 blocked
• curl_cffi 0.15.0 (impersonate=chrome, solo HTTP) — 26 OK, 3 gated, 2 blocked
• Patchright (channel=chrome, Chrome 148) — 25 OK, 3 gated, 3 blocked
• Camoufox (Firefox 135.0.1-beta.24) — 25 OK, 3 gated, 3 blocked
• vanilla Playwright (Chromium 147) — 24 OK, 2 gated, 5 blocked
• rebrowser-playwright (Chromium 136) — 24 OK, 2 gated, 5 blocked

La differenza tra il leader e il Playwright di base è di sole cinque mete. Ma ciò che è interessante non è il divario, ma dove precisamente si verifica. Su canadianinsider e glassdoor è passato solo nodriver (su glassdoor — attraverso una sfida morbida), su google-search sono stati esclusi vanilla, Patchright e rebrowser, su stackoverflow — vanilla e rebrowser. E su dev.to l'unico strumento bloccato è stato Camoufox.

Nel secondo benchmark con un arbitro rigoroso, solo quattro strumenti su quindici sono passati: camoufox, CloakBrowser, RayoBrowse e scrapling. Lo stesso Camoufox, che nel test live ha avuto problemi con dev.to, in laboratorio per il fingerprinting JS si è trovato tra i migliori — perché lì non è stata considerata la reputazione accumulata della firma Firefox su un IP.

Perché nodriver vince: non è una questione di mascheramento, ma di protocollo

I patch come playwright-stealth e rebrowser modificano i segnali statici: proprietà navigator, canvas, WebGL, geometria dello schermo. Il problema è che i moderni anti-bot non catturano solo questi, ma il fatto stesso di controllare il browser tramite il protocollo di automazione. Il vettore classico è la chiamata a Runtime.enable: la maggior parte delle librerie lo attiva all'inizio, e Cloudflare con DataDome lo registrano.

nodriver controlla Chrome direttamente tramite CDP, senza strato intermedio di Playwright: non c'è shim nel control-plane, non c'è sequenza iniziale Runtime.enable, non ci sono middleware tra il codice Python e il processo del browser. Decide autonomamente quali comandi CDP inviare. Da qui il numero zero di blocchi severi: riparare le impronte statiche è inutile se sei visibile attraverso il canale di controllo.

Camoufox segue un percorso diverso: è un fork di Firefox con modifiche a livello C, che sostituisce l'API di fingerprinting con valori casuali concordati. È forte contro il fingerprinting complesso, ma paga in velocità e risorse, e la firma Firefox è di per sé evidente rispetto al predominante Chrome. Patchright è il compromesso più accurato: una sostituzione drop-in di Playwright, patcha le perdite CDP all'avvio e può gestire Chrome 148 di sistema senza riscrivere il codice.

Lo strato che nessun benchmark misura

Qui inizia la parte più importante per la pratica. Entrambi gli studi specificano chiaramente il confine della loro copertura, e le formulazioni sono quasi identiche. L'autore del secondo benchmark scrive che la reputazione del proxy riguarda il tuo IP, non il tuo strumento, e quindi l'ha esclusa. L'autore del primo spiega lo stesso da un'altra prospettiva: il proxy riscrive solo l'IP di origine, mentre il handshake TLS, l'ordine dei frame HTTP/2, le proprietà navigator e l'impronta canvas nascono su una macchina reale.

Ne deriva una conclusione che vale la pena scrivere separatamente: lo strumento e l'IP coprono strati di rilevamento diversi, e uno non compensa l'altro. La panoramica dei browser stealth di Scrapfly del 10 agosto 2026 formula la metà simmetrica: un fingerprinting pulito sopra un IP di data center contrassegnato riceve comunque un blocco.

Inoltre, una combinazione sfortunata funziona peggio della sua assenza. Patterson descrive questo come un requisito di coerenza del profilo: un server Linux dietro un proxy residenziale pubblicizza comunque un browser con una forma Linux — e proprio questa contraddizione viene segnalata dai gate. L'effetto opposto è documentato: nei test esterni, la rotazione degli IP ha migliorato notevolmente i risultati di Camoufox, senza permettere alla reputazione di accumularsi contro la firma riconoscibile di Firefox durante i tentativi ripetuti dallo stesso indirizzo.

Il significato pratico è semplice. Se esegui test da un indirizzo statico, stai misurando non tanto lo strumento, quanto l'usura di un IP specifico. Gli obiettivi live come le piattaforme protette da Cloudflare valutano l'intera combinazione, quindi per scenari con molte sessioni ha senso distribuirli su indirizzi diversi — proxy residenziali per obiettivi dove è importante la reputazione "domestica" dell'indirizzo, e data center dove il controllo dell'IP è più morbido, ma la velocità è critica. Come viene rilevato lo strato di trasporto stesso e perché curl_cffi è entrato nella tabella insieme ai browser è spiegato nel materiale su come bypassare il fingerprint TLS/JA4 tramite curl_cffi.

La longevità del progetto è più importante della posizione nella tabella

Qualsiasi strumento stealth open source prima o poi "perde colpi" e richiede riparazioni, e il costo di supporto su larga scala cresce rapidamente. Pertanto, l'attività del repository è un criterio di scelta altrettanto importante quanto la percentuale di successo. Dati di GitHub al 13 agosto 2026:

• Camoufox — 11.057 stelle, ultimo push il 12.08.2026: il progetto è vivo e aggiornato.
• Scrapling — 73.705 stelle, push il 11.08.2026: il più popolare della lista, ma è un framework di scraping completo, non solo uno strato stealth.
• Patchright — 4.076 stelle, push il 05.08.2026: attivamente supportato, come conferma anche il benchmark.
• nodriver — 4.649 stelle, ma ultimo push il 13.05.2026. Il vincitore del test live si aggiorna meno frequentemente degli altri.
• zendriver — 1.390 stelle, push il 09.08.2026. Fork di nodriver, creato per risolvere bug critici e accettare contributi dalla comunità.

A parte — riguardo agli outsider. rebrowser-playwright nel benchmark utilizzava Chromium 136, e il suo ultimo commit risale a settembre 2024: di fatto il progetto è abbandonato, da qui i cinque blocchi severi. CloakBrowser ha avuto una build per macOS ferma da due mesi su Chromium 145, mentre le versioni per Linux e Windows venivano aggiornate — una versione obsoleta del motore diventa di per sé un segnale.

Cosa scegliere per il tuo scenario

1. Hai già scritto codice su Playwright. Prendi Patchright: è una sostituzione dell'importazione, non una riscrittura del progetto, ed è l'unico dei fork patch che il benchmark definisce attivamente supportato. Tieni presente che su google-search non ha superato il test.
2. Hai bisogno del massimo su obiettivi severi sotto Cloudflare/DataDome. nodriver o il suo fork live zendriver — l'unico approccio che elimina l'impronta del protocollo di automazione. Prezzo — solo Chrome, API più giovane e meno comfort pronti.
3. La principale minaccia è il fingerprinting JS profondo. Camoufox con sostituzione a livello di motore. Assolutamente in coppia con la rotazione degli indirizzi: senza di essa, la firma Firefox accumula rapidamente una reputazione negativa su un IP.
4. I dati vengono inviati tramite HTTP senza esecuzione di JS. curl_cffi con impersonate — 26 su 31 obiettivi senza browser. L'opzione più economica in termini di risorse, se la pagina non richiede rendering.
5. Ti vendono "98% di successo". Questi numeri (ad esempio, quelli dichiarati da Scrapfly 98% contro Cloudflare Bot Management e 96% contro DataDome) sono una metrica del fornitore sulla sua infrastruttura e sul suo pool di indirizzi, non un benchmark riproducibile. Confrontarla direttamente con tabelle aperte non è corretto.

E un principio generale: verifica lo strumento sui tuoi siti target, non su una tabella riassuntiva di qualcun altro. La differenza di cinque obiettivi tra il leader e il Playwright di base significa che per buona parte delle attività la differenza non si manifesterà affatto — ma su un particolare glassdoor o canadianinsider la scelta deciderà tutto. Quali sistemi sono in esecuzione sui tuoi obiettivi e come differisce la loro logica è utile comprenderlo in anticipo: di questo si parla in confronto degli anti-bot 2026: Cloudflare, DataDome, Akamai, Kasada.

Conclusione

Su obiettivi live nel 2026, nodriver è in testa — zero blocchi severi su 31 obiettivi, perché non lascia traccia del protocollo di automazione. Per il fingerprinting JS puro in laboratorio, davanti ci sono Camoufox, CloakBrowser, RayoBrowse e scrapling. Non c'è contraddizione qui: i benchmark misurano strati diversi, e la tua scelta dipende da quale strato ti colpisce.

Ma nessuno di questi strumenti risolve completamente il problema. Il browser stealth si occupa di come appare la tua macchina; il proxy — di dove sei arrivato e cosa ha fatto prima questo indirizzo. I gate catturano sia una cattiva impronta che un IP sporco, e il contrasto tra di loro è ciò che colpisce di più. Raccogli la combinazione in modo consapevole: strumento per tipo di rilevamento, indirizzo per tipo di obiettivo, e verifica il risultato sulle tue pagine, non su uno screenshot di qualcun altro.