Вы получили 403 — и первое, что обычно делают, это лезут менять прокси. Иногда помогает, чаще нет. Потому что «антибот» — это не одна технология, а как минимум шесть разных систем с разной механикой детекта, разной строгостью и разными требованиями к вашему трафику. То, что спасает от Imperva, бесполезно против Kasada. Разбираем, кто есть кто в 2026 году, как опознать вендора за 30 секунд и что конкретно менять в прокси-стеке под каждого.
Почему «просто сменить прокси» перестало работать
Классическая логика была простой: заблокировали IP — берём другой. Она работала, пока детект строился на репутации адреса. Сегодня IP — лишь один слой из пяти, и у разных вендоров его вес принципиально разный.
Общий набор сигналов, который так или иначе используют все:
- TLS-фингерпринт (JA3/JA4) — порядок шифронаборов и расширений в handshake;
- порядок и регистр HTTP-заголовков — у Python-клиента он не такой, как у Chrome;
- репутация IP — ASN, принадлежность к дата-центру, история адреса;
- браузерный фингерпринт — canvas, WebGL, аппаратные сенсоры;
- поведенческая биометрия — траектории мыши, скорость скролла, паттерн ввода.
Ключевой вывод, который повторяют все исследователи темы: важна согласованность сигналов. Сочетание User-Agent от Chrome с TLS-отпечатком Python помечает вас ботом у любого из вендоров — независимо от того, насколько чистый у вас IP. Резидентный адрес не «перекрывает» дырявый браузерный слой, и наоборот.
Шаг первый: опознать вендора по следам
Прежде чем что-то менять, посмотрите заголовки ответа и cookies. Каждая система оставляет узнаваемую подпись — это самый быстрый способ понять, с чем вы имеете дело.
- Cloudflare — заголовок CF-RAY, cookies cf_clearance и __cf_bm, подгружается challenge.js; в новых сборках встречается заголовок cf-mitigated.
- DataDome — cookies datadome и _dd_s, скрипт tags.js.
- Akamai — cookie _abck, референс-заголовок akamai-grn.
- PerimeterX (HUMAN Security) — cookies _px3, _pxvid, _pxhd, скрипты px.js или d.js.
- Kasada — заголовки семейства x-kpsdk-* (ct — challenge token, dv — device validation, cd — challenge data, v — версия), cookie KP_UIDz, скрипты ips.js или p.js.
- Imperva (Incapsula) — cookies incap_ses_*, visid_incap_*, reese84.
- AWS WAF — cookie aws-waf-token, вызов эндпоинта /challenge.js.
- F5 / Shape Security — cookies с префиксом TS (например, TS01a2b3c4).
Отдельный маркер — сам характер отказа. Kasada отвечает «голым» 429 без тела ответа: если вы видите 403 или 429 вместе с заголовками x-kpsdk-*, вопрос закрыт. DataDome чаще отдаёт 403 с CAPTCHA-страницей. Cloudflare — интерактивный челлендж или Turnstile.
Чем системы реально отличаются по механике
Подпись говорит «кто», но тактику определяет «как». Архитектурно вендоры расходятся сильно.
Cloudflare — глобальные модели на краю сети
Работает на уровне CDN-эджа: решение принимается до того, как запрос дойдёт до приложения. Модели глобальные, обученные на трафике всей сети — примерно пятой части сайтов интернета. Плюс для вас: поведение предсказуемо, опыт с одного сайта переносится на другой. Минус: сеть видит вашу подсеть на тысячах ресурсов одновременно, репутация накапливается быстро.
DataDome — персональная модель под каждый сайт
Ключевое отличие: платформа держит около 85 000 клиентских ML-моделей, обученных на трафике конкретного сайта, и обрабатывает свыше 5 триллионов сигналов в сутки с временем ответа менее 2 миллисекунд. Практическое следствие простое и неприятное: каждый защищённый сайт — отдельная задача. Рабочая связка для Etsy не переносится на другой ресурс под тем же вендором. В 2025 добавился интент-анализ (оценивается цель визита, а не только факт автоматизации) и отдельная категоризация LLM-краулеров.
Akamai — акцент на TLS и телеметрию
Проверяет сигналы handshake и валидирует поведенческую телеметрию на своей стороне через cookie _abck. По независимым замерам 2026 года Akamai и Imperva челленджат дефолтные автоматизированные клиенты реже, чем Cloudflare с DataDome — но это не значит «слабее»: там, где настроено агрессивно, обход требует корректного TLS-слоя, а не смены IP.
PerimeterX / HUMAN — сетевая репутация
Репутация клиента распространяется по всей сети вендора. Спалились на одном сайте — приехали на другой уже с меткой. Типичные площадки: e-commerce и недвижимость.
Kasada — активный допрос среды
Самая жёсткая из массовых систем. Не просто собирает отпечатки, а активно интеррогирует окружение: инспектирует клиентский код через Function.prototype.toString(), применяет анти-деобфускацию собственных скриптов. По сводным оценкам сложности получает крайние отметки и по изощрённости детекта, и по трудоёмкости самостоятельного обхода. Ставят её на тикетинг и недвижимость.
Imperva (Incapsula) — WAF-логика по умолчанию
Отталкивается от IP и WAF-правил; поведенческие слои подключаются на более высоких настройках. Классические площадки — корпоративные сайты и job-борды.
Кто строже: цифры вместо ощущений
Есть независимый бенчмарк Scrapeway: восемь сервисов против одиннадцати целей, более 1000 запросов на сервис на цель, два отчёта в месяц. Цели закреплены за вендорами — Indeed под Cloudflare, Etsy под DataDome, Walmart и Zillow под PerimeterX, Realtor под Kasada.
Что показывают замеры 2026 года:
- Высокая строгость — Cloudflare, DataDome, PerimeterX, Kasada: подавляющее большинство дефолтных, ненастроенных автоматизированных клиентов получают челлендж.
- Умеренная — Akamai и Imperva: челленджат дефолтных клиентов заметно реже.
- Против Cloudflare-целей лишь малая доля ненастроенных клиентов стабильно получала контент страницы.
Для сравнения: у профильных сервисов-обходчиков успех против этих целей держится в диапазоне 94–100% в зависимости от вендора — то есть задача решаемая, но не дефолтным клиентом и не одной сменой IP.
Что менять в прокси-стеке под каждого
Теперь практика. Ниже — не рецепт обхода, а логика подбора инфраструктуры под тип детекта.
- Imperva и AWS WAF. Вес IP высокий, поведенческие слои часто выключены. Здесь датацентр-прокси ещё живут — при условии чистых подсетей и вменяемого рейта. Начинайте отсюда, это дешевле всего по трафику.
- Akamai. Прокси решает меньше, чем TLS-слой. Сначала приведите в порядок handshake и порядок заголовков, и только потом поднимайте класс IP. Смена прокси при кривом JA4-отпечатке не даст ничего.
- Cloudflare. Глобальная репутация означает, что подсеть выгорает быстро и сразу везде. Нужны резидентные прокси с широким пулом и разумной ротацией: не «новый IP на каждый запрос», а удержание сессии на время логической задачи, иначе рассыпается cf_clearance.
- DataDome. Модель обучена на трафике конкретного сайта, поэтому важнее всего однородность вашего поведения именно на нём. Резидентный IP даёт положительный трест-скор, потому что реальные люди ходят с резидентных подключений — но сам по себе, без управления фингерпринтом браузера, не гарантирует ничего. Настройки под один сайт не переносите на другой вслепую. Подробности по конкретике этого вендора — в разборе прокси под DataDome.
- PerimeterX / HUMAN. Раз репутация сетевая, изоляция важнее объёма: разные проекты — разные пулы, чтобы метка с одной площадки не тянулась на другие.
- Kasada. Датацентр-адреса отсекаются на входе. Рабочий минимум — резидентные, а лучше мобильные прокси: за одним мобильным IP через CGNAT сидят сотни живых абонентов, и системе дороже банить такой адрес. Плюс обязательное соответствие User-Agent актуальной версии браузера — устаревшая строка палит связку мгновенно.
Главная ошибка: разнородный стек
Повторим то, с чего начали, потому что это причина большинства «необъяснимых» банов. Все шесть систем ловят рассинхрон между слоями. Резидентный IP из Германии + системный часовой пояс UTC + TLS-отпечаток curl + свежий Chrome в User-Agent — это не «почти прошло», это готовый профиль бота. Прокси отвечает ровно за один слой из пяти; остальные четыре живут в вашем клиенте.
Отсюда практический порядок работы: сначала определите вендора по сигнатуре, затем оцените, какой слой у вас слабее всего, и чините его — а не тот, который проще поменять. Если после приведения стека в порядок цели остаются недоступными, вопрос переходит в плоскость «строить самому или платить за готовое» — эту развилку мы разбирали в материале прокси против scraping API и веб-анблокеров.
Коротко
Единого «антибота» не существует, и универсального обхода тоже — ни одна техника не работает против всех восьми систем сразу. Опознайте вендора по cookies и заголовкам (это 30 секунд), поймите его механику — вес IP у Imperva, TLS у Akamai, глобальная репутация у Cloudflare, персональная модель сайта у DataDome, сетевая метка у PerimeterX, активный допрос среды у Kasada — и подбирайте тип прокси под неё, а не наугад. Датацентр там, где смотрят на IP формально; резидентные там, где считают трест; мобильные там, где сеть жёстко отсекает всё серверное. И следите за согласованностью всех слоёв: именно на ней сыпется большинство настроенных вроде бы правильно проектов.