13 Temmuz 2026 tarihinde Cloudflare, tüm müşterilere Precursor adlı bir istemci motorunu sunmaya başladı; bu motor, yalnızca ayrı bir isteği veya CAPTCHA geçişini değerlendirmekle kalmaz, aynı zamanda tüm oturum içindeki davranışı değerlendirir. Cloudflare CTO'su Dane Knecht'in ifadesi kısa ve nettir: "Kapıda sadece bir kimlik kontrolü yapmak yerine, tüm ziyaret boyunca davranışa bakıyoruz" — girişte geçiş belgesini kontrol etmek yerine, tüm ziyaret süresince davranışa bakıyoruz.
Tarayıcıyı otomatikleştirenler için — scraper'lar, çoklu hesap kullanımı, SMM otomasyonu, AI ajanları — bu, risk ölçüm biriminin değişmesi anlamına geliyor. Önceden birim istekti: zorluğu geçtin, cf_clearance aldın, çalışıyorsun. Artık birim oturum ve bu oturum, değerlendirilmeyi biriktirir ve kontrolü geçtiğiniz andan sonra herhangi bir anda "bozulabilir".
Cloudflare neyi başlattı?
Precursor, Cloudflare'ın sayfalara kendi ağı aracılığıyla entegre ettiği bir betiktir. Panelde bir anahtar ile etkinleştirilir (Security → Settings → Precursor), site kodunda değişiklik gerektirmez, tüm alanda çalışır; davranış, Precursor Kuralları aracılığıyla belirli olarak ayarlanır. Bu, Turnstile'ın bir alternatifi olarak değil, ona ek olarak konumlandırılmaktadır: Turnstile tek seferlik bir kontrol, Precursor ise sürekli bir kontrol.
Betik, Cloudflare'ın kendi tanımına göre şunları toplar:
- imleç hareketi — yollar, hız, yayların karakteri;
- kaydırma ritmi;
- yazma hızı — zamanlamalar ve ritim, ancak basılan tuşlar değil;
- panoya kopyalama etkinliği;
- öğelerin odak değişimi ve sayfa/sekme görünürlüğü.
Sonra ilginç olan başlıyor. Cloudflare, bu verilerde "iz" aramak yerine insanın fiziği ve fizyolojisi ile ilgilendiğini açıkça belirtmektedir: bilek hareketi ile sınırlı fare hareketlerinin yayları, otomasyonun doğrusal hareketleri yerine; ekranda uyarının ortaya çıkması ile tepki arasındaki ölçülebilir bilişsel gecikmeler; elin mikrotitremeleri — doğal gürültü olarak hareket yolunda.
İkinci katman — içsel çelişkiler üzerine çapraz kontroller. Sayfa gizliyken imleç hareket ediyor mu? Klavye olayları geliyor, ancak hiçbir metin alanı odakta değil mi? Her sinyal ayrı ayrı normal görünüyor, ancak birlikte canlı bir insanın tutarlı bir resmini oluşturamıyor — ve bu, herhangi bir tıklamanın analizinden daha ucuz bir şekilde yakalanıyor.
Üçüncü ve otomasyon için en rahatsız edici nokta: değerlendirme oturum boyunca birikir ve sayfanın yeniden yüklenmesiyle sıfırlanmaz. Klasik "blok aldım — F5 / yeni sekme" yöntemi, durum sıfırlama olmaktan çıkıyor. Sürekli kontrol sonuçları, o meşhur cf_clearance'ı günceller ve Cloudflare, daha önce verilmiş bir clearance onayının oturum ortasında azaltılabileceğini veya iptal edilebileceğini açıkça belirtmektedir; ayrıca ek bir zorluk da tetikleyebilir.
İki mod — ve bunu önceden bilmek neden önemlidir
- Minimize Friction (varsayılan) — arka planda, araya giren bir kontrol olmadan. Kullanıcı hiçbir şey görmez, ancak "oturum geçerli" garantisi daha zayıftır.
- Maximize Security (Cloudflare tarafından önerilen) — geçerli bir oturum oluşturan hafif bir araya giren zorluk, kullanıcı deneyimini bilerek kötüleştirir.
Pratik sonuç: belirli bir sitedeki koruma davranışı artık dışarıdan göremediğiniz bir ayara bağlıdır. Aynı betik, aynı proxy ve aynı site, sahibi mod değiştirene kadar farklı davranabilir. Tetiklemeler, site sahibine Security → Analytics → Traffic → Bot analysis altında görünür — bot skoru dağılımı ve WAF eşleşmeleri ile aynı sırada.
Ölçek: neden bu "bir başka anti-bot" değil
Bu haberin sıradan bir sürümden daha önemli olmasının nedeni olan bağlam. Cloudflare, günde 1 trilyondan fazla isteği işlerken, Turnstile günde neredeyse 3 milyar kez çalışmaktadır. Şirketin tahminlerine göre, otomatik trafik ilk kez insan trafiğini aşmış ve toplam web isteklerinin yaklaşık %57'sini oluşturmuştur. Davranışsal katmanın tek bir anahtar ile etkinleştirilmesi, böyle bir temelde, oturum davranış tespitinin çalıştığı internetin payının ani bir artış göstermesi anlamına gelir — sitelerin tarafında tek bir taahhüt olmadan.
Ve belirtilen hedef — bugün kullanılan şeydir: "JavaScript'i çalıştıran, gerçek bir tarayıcı ortamında çalışan ve şüphe uyandırmadan ayrı CAPTCHA'ları geçen gelişmiş otomasyon". Yani stealth yamanmaları olan Playwright/Puppeteer, anti-tespit tarayıcıları ve ajan tarayıcılar — tam olarak Precursor'un açıkça tanımladığı hedef.
Adalet adına: Cloudflare, niceliksel verileri yayınlamadı — ne doğruluk, ne yanlış pozitif oranları, ne de tarayıcıda sürekli izleme ile ilgili ek yük hakkında. Şu anda bunlar, bağımsız olarak ölçülmemiş iddia edilen yeteneklerdir. İki haftalık dağıtım sürecinde kitlesel yanlış bloklamalarla ilgili kamuya açık bir şikayet dalgası da görünmüyor.
Pratikte bu ne anlama geliyor
1. IP kalitesi artık "yeterli bir koşul" değil — ama gerekli olmaya devam ediyor
Çekici bir sonuç olan "davranışsal tespit olduğuna göre, proxy'ler artık çözüm değil" yanlıştır. Precursor, önceki katmanların üzerinde çalışır: IP itibarı, TLS/HTTP parmak izi, bot skoru. Veri merkezi IP'si, ifşa edilmiş bir alt ağdan yüksek bir bot skoru alır ve fare analizi yapılmadan önce zorlu bir kontrol moduna geçer. Davranış, giriş filtresinin yerini alan bir ek sınavdır: temiz rezidans proxy'leri veya mobil proxy'ler ile canlı ASN, ikinci sınava ulaşma şansı verir.
2. Oturum — yeni hijyen nesnesi
Önceden tipik hata "bir IP'den çok fazla istek" şeklindeydi. Artık buna "bir oturum içinde insan gibi görünmeyen çok fazla etkinlik" ekleniyor. Buradan pratik çıkarımlar:
- Bir tarayıcı bağlamını yüzlerce görev için yeniden kullanmayın. Uzun bir oturum, herhangi bir anomali birikmeye yeterli uzunlukta bir davranış dizisi oluşturur. Daha kısa bir oturum — puanlama için daha az malzeme.
- "Oturum ↔ IP" bağlamını sabit tutun. Oturum ortasında çıkış IP'sinin değiştirilmesi belirgin bir çelişkidir; giriş senaryoları için sticky oturumlar gereklidir, görev için yaşam süresi altında, her istekte agresif bir döngü yerine.
- Profilleri karıştırmayın. Bir hesap — bir tutarlı set: tarayıcı profili, IP, saat dilimi, dil, davranışsal desen.
3. Sentetik davranış daha dürüst olmalı — ya da hiç yapılmamalı
Naif "insan" taklitleri (düğmenin merkezine doğru doğrusal hareket, 100 ms'lik düzgün duraklamalar, yüklemeden hemen sonra tıklama) çapraz kontroller altında sizin aleyhinize çalışır: sinyal ekler, azaltmaz. Senaryo insan taklitini gerektirmiyorsa — güvenilir olan, kötü davranış üretmektense hiç davranış üretmemektir. Bu katman hakkında daha derin bir incelemeyi davranışsal biyometri ve proxy'ler konulu makalede ele aldık.
4. API uç noktaları ve tarayıcı dışı istemciler — ayrı bir hikaye
Precursor, JavaScript'in çalıştırılmasını gerektirir. Tarayıcı olmayan istemciler — curl, mobil arka uçlar — ve korumalı uç noktalara yapılan XHR/fetch istekleri, oturum kimlik bilgilerini doğru bir şekilde taşımak zorundadır, yani cf_clearance. Pratikte bu, önce tarayıcının geçerli bir oturum kurması ve ardından "hızlı" isteklerin onun çerezleriyle ve aynı ağ bağlamında (aynı IP, uyumlu TLS profili) gitmesi anlamına gelir. Tarayıcı oturumu ile HTTP istemcisi arasındaki ayrım, aranan o içsel çelişkidir.
5. Veri toplama noktaları kayıyor
Site Maximize Security'yi etkinleştirdiğinde, ucuz başsız toplama belirgin şekilde daha pahalı hale gelecektir. Akıllı bir tepki — her ne pahasına olursa olsun "akıllı taklit" artışı değil, kaynağı gözden geçirmektir: platformun resmi API'si, ortak besleme, mobil uç noktalar, kamu veri setleri. Tamamen tarayıcı tabanlı yol, verilerin başka türlü elde edilemeyeceği yerlerde bırakılmalıdır.
Bu nereye gidiyor
Precursor, Cloudflare'ın son bir yıldaki hattına mantıklı bir şekilde entegre olmaktadır: varsayılan olarak AI tarayıcıların engellenmesi, granüler kurallarla AI Crawl Control, içeriğe erişimi ücretli hale getirmeye yönelik bir girişim olan Pay Per Crawl ve 15 Eylül 2026'dan itibaren, reklam içeren sayfalarda karışık kullanımlı AI tarayıcıların varsayılan olarak engellenmesi. Genel yön: site, "giriş anında insan mısın" değil, "ziyaret boyunca kim olduğunu ve neden geldiğini" bilmek istiyor.
Otomasyon pazarı için bu, yavaş ama tek yönlü bir kaymayı ifade eder: bir "insan benzeri" oturumun maliyeti artıyor, bir isteğin maliyeti ana metrik olmaktan çıkıyor. Daha az ama daha doğru toplayanlar kazanıyor: dikkatli oturumlar, görev için temiz IP'ler, uyumlu parmak izleri — ve tarayıcı yolunun gerçekten ne kadar değerli olduğuna dair makul bir değerlendirme.
Kısa
- 13 Temmuz 2026'dan itibaren Cloudflare, Precursor'ü sunuyor — kodda değişiklik gerektirmeden tek bir anahtar ile etkinleştirilen oturum davranış tespiti.
- Sinyaller: imleç, kaydırma, yazma ritmi (içerik olmadan), panoya kopyalama, odak ve görünürlük; ayrıca çelişkiler üzerine çapraz kontroller.
- Değerlendirme oturum boyunca birikir; sayfanın yeniden yüklenmesi imzayı sıfırlamaz, clearance ziyaretin ortasında iptal edilebilir.
- Proxy'ler "iptal edilmedi": IP katmanı giriş filtresi olarak kalmıştır, davranış ise ikinci bir sınavdır.
- Cloudflare henüz doğruluk ve yanlış pozitif oranlarıyla ilgili niceliksel veriler yayınlamadı — gerçek sertlik hakkında sonuç çıkarmak için erken.