TCP/IP Proksi İzleri: Antibotun Sizi Ele Vermediğinden Nasıl Emin Olursunuz

Windows ve Chrome için anti-detect tarayıcınızı ayarladınız, temiz bir IP buldunuz, zaman dilimini ve dili ayarladınız, ancak site hâlâ CAPTCHA koyuyor veya hesabınızı kesiyor. Sık karşılaşılan bir neden, tarayıcının altında, TCP/IP seviyesinde yatıyor. Sunucu, bağlantının ilk paketini (SYN) görüyor ve alanlarından hangi işletim sisteminin bu paketi gönderdiğini anlayabiliyor. Eğer bu bir Linux proxy sunucusuysa ve User-Agent Windows olarak bildiriliyorsa, anti-bot bir çelişki alıyor ve bu başlıklarla düzeltilemiyor.

Konu artık egzotik olmaktan çıktı. 13 Ekim 2026 tarihinde, Proxyway'a göre, Britanyalı sağlayıcı Byteful, veri merkezi ve ISP proxy'leri için TCP/IP parmak izinin değiştirilmesini açık beta sürümünde etkinleştirdi: Windows, macOS, Linux, Android ve iOS gibi kendilerini gösterebiliyorlar. Proxyway'ın açıklaması basit: anti-bot sistemleri giderek daha fazla TCP/IP parmak izine bakıyor. Aşağıda bu kontrolün nasıl çalıştığını, proxy'nizi beş dakikada nasıl kontrol edeceğinizi ve uyumsuzluk durumunda ne yapacağınızı inceleyeceğiz.

TCP/IP parmak izi nedir ve neden proxy bunu değiştirir

Her işletim sistemi SYN paketini kendine özgü bir şekilde toplar: kendi başlangıç TTL'si, TCP penceresi boyutu, pencere ölçekleme faktörü, MSS ve en önemlisi, TCP seçeneklerinin seti ve sırası. Pasif parmak izi (burada klasik araç p0f, modern alternatifler Zardaxt ve JA4T olarak adlandırılır) bu alanları okur ve işletim sistemini tahmin eder, hiçbir şey göndermeden.

Proxy üzerinden çalışanlar için anahtar nokta: site, ona en son bağlantıyı açan makinenin TCP yığınına bakar. Normal bir proxy (HTTP CONNECT veya SOCKS5) bağlantınızı alır ve siteye kendi adıyla yeni bir bağlantı açar. Bu nedenle, paketteki TTL ve TCP seçenekleri proxy'ye aittir, bilgisayarınıza değil. User-Agent, TLS parmak izi veya başlıkları değiştirmek mümkündür, ancak SYN, bağlantı kurduğunuz makinenin çekirdeği tarafından zaten toplanmıştır.

İşletim sistemlerine göre tipik değerler

Scrapfly analizinden ve pydoll belgelerinden alınan referanslar (belirli çekirdek sürümleri ve ağlarda değerler farklılık gösterebilir):

• Windows 10/11: başlangıç TTL 128, pencere 64240–65535, seçenek sırası MSS, NOP, WSCALE, NOP, NOP, SACK (varsayılan olarak zaman damgası olmadan).
• Linux: TTL 64, 3.x+ çekirdeklerinde pencere 29200 (bazı 5.x/6.x çekirdeklerinde 64240), seçenek sırası MSS, SACK, TIMESTAMP, NOP, WSCALE.
• macOS ve iOS: TTL 64, pencere 65535, seçenek sırası MSS, NOP, WSCALE, NOP, NOP, TIMESTAMP, SACK, EOL.
• Android: TTL 64, seçenek sırası Linux'a oldukça benzer, çünkü çekirdeği Linux'tur.

Buradan ana tuzak: neredeyse tüm veri merkezi proxy'leri Linux üzerinde çalışır. "Windows + Chrome" profili, böyle bir proxy üzerinde Linux izlerini taşır ve bu çelişki en çok göze çarpar.

Anti-botlar uyumsuzluğu ne kadar doğru yakalar

Açık proje Zardaxt ile ilgili veriler mevcut: bu, p0f ve satori.py'nin yeniden yazılmış halidir ve özellikle HTTP ve SOCKS proxy'lerini arar, yani tarayıcının kendisini başka bir makine olarak gösterdiği yerler. 21 Eylül 2026 tarihli derleme için README verilerine göre (1,453 parmak izinden yaklaşık 23 bin oturum):

• 0,8 eşik değerine sahip model, proxy üzerinden %94,4 bağlantıyı yakalıyor ve yalnızca %0,1 doğrudan bağlantıyı yanlış işaretliyor;
• Tarayıcı Windows bildiriyorsa, proxy %96 oranında yakalanıyor, Mac ise %99 oranında;
• Zayıf nokta Android ve Linux'tur: bunlar aynı sınıfı paylaşıyor, bu nedenle bu tür yeniden ileticiler %74 oranında yakalanıyor;
• Tünel VPN'ler modeli neredeyse hiç görmüyor (%6,1): tünel üzerinden siteyle konuşan, kendi cihazınızın yığınıdır.

En belirgin şekilde işletim sistemi, TCP seçeneklerinin sırasını verir: projenin faktör analizinde bu alan, işletim sistemini %99,1 oranında tahmin eder. DF bayrağı neredeyse işe yaramaz (%0,362). Bu, bir araştırmacının açık bir aracıdır, ticari anti-botların detayları yayınlanmaz, ancak prensip aynıdır: SYN'deki işletim sistemini User-Agent'tan gelen işletim sistemi ile karşılaştırmak.

Proxy'nizi nasıl kontrol edersiniz: adım adım

1. Proxy olmadan "referans" alın. Normal bir tarayıcıda browserleaks.com/tcp adresini açın. TTL, MSS, seçenek sırası, p0f tahmini ve işletim sistemi için Zardaxt değerlendirmelerini not edin. Bu sizin gerçek yığınınızdır.
2. Proxy'yi konsoldan kontrol edin. Açık bir sınıflandırıcıya proxy üzerinden bir istek gönderin:
   curl -x http://LOGIN:PASS@HOST:PORT "https://tcpip.incolumitas.com/classify?by_ip=1"
   Cevapta Linux, Windows, Mac OS ve iOS için puanların yer aldığı avg_score_os_class alanı olacaktır. Burada kazanan, proxy'nin çıkış düğümünün işletim sistemidir, bilgisayarınızın değil.
3. Anti-detect profilinde tekrarlayın. Artık proxy ile birlikte browserleaks.com/tcp veya proxydetect.live/tcpip.html adresini açın. Şimdi iki şeyi karşılaştırın: TCP/IP'den gelen işletim sistemi ve profilin User-Agent'ından gelen işletim sistemi.
4. MSS'ye bakın. Temiz bir Ethernet hattı MSS 1460 verir. 1380 (WireGuard), 1360 (IPsec) veya 1240 gibi değerler, yolda bir tünel olduğunu gösterir. Bu başlı başına bir yasak değildir, mobil ağlar da genellikle daha düşük MSS verir, ancak diğer belirtilerle birlikte şüpheleri artırır.
5. Rotasyonda 5-10 ölçüm yapın. Yerel ve mobil proxy'lerde her yeni IP, farklı bir cihazla başka bir işletim sistemi olabilir. Tek bir ölçüm hiçbir şey söylemez, dağılıma bakın.
6. Tabloya alın: proxy türü → TCP'deki işletim sistemi → profilin işletim sistemi → uyum evet/hayır. Bu, hangi profili hangi proxy'de çalıştıracağınızın cevabıdır.

Tek bir TTL kanıt olarak yeterli değildir: görünür değer her yönlendiricide azalır ve site yalnızca en yakın değeri (64 veya 128) başlangıç olarak değerlendirir. Alanların birleşimi, öncelikle seçenek sırası belirleyicidir.

Uyumsuzluk durumunda ne yapmalısınız

1. Profili proxy'ye göre ayarlayın, tam tersi değil

En ucuz yol: profilin işletim sistemini, çıkış düğümünün gösterdiği ile eşleşecek şekilde seçmektir. Eğer proxy Linux veriyorsa, Windows olduğunu siteye kanıtlamaktan ziyade Linux profili başlatmak daha dürüsttür. Profilin işletim sisteminin önemli olmadığı görevler için (açık sayfaları tarama, fiyat izleme) bu sorun tamamen çözüyor.

2. İhtiyaç duyulan işletim sistemine göre proxy türünü seçin

• Veri merkezi proxy'leri neredeyse her zaman bulut ASN'inden bir Linux sunucusu gösterir. Bu, Linux istemcisinden (Python, Go, sunucuda curl) veri çekmek için normaldir: yığın ve scriptinizin User-Agent'ı uyumlu. "Windows kullanıcısı" profilleri için bu zayıf bir nokta. Veri merkezi proxy'lerini hız ve gigabayt başına fiyatın önemli olduğu yerlerden alın, "canlı insan" efsanesinden değil.
• Yerel proxy'ler gerçek ev cihazları ve geçitleri üzerinden çıkış yapar, bu nedenle site gerçek kullanıcı düğümünün yığınını görür. Belirli bir IP'deki işletim sistemi önceden garanti edilmez, ancak bu, canlı bir cihazın yığınıdır, bulut sunucusu değil. Çoklu hesaplama ve karmaşık anti-botlar için yerel proxy'ler en doğal tabloyu sunar, rotasyondaki işletim sisteminin dağılımını kontrol ederseniz.
• Mobil proxy'ler Android veya iOS'a benzer yollar gösterir. Mobil profiller (sosyal medya, uygulamalar, sitelerin mobil versiyonu) için bu, tüm katmanlarda mükemmel bir eşleşmedir. Gerçek bir mobil IP'yi sahte olandan ayırt etmenin yollarını mobil proxy kontrolü talimatımızda okuyun. Bu tür görevler için mobil 4G/5G proxy'ler uygundur.

3. TCP katmanını TLS katmanı ile karıştırmayın

curl-impersonate veya curl_cffi gibi araçlar, TLS el sıkışmasını ve HTTP/2'yi Chrome için taklit eder, ancak TCP yığınına dokunmaz: SYN hâlâ bağlantıdan gelen makinenin çekirdeği tarafından toplanır. İyi bir TLS parmak izi, çelişkili TCP'nin üzerinde kurtarmaz, her iki katmana da ihtiyaç vardır. TLS kısmını nasıl hizalayacağınız, curl_cffi ile JA4'ü aşma konulu makalede ele alınmıştır.

4. Proxy tarafında işletim sisteminin değiştirilmesi ve tüneller

Sağlayıcılar, sunucularında TCP/IP parmak izinin değiştirilmesini satmaya başlıyor, yukarıda Byteful örneği var, ancak bu hâlâ nadir ve beta. Ayrıca ters bir yol da var: tünel VPN modeli Zardaxt neredeyse hiç yeniden iletici olarak yakalanmıyor, çünkü site kendi yığınızı görüyor. Dezavantajları da biliniyor: azalmış MSS tüneli gösterir ve VPN'nin IP'si genellikle barındırma olarak veritabanlarında yer alır.

Sık yapılan hatalar

• Yalnızca IP kontrol araçları ile kontrol etmek. IP itibar hizmetleri adres ve ASN'ye bakar, SYN'e değil. Linux yığınına sahip temiz bir IP, Windows profili altında kontrol aracını geçer ve anti-botta başarısız olur.
• Rotasyonda tek bir ölçüme dayanarak sonuç çıkarmak. Yerel havuzda bir sonraki IP farklı bir işletim sistemi olabilir.
• Başlıklarla düzeltmeye çalışmak. Hiçbir başlık, çekirdek gönderildikten sonra SYN'i yeniden yazamaz.
• Linux proxy'lerinde Android profillerini göz ardı etmek. Açık modeller için bu belirsizlik bölgesidir (%74 yakalama), ancak ticari anti-botlar zamanlamalar ve mobil ASN gibi başka sinyaller ekleyebilir. Mobil profil, mobil IP üzerinde daha doğal görünmektedir.

Sonuç

TCP/IP parmak izi, tarayıcıdan düzeltilemeyen bir katmandır: onu, siteye bağlantı açan makine belirler. Kontrol beş dakikanızı alır: proxy olmadan ve proxy ile browserleaks.com/tcp, artı açık bir sınıflandırıcıya curl. Sonrasında basit bir kural: profilin işletim sistemi, çıkış düğümünün işletim sistemi ile eşleşmelidir. Veri merkezi Linux scriptleri için uygundur, yerel proxy'ler "canlı" masaüstü profilleri için, mobil proxy'ler mobil senaryolar için uygundur. Proxy türünü profilinize göre seçin, rotasyonda 5-10 ölçüm yapın ve anti-bot en güvenilir ipuçlarından birini kaybedecektir.