账户被封禁并不是因为您使用了代理——平台非常清楚部分流量是通过它们进行的。 封禁发生在IP地址与其他十几个参数不匹配时：时区、系统语言、浏览器指纹、鼠标行为。我们分析所有技术迹象，Facebook Ads、TikTok Ads和Instagram如何识别替换——以及在实践中该如何应对。
为什么平台能看到代理，即使IP是“干净的”
许多套利者认为，关键是购买“干净”的IP，不在黑名单上。但实际上，Facebook、TikTok和Google的反欺诈系统几乎不关注单个地址的声誉——它们会根据30-50个浏览器、系统和网络栈参数构建数字指纹，并相互比较以检查一致性。如果IP显示“德国”，而系统时区显示“莫斯科”，系统就会检测到异常并提高风险评分。一个异常很少导致封禁，但三到四个同时出现几乎可以肯定会将账户送去审核或封锁。
重要的是要理解：代理检测并不是“发现代理服务器本身”。平台在技术上无法100%证明您使用了代理。它是基于概率的：指纹中的不一致越多，风险评估就越高。因此，任务不是“隐藏代理”，而是消除所有揭示位置和环境替换的迹象。
DNS泄漏和WebRTC——暴露真实IP的主要原因
新手最常见的技术错误是通过WebRTC泄漏。这是浏览器用于视频通话和点对点连接的技术，它直接请求系统的真实IP地址，绕过代理隧道。即使您在设置选项卡中配置了SOCKS5代理，WebRTC也可能通过STUN请求“探测”您的家庭或工作IP，平台将在同一会话中看到两个不同的地址——这是一种即时的红旗。
DNS请求也存在同样的问题：如果浏览器通过系统DNS提供商解析域名，而不是通过代理服务器的DNS，平台的日志中可能会记录您真实提供商的地理标记。解决方案是使用具有强制DNS通过代理和内置WebRTC泄漏阻止的反检测浏览器。在Dolphin Anty、AdsPower和Octo Browser中，可以在配置文件设置中完成：需要启用“防止WebRTC泄漏”或类似选项，并在开始使用账户之前在专门的泄漏检测服务上检查结果。
时区、语言和IP地理位置的不匹配
这是最简单被检测到但常常被忽视的参数之一。如果代理提供来自巴西的IP，而系统设置显示时区为UTC+3，界面语言为俄语——对于反欺诈算法来说，这是明显的替换信号。Facebook Ads在启动新地理位置的广告时对此参数特别敏感：系统会核对IP、浏览器语言（Accept-Language）、JavaScript时区（Intl.DateTimeFormat）甚至键盘语言（如果可以访问这些数据）。
优质的反检测浏览器在创建配置文件时会自动调整时区和语言以匹配地理代理。在AdsPound和GoLogin中，这在插入代理时会自动发生：系统根据IP确定国家，并建议同步时区。在启动之前请手动检查这一点——自动化有时会出错，尤其是在使用多区域IP池的代理时。
TLS/JA3连接指纹
较少被人知晓但至关重要的迹象是TLS握手指纹，也称为JA3哈希。当浏览器与服务器建立安全连接时，它会按特定顺序传递一组支持的加密算法、扩展和协议版本。该集合对于特定版本的浏览器和操作系统是唯一的。问题在于，一些廉价的代理解决方案或过时的反检测浏览器会将User-Agent替换为“最新的Chrome”，但TLS指纹仍然来自旧版本的库——平台会看到声明的浏览器与真实的TLS客户端之间的不同步。
这是反欺诈系统用于识别自动化工具和修改流量的代理服务器的迹象之一，即使其他参数看起来完美。为了保护，使用现代版本的反检测浏览器至关重要，这些浏览器将TLS指纹与声明的Chrome或Firefox版本同步，并且不要在代理的质量上节省——廉价的数据中心代理通常通过中间层代理流量，从而扭曲TLS握手。
HTTP头和User-Agent
请求头是最明显但仍然是常见错误的来源。User-Agent与真实浏览器引擎版本的不匹配、缺少标准的Accept-Encoding或Sec-CH-UA头、非标准的头顺序——所有这些都会形成与普通用户流量不同的指纹。许多自动脚本和廉价的多账户解决方案使用简化的头集合，这立即将流量标识为自动化。
优质的反检测浏览器会自动生成完整且一致的头集合，重复特定操作系统上真实浏览器的结构。在通过扩展或脚本进行手动设置时，重要的是要将头与基准浏览器进行比较——使用内置的开发者工具（DevTools → Network）并将您的配置文件请求与同一设备上普通Chrome的请求进行比较。
TCP/IP栈指纹（TTL、窗口、ASN）
更深层次的检测是分析TCP/IP数据包的参数：TTL（生存时间）、接收窗口大小、MSS选项。这些值在不同的操作系统（Windows、Linux、Android）和网络设备类型之间有所不同。如果您的配置文件声明为Windows浏览器，而数据包来自Linux服务器特有的TTL（这在廉价的数据中心代理上经常发生，通常是在Ubuntu服务器上部署），反欺诈系统会记录平台的不匹配。
相关参数是ASN（自治系统编号），它确定IP属于哪个提供商。平台维护与托管提供商（AWS、DigitalOcean、OVH）相关的ASN数据库，以及家庭和移动提供商的ASN。如果ASN标记为“托管”，则账户的风险评分会自动提高，即使其他参数完美。这也是为什么对于敏感任务选择 住宅代理的原因之一——它们的ASN属于普通互联网提供商，而不是数据中心。
Canvas、WebGL和音频指纹
这三种浏览器技术被平台用于构建与IP地址完全无关的独特设备指纹。Canvas指纹是通过GPU绘制不可见图像形成的——不同的显卡和驱动程序在像素级别上产生略微不同的结果。WebGL指纹以类似方式工作，但通过3D渲染，而音频指纹则通过Web Audio API分析声音处理的特征。
当同一个Canvas/WebGL指纹在20个不同账户上重复出现，声称来自不同设备和IP时，就会出现问题。平台会立即将这些配置文件关联到一个集群——这被称为链式封禁，当一个账户被封禁时，所有相关账户都会被封禁。反检测浏览器通过噪声随机化解决了这个问题：在每次启动配置文件时，Canvas和WebGL渲染中会添加少量可控噪声，使指纹对每个配置文件都是独特的，但在同一配置文件的会话之间保持稳定。
行为模式：速度和行为的模式性
技术上完美的浏览器指纹无法拯救您，如果在平台内的行为看起来像机器人。 Facebook和TikTok分析表单填写的速度、光标移动轨迹、点击之间的暂停、页面滚动。如果账户注册、绑定卡片和启动第一场广告活动在90秒内连续进行而没有暂停——这就是一个统计异常，典型的自动化特征，而不是活生生的人。
在通过反检测浏览器手动养成账户时，重要的是要模拟自然行为：在操作之间做暂停，在启动广告之前通过观看内容来预热账户，不要在所有配置文件上同时执行相同的操作序列。对于管理20-30个客户账户的SMM代理商来说，合理分配活动时间至关重要——不要在同一分钟内从同一台计算机登录所有配置文件。
IP类型：数据中心、住宅或移动
最后一个也是最重要的迹象是IP地址的性质。平台根据类型对IP进行分类：数据中心、住宅（家庭）或移动（蜂窝运营商）。数据中心IP便宜且速度快，但由于属于托管基础设施而本质上具有更高的风险评分——普通用户不会从AWS服务器登录Instagram。
住宅IP属于真实的家庭提供商，在视觉上与普通用户的流量没有区别——这是大多数多账户任务的最佳价格和质量平衡。移动代理更进一步：IP属于蜂窝运营商，并且通过NAT同时被成千上万的真实用户使用，这使得基于IP的封禁对于平台几乎毫无意义。与 移动代理合作的套利者注意到，在预热新的Facebook Ads和TikTok Ads广告账户的阶段，封禁的比例明显较低。
表格：每种类型的代理遮蔽哪些迹象
| 代理类型 | ASN声誉 | 启动时的封禁风险 | 更适合的任务 |
|---|---|---|---|
| 数据中心代理 | 低（托管ASN） | 高 | 解析、价格监控 |
| 住宅代理 | 高（家庭提供商） | 低 | Instagram、SMM、多账户管理 |
| 移动代理 | 非常高（蜂窝运营商） | 最低 | Facebook Ads、TikTok Ads、预热 |
反检测浏览器和代理的设置检查清单
在Dolphin Anty、AdsPower、Multilogin或GoLogin中启动账户之前，请按照此列表进行检查——它涵盖了所有列出的检测迹象：
- 通过内置的配置文件测试检查没有WebRTC泄漏真实IP
- 系统时区与地理代理同步（不是手动“凭感觉”，而是通过自动识别）
- 浏览器界面语言和Accept-Language与IP国家相符
- User-Agent与配置文件中声明的Chrome/Firefox的最新版本相符
- Canvas/WebGL/音频噪声已启用，并且对每个配置文件都是独特的
- 代理的ASN已检查——不属于已知的托管提供商列表
- 新账户的初始操作分散在时间上，没有瞬间的操作序列
- 对于Facebook Ads和TikTok Ads广告账户，使用稳定的sticky-IP，在同一会话中没有轮换
结论
代理检测并不是一次检查，而是十到十二个迹象的总和：从WebRTC泄漏和时区不同步到TLS指纹和ASN类型。手动关闭所有这些几乎是不可能的——这就是为什么“反检测浏览器加优质代理”的组合仍然是套利、SMM代理和多账户管理的有效标准。
如果您正在养成Facebook Ads或TikTok Ads广告账户，请注意 移动代理——由于属于蜂窝运营商，它们提供最低的风险评分。对于管理多个Instagram和其他社交媒体配置文件，住宅代理更为合适——它们在价格、速度和匿名性之间保持平衡，没有多余的替换迹象。