Антибот ломается не на CAPTCHA, а на плохом маршруте до неё

Антибот ломается не на CAPTCHA, а на плохом маршруте до неё

Большинство команд смотрит только на форму: Turnstile, hCaptcha, reCAPTCHA. Но фильтрация начинается раньше — по IP, ASN, cookies, TLS-отпечатку, поведению мыши и скорости переходов. Если на входе стоит жёсткий скоринг, до капчи дойдёт только часть трафика, а остальным покажут пустую страницу, редирект или тихий бан.

Что проверять в первую очередь:
— совпадает ли прокси-тип с географией и типом девайса;
— выглядит ли браузер как живой: WebGL, fonts, canvas, аудио, timezone;
— есть ли связка между кликами, скроллом и временем до формы;
— сохраняются ли cookies и localStorage между шагами.

На стороне защиты хорошо работает не один барьер, а цепочка. Сначала дешёвый фильтр по IP и частоте, потом поведенческий сигнал, и только потом challenge. На стороне арба ошибка обычно одна: пытаются «пройти капчу», не восстановив весь профиль сессии. В итоге токен есть, а аккаунт всё равно режется на следующем шаге.

Если задача — повысить проход, думайте не про обход, а про правдоподобие сессии: стабильный fingerprint, естественные паузы, консистентный прокси и отсутствие резких переключений. Чем меньше разрывов между слоями, тем меньше причин у антибота считать трафик синтетикой.