Автоматизация в антидетекте ломается не в коде, а на стыке browser fingerprint и runtime-событий

Автоматизация в антидетекте ломается не в коде, а на стыке browser fingerprint и runtime-событий

Puppeteer и Playwright управляют Chromium через DevTools Protocol, но антифрод чаще смотрит не на сам факт автоклика, а на рассинхрон между API: navigator.webdriver, permissions, media devices, WebGL, WebRTC, тайминги ввода и структура TLS Client Hello. Разберем энтропию данного параметра: если стек браузера, профиль и скрипт живут разными жизнями, детект собирается как пазл.

Практически полезный минимум:
— запускать профиль с уже согласованным canvas/audio/webgl, а не «докручивать» после старта;
— избегать резких патчей через page.evaluate, если можно подменить окружение до загрузки страницы;
— синхронизировать User-Agent, Client Hints, viewport, timezone, locale и языки;
— не забывать про input latency: автозаполнение без человеческой дисперсии видно в логах событий.

Под капотом Chromium API важно не «скрыть» автоматизацию, а сделать ее консистентной. Puppeteer удобен для низкоуровневых хуков и контроля сетевого стека, Playwright — для изоляции контекстов и мультибраузерной логики. Но в обоих случаях инъекция JS-кода должна быть частью общей модели отпечатка, а не отдельным трюком.

Если цель — пройти проверку, тестируйте связку через CreepJS, BrowserLeaks и свои дампы трафика: там быстро видно, где профиль выдает себя по мелочи.