User-Agent и мобильный fingerprint: где палится трафик до загрузки страницы

User-Agent и мобильный fingerprint: где палится трафик до загрузки страницы

Анализ логов показывает: бан чаще прилетает не по одному параметру, а по рассинхрону. User-Agent говорит «iPhone», а набор шрифтов, touch-events, viewport и DPR собирается как у дешевого эмулятора. Для антифрода этого достаточно — цепочка прохождения запроса ломается еще на этапе первичного профилирования.

Проверять нужно не строку UA, а связку:
— platform, language, timezone, screen metrics;
— наличие мобильных API: touch, orientation, deviceMemory;
— congruence между UA, IP-гео и Accept-Language;
— стабильность fingerprint между сессиями. Если ID прыгает без причины, это уже сигнал.

Разберем техническую составляющую реализации. Браузерный профиль должен быть цельным: один тип устройства, один класс разрешения, один таймзонный пояс, один язык интерфейса. Нельзя брать Android-UA и подсовывать desktop viewport, либо имитировать Safari на iOS без корректного WebKit-поведения. Любая «экономия на профиле» читается по JS-отпечатку быстрее, чем по HTTP-заголовкам.

Проверка цепочки прохождения запроса: открываете target через чистый профиль, сравниваете headers, navigator-свойства и canvas/WebGL-отпечаток. Если хотя бы один слой выбивается из модели устройства — клоакинг не спасает, он только маскирует проблему до первой глубокой проверки.

Конфиг готов, можно деплоить: UA всегда подбирается вместе с мобильным окружением, а не отдельно. Статистика верифицирована, расхождения исключены.