Virix LabsHuman Browser by Virix Labs
A2A ProtocolPricingBlogCompareDocs
AccountRefundPrivacyTerms
Get Started →
19 февраля 2026 · 14 мин чтения · Playwright · Cloudflare · обход антибота

Playwright обход Cloudflare 2026: 3 метода, которые ещё работают (9 — нет)

Короткий ответ (последнее обновление — 27 мая 2026, эпоха Cloudflare ML v9 / Web Bot Auth):

Сразу к таблице с 12 методами · скачать сырые результаты в JSON · рабочий код на Playwright · FAQ

Браузер проходит сквозь облако с прорезью — иллюстрация обхода Cloudflare

Содержание

  1. Почему Playwright блокируется в 2026 (Cloudflare ML v9)
  2. 3 вещи, которые Cloudflare реально проверяет
  3. Что изменилось с января по май 2026
  4. Результаты теста 12 методов (таблица, ради которой вы и пришли) · сырой JSON
  5. Резидентный IP + реальный отпечаток — единственный стек, который выживает
  6. Рабочий код на Playwright + Human Browser
  7. Когда использовать Web Bot Auth, а когда стелс
  8. FAQ

Если вы пытались парсить сайт под Cloudflare с помощью Playwright в 2026 году — вы знаете эту боль. Скрипт открывает страницу, и через 2 секунды вы смотрите на челлендж или 403. Сколько бы stealth-плагинов вы ни накрутили — голый Playwright с дата-центрового IP не имеет ни шанса против актуального бот-стека Cloudflare.

В этом гайде — ровно то, что проверяет Cloudflare, почему большинство обходов в 2026 фейлятся, и три метода, которые ещё работают. Начнём с главной цифры: мы прогнали один и тот же скрипт через 12 вариаций стека в мае 2026. Девять падают на первом же запросе. Три проходят. Полная таблица — ниже; сырой JSON доступен для скачивания — цитируйте, форкайте, повторяйте тест.

Почему Playwright блокируется Cloudflare в 2026

Бот-защита Cloudflare серьёзно эволюционировала. В 2023 хватало playwright-extra со stealth-плагином. В 2024 нужно было прятать automation-флаги. В 2026 Cloudflare крутит мультисигнальный анализ, который невозможно обойти одним трюком.

Корень проблемы: IP-адрес — это первое, что проверяет Cloudflare. Ещё до того, как оценится отпечаток браузера, Cloudflare уже знает, принадлежит ли ваш IP дата-центру, VPN-провайдеру или настоящему домашнему интернету.

Типичное заблуждение: что добавления stealth-плагинов в Playwright достаточно для обхода Cloudflare. В 2026 году stealth-плагины сами по себе бесполезны, потому что база репутации IP у Cloudflare моментально флагает все крупные облачные провайдеры (AWS, DigitalOcean, Hetzner, OVH) — независимо от вашего отпечатка.

Когда вы запускаете Playwright с VPS, трафик идёт из ASN (Autonomous System Number), который Cloudflare знает как дата-центр. Risk-score автоматически выставляется на максимум, и никакая подмена отпечатка вас уже не спасёт.

Коды ошибок Cloudflare, которые вы поймаете (1020, 1010, 403, «Just a moment…»)

Когда Playwright блокируется, Cloudflare обычно прямо говорит — как именно. Коды, которые вы чаще всего вставляете в Google:

Все четыре случая сводятся к одним и тем же двум сигналам — репутация IP и консистентность отпечатка — а именно их Cloudflare и оценивает на следующем шаге.

3 вещи, которые Cloudflare реально проверяет

Понимание того, что именно оценивает Cloudflare, помогает понять, почему большинство попыток обхода фейлится. Вот реальный стек сигналов в 2026:

1. Репутация IP и классификация ASN

У Cloudflare огромная база классификации IP-адресов. Каждый запрос моментально тегается: резидентный ISP, мобильный оператор, VPN, хостинг, прокси-сервис, выходной узел Tor. Дата-центровые IP от AWS, DigitalOcean, Hetzner и им подобных автоматически получают высокий бот-скор. Обойти эту проверку невозможно — она происходит ещё до того, как запустится ваш JavaScript.

2. Консистентность отпечатка браузера

Cloudflare запускает JS-челлендж, который проверяет десятки свойств браузера: navigator.webdriver, canvas-отпечаток, WebGL-рендерер, audio context, перечисление шрифтов, список плагинов, разрешение экрана, смещение часового пояса, настройки языка, hardware concurrency. У headless-Chromium на Linux-сервере есть характерные подписи, отличающие его от настоящего iPhone или Windows-PC.

3. Поведенческий анализ

Анализируется всё: паттерны движения мыши, поведение скролла, время на странице, скорость взаимодействия, паттерны кликов. Боты обычно реагируют на страницу мгновенно и механически. У реальных пользователей есть разброс — они делают паузы, скроллят с разной скоростью, ведут курсор по кривым траекториям.

Ключевая мысль: надо закрыть все три проверки одновременно. Починили IP, но не отпечаток — блок. Починили отпечаток, но не IP — блок. Починили оба, но двигаетесь как робот — рано или поздно блок. Именно поэтому существует комплексное решение вроде Human Browser.

Что изменилось с января по май 2026

Если последний раз вы дебажили блок Cloudflare в 2025, под вами сдвинулась плитка. Три конкретных изменения первой половины 2026 объясняют, почему скрипты, работавшие в ноябре, в мае возвращают HTTP 403.

1. ML-модель v9 — новый дефолт (раскатано на все зоны в Q1 2026)

ML-модель бот-скоринга v9 от Cloudflare теперь стоит по умолчанию на каждой новой зоне и на существующих, подписанных на автообновления. v9 агрессивнее, чем v8, взвешивает TLS-отпечаток (JA4), порядок HTTP/2-фреймов и поведенческую телеметрию. На практике: стандартное TLS-рукопожатие Playwright на Linux теперь торчит даже при идеальном отпечатке браузера. Либо нужен браузер с TLS-стеком, совпадающим с реальным устройством (этим занимаются Patchright и headful Chrome в Human Browser), либо вы соглашаетесь на повышенный процент блокировок в Enterprise-защищённых зонах.

2. Anomaly detection: нижняя граница бот-скора — 2

Согласно ченджлогу бот-решений Cloudflare, события, помеченные движком anomaly detection, теперь фиксируются на бот-скоре 2 (шкала 1–99, ниже = больше похоже на бота). Это жёстко: автоматизации, которые раньше еле-еле проскакивали, теперь жёстко падают на Enterprise-правилах, которые блокируют всё < 30. Лечится только поведением — замедлиться, скроллить, варьировать таймлайн и никогда не выпускать всплеск запросов с одной и той же резидентной сессии.

3. Web Bot Auth: открывается легитимная полоса (май 2026)

В мае 2026 Cloudflare анонсировал Web Bot Auth — стандарт криптографической подписи трафика ИИ-агентов, при котором верифицированные агенты проходят без челленджа. Anchor Browser выпустил нативную поддержку в ту же неделю и описал опыт так: «Стабильные сессии без CAPTCHA, меньше flaky-ретраев», — а Browserbase запустил свою интеграцию по тому же анонсу. Для легитимных ИИ-агентов это реально хорошая новость — но это opt-in со стороны владельца сайта, и длинный хвост сайтов под Cloudflare (а именно к ним вы и хотите ходить) его не включил. На ближайшие 12–18 месяцев реалистичный план такой: используйте Web Bot Auth там, где можете, а резидент + отпечаток — везде остальное. Дерево решений разобрано ниже, в разделе про Web Bot Auth.

Щит, в который попало двенадцать стрел, одна прошла насквозь — результаты теста 12 методов обхода

Результаты теста 12 методов — внутренний тест, май 2026

Мы прогнали один и тот же Playwright-скрипт через 12 вариаций стека по 8 сайтам под Cloudflare (4 Pro, 3 Business, 1 Enterprise — внутренний тест, май 2026, ~500 запросов на вариант). «Pass» = HTTP 200 с реальным контентом страницы, а не челленджем или 403. Цифры показательны для снимка на конкретный день; на ваших целях разброс будет.

Сырые данные: полная разбивка по запросам доступна как cf-bypass-12-methods.json — { method, ip_type, fingerprint, behavior, cf_pro_pass_pct, cf_enterprise_pass_pct, verdict } на строку. Цитируйте, форкайте, прогоняйте сами.

#МетодIPОтпечатокПоведениеCF ProCF Ent.Вердикт
1Голый PlaywrightVPSДефолтный ChromiumНет~2%0%Мертво
2playwright-extra + stealthVPSПропатченныйНет~5%0%Мертво
3undetected-chromedriverVPSПропатченныйНет~8%0%Мертво
4FlareSolverr (через прокси)VPSAuto-solveНет~3%0%Мертво
5curl-impersonate солоVPSJA4 окН/Д~6%0%Без JS
6Puppeteer + DC-проксиDC-проксиДефолтныйНет~4%0%Мертво
7VPN + PlaywrightVPN (зафлажен)ДефолтныйНет~10%0%Флаки
8Только резидентный IPРезидентныйДефолтныйНет~35%~5%Частично
9Резидентный + стелс-отпечатокРезидентныйПропатченныйНет~70%~25%Нормально
10Резидентный + iPhone-отпечаток + человеческий вводРезидентныйiPhone 15 ProБезье + джиттер~95%~75%Работает
11Human Browser (managed)РезидентныйiPhone 15 ProManaged~97%~78%Работает
12Web Bot Auth (подписанный агент)Н/ДН/ДН/Д100% на opt-in0% на не-opt-inГде поддерживается

Методы 10, 11, 12 — те самые три, что ещё работают в мае 2026. Метод 10 — это DIY-стек; метод 11 — managed-эквивалент на humanbrowser.cloud; метод 12 — легитимная полоса, работает только на сайтах, которые явно включили верификацию через Cloudflare Web Bot Auth. Полная разбивка по целям: cf-bypass-12-methods.json.

Трёхслойная луковица: сеть, отпечаток, поведение — структура решения для обхода
Никакого магического флага не существует. Существует только стек.

Решение: резидентный IP + реальный отпечаток

Единственный подход, который стабильно работает в 2026, — это резидентный прокси (реальное домашнее подключение к интернету) в связке с отпечатком браузера, совпадающим с тем, что выдаёт реальное устройство.

Вот как выглядит полное решение:

Human Browser упаковывает всё это в один npm-пакет и один вызов функции. Давайте пройдёмся по настройке.

Пошагово: настройка Human Browser с Playwright

Шаг 1: Установите пакет

npm install @virixlabs/humanbrowser

Шаг 2: Получите доступ к резидентному прокси

Вам нужен доступ к резидентному прокси. Попробуйте за $1 (одна реальная задача) на humanbrowser.cloud/install — pay-as-you-go: $0.10/час времени браузера + $0.02 за шаг агента с ИИ + $4/ГБ резидентного прокси, без подписки. Вы получите логин и пароль для прокси. Если хотите более глубокий разбор самой обвязки прокси, смотрите наш полный гайд по Playwright с резидентным прокси и сравнительный бенчмарк лучшие резидентные прокси для парсинга 2026.

Шаг 3: Задайте переменные окружения

# Residential proxy credentials from humanbrowser.cloud
PROXY_USER=your_proxy_username
PROXY_PASS=your_proxy_password
PROXY_HOST=brd.superproxy.io
PROXY_PORT=22225

Шаг 4: Используйте launchHuman() в скрипте

const { launchHuman } = require('@virixlabs/humanbrowser');

async function scrapeCloudflareProtectedSite() {
  const { browser, page, humanScroll, humanRead } = await launchHuman();

  // Navigate — residential IP + real fingerprint passes Cloudflare
  await page.goto('https://example-cloudflare-protected.com', {
    waitUntil: 'domcontentloaded',
    timeout: 30000
  });

  // Simulate reading — critical for behavioral checks
  await humanRead(page);

  // Natural scroll behavior
  await humanScroll(page, 'down');

  // Extract your data
  const content = await page.evaluate(() => document.body.innerText);

  await browser.close();
  return content;
}

scrapeCloudflareProtectedSite().then(console.log).catch(console.error);

Полная рабочая реализация

Вот законченный production-ready пример для парсинга сайта под Cloudflare:

const { launchHuman } = require('@virixlabs/humanbrowser');

async function bypassCloudflare(url) {
  const { browser, page, humanRead, humanScroll, sleep } = await launchHuman({
    mobile: true,   // iPhone 15 Pro fingerprint
    country: 'gb'   // UK residential IP
  });

  try {
    console.log('Navigating with residential IP...');
    await page.goto(url, { waitUntil: 'networkidle' });

    // Wait for Cloudflare challenge to resolve (if any)
    await sleep(2000);

    // Check if we passed the challenge
    const title = await page.title();
    if (title.includes('Just a moment') || title.includes('Attention Required')) {
      // Still on challenge — wait longer
      await sleep(5000);
    }

    // Behave like a human reader
    await humanRead(page);
    await humanScroll(page, 'down');
    await humanRead(page);

    const data = await page.evaluate(() => ({
      title: document.title,
      text: document.body.innerText.substring(0, 2000)
    }));

    console.log('Success:', data.title);
    return data;

  } finally {
    await browser.close();
  }
}

// Usage
bypassCloudflare('https://your-target-site.com')
  .then(d => console.log(d))
  .catch(e => console.error('Failed:', e.message));

Если вы вшиваете обход Cloudflare в автономного агента, а не в одноразовый скрипт, тот же стек «резидентный IP + отпечаток» напрямую ложится в паттерны из нашего гайда по автоматизации браузера для ИИ-агентов.

Официальная сургучная печать с надписью Web Bot Auth

Когда использовать Web Bot Auth, а когда стелс

Web Bot Auth — это первая реальная попытка вежливого протокола между ИИ-агентами и владельцами сайтов. Ваш агент подписывает каждый HTTP-запрос приватным ключом; Cloudflare сверяет подпись с публичным реестром; верифицированные агенты проходят без челленджа. Референсная имплементация открыта. Anchor описывает пользовательский опыт после внедрения так: «Стабильные сессии без CAPTCHA, меньше flaky-ретраев» — ровно та головная боль, которую трафик верифицированных агентов и должен снимать.

Используйте Web Bot Auth, когда:

Оставайтесь на связке «резидентный + отпечаток», когда:

Human Browser поддерживает обе полосы: резидентный IP + настоящий отпечаток десктопного Chrome по дефолту (iPhone-профиль по запросу) и managed-профиль подписанного агента на A2A-эндпоинте для flow'ов с верифицированными агентами.

Обходите Cloudflare, не собирая стек руками. Pay-as-you-go: $0.10/час времени браузера, $4/ГБ резидентного прокси, $0.005 за капчу, $0.02 за шаг агента с ИИ включительно. Без подписки. Неизрасходованный баланс не сгорает. 75 стран резидентных IP. Попробуйте за $1 — одна реальная задача; дальше пополнение от $5.

A2A-эндпоинт для агентов: https://agent.humanbrowser.cloud/a2a

Попробовать за $1 — humanbrowser.cloud/install

Или почитайте сравнение: Human Browser vs Browserbase (2026)

FAQ

Блокирует ли Cloudflare Playwright в 2026 году?

Да. Голый Playwright, запущенный с дата-центрового IP, блокируется бот-детектором Cloudflare за секунды. Чтобы стабильно проходить, нужны одновременно резидентный IP и реалистичный отпечаток браузера.

Какой самый надёжный способ обойти Cloudflare через Playwright в 2026 году?

Самый надёжный по нашему тесту 12 методов в мае 2026: резидентный IP + отпечаток iPhone 15 Pro + ввод в человеческом темпе (кривые Безье для мыши, 60–220 мс на клавишу). Около 95% прохождения на Cloudflare Pro и около 75% на Enterprise. Human Browser упаковывает всё это в один npm install по цене $0.10/час + $0.02 за шаг агента + $4/ГБ по факту использования.

Помогает ли playwright-extra со stealth-плагином обойти Cloudflare?

В 2026 году одного playwright-extra stealth уже мало. Cloudflare адаптировался и теперь требует ещё и реальный резидентный IP в дополнение к подмене отпечатка. Stealth-плагин закрывает часть проверок, но не справляется с проверкой репутации IP.

Работает ли ещё playwright-stealth в мае 2026?

Сам по себе — нет. В нашем тесте 12 методов playwright-extra + stealth на VPS-IP проходит около 5% челленджей Cloudflare Pro и 0% Enterprise. С резидентным IP под ним показатель прыгает до ~70% / ~25%, но управляемый iPhone-отпечаток с человеческим темпом поведения всё равно его обыгрывает. Полный разбор того, какие отказы стелс-библиотек теперь жёстко фейлятся — отпечаточная поверхность, утечки CDP, TLS, поведение — читайте в статье playwright-stealth не работает в 2026.

Что такое Cloudflare Web Bot Auth и стоит ли его использовать?

Web Bot Auth — это стандарт Cloudflare, запущенный в мае 2026 года, который позволяет ИИ-агентам криптографически подписывать свои HTTP-запросы, чтобы легитимные агенты проходили без челленджа. Anchor Browser и Browserbase выпустили поддержку в ту же неделю. Используйте его, когда целевой сайт подключился (пока это короткий список); в остальных случаях работайте через резидент + отпечаток.

Какой самый дешёвый резидентный прокси, который обходит Cloudflare?

Decodo / Smartproxy по $8.5/ГБ — самый дешёвый отдельный вариант с пригодными показателями обхода; NodeMaven по $7/ГБ имеет меньший, но более чистый пул. Если вам в принципе не хочется заводить отдельный прокси-аккаунт, Human Browser встроенно даёт резидентные IP в 75 странах по $4/ГБ pay-as-you-go и с уже вшитым подходящим отпечатком браузера — полное сравнение в статье лучшие резидентные прокси для веб-скрейпинга 2026.

Чем Human Browser отличается от Browserbase или Anchor Browser?

Browserbase и Anchor Browser — это облачный Chromium с биллингом по сессиям и стелс-слоями; оба добавили поддержку Cloudflare Web Bot Auth в мае 2026. Human Browser — pay-as-you-go: $0.10/час времени браузера + $4/ГБ резидентного прокси + $0.005 за капчу + $0.02 за шаг агента с ИИ включительно — без подписки, неизрасходованный баланс не сгорает. Развёрнутое сравнение: Human Browser vs Browserbase.

Сколько стоит обход Cloudflare с резидентным прокси?

Human Browser — pay-as-you-go: $0.10/час времени браузера и $4/ГБ резидентного прокси, плюс $0.005 за капчу и $0.02 за шаг агента с ИИ включительно. Подписки нет, неизрасходованный баланс не сгорает. Попробуйте за $1 — одна реальная задача; дальше пополнение от $5.

Можно ли запустить это на VPS за $5 без сервера отображения?

Да. Human Browser использует Playwright в headless-режиме — никакой display-сервер, VNC или X11 не нужны. Он работает на любом Linux-сервере, включая самые дешёвые VPS за $5/мес у Hetzner или Contabo. Важен резидентный exit, а не то, где живёт ваш control plane.

Похожие статьи

Top up — $20

Loading secure checkout…

More coins →