Cloudflare Turnstile İç Mekanizmaları Nedir?
Cloudflare Turnstile İç Mekanizmaları, Cloudflare Bot Management'ın görünmez meydan okuma katmanında çalışan bir dizi istemci tarafı JavaScript, proof-of-work ve tarayıcı API probundan oluşur. 2026 itibarıyla Turnstile, yalnızca bir "görünmez captcha" değil; TLS, HTTP/2, tarayıcı parmak izi ve IP itibarını birleştiren çok sinyalli bir güven skoru (trust score) üretir. Bu skora bağlı olarak Cloudflare, cf_clearance adlı bir tanımlama bilgisi basar ve bu tanımlama bilgisi User-Agent + IP çiftine sıkıca bağlanır.
Yasal bağlamı baştan netleştirelim: Bu yazı, halka açık verilere erişim, yetkili otomasyon, güvenlik araştırması ve izinli penetrasyon testi bağlamlarını hedefler. ABD Computer Fraud and Abuse Act (CFAA) ve GDPR kapsamında, erişim yetkisi olmayan sistemlere izinsiz girişi, kimlik bilgisi istismarını veya kullanıcı verilerini izinsiz toplamayı kesinlikle desteklemiyoruz. Turnstile iç mekanizmalarını anlamak, savunma tarafı için olduğu kadar yasal veri toplama yapan mühendisler için de kritik bir yetkinliktir.
Hedef anahtar kelimeler: cloudflare turnstile bypass, cf_clearance cookie, turnstile internals ve cloudflare bot management ja4.
Teknik Bağlam: Neden Bu Sorun Var?
Cloudflare, 2022'de CAPTCHA'yı "kullanıcı deneyimini bozan, erişilebilirlik sorunu olan ve artan otomasyon karşısında zayıflayan" bir mekanizma olarak tanımladı ve Turnstile'ı duyurdu. Temel fikir: kullanıcının bir bulmaca çözmesini istemek yerine, tarayıcının kendisini bir bulmaca olarak kullanmak. Bu, istemcinin donanımını, ağ yığınını ve JavaScript yürütme ortamını doğrulayan görünmez problarla yapılır.
Sorun şu: bir HTTP istemcisi, User-Agent başlığında "Chrome" diyebilir, ancak TLS el sıkışması Python'un ssl modülünün JA3/JA4 parmak izini taşıyorsa, Cloudflare bunu milisaniyeler içinde yakalar. Bu nedenle cloudflare turnstile bypass denildiğinde asıl mesele, Turnstile widget'ını atlatmak değil; tüm sinyal kümesini tutarlı şekilde taklit eden, yasal bir tarayıcı bağlantısı kurmaktır.
Turnstile Gerçekte Ne Çalıştırır?
Managed-Challenge JavaScript
Turnstile, sayfaya yüklenen bir JavaScript paketi çalıştırır. Bu paket, sırasıyla şu probları yürütür:
- Proof-of-Work (PoW): İstemciden, belirli bir zorluk hedefine ulaşana kadar hash iterasyonu yapması istenir. 2026'da tipik zorluk, modern bir tarayıcıda ~50–200 ms süren, hafif bir SHA-256 tabanlı bulmacadır. Amaç, ucuz botları yavaşlatmak değil; PoW süresini ölçerek donanım tutarlılığını doğrulamaktır.
- Tarayıcı API probları:
navigator.hardwareConcurrency,navigator.deviceMemory,navigator.webdriver,WebGLRenderingContext.getParameter(),AudioContext.sampleRate, canvas render tutarlılığı veperformance.now()çözünürlüğü gibi sinyaller toplanır. Headless Chrome veya Puppeteer'danavigator.webdrivergenellikletruedöner; bu tek başına meydan okumayı tetikler. - Behavioral sinyaller: Fare hareketi, scroll, klavye olay zamanlaması ve dokunmatik olaylar. Görünmez modda bile, sayfa yüklendiğinde minimum bir etkileşim profili beklenir.
Bu veriler toplanır, istemci tarafında bir token üretir ve Cloudflare'in uç noktasına gönderilir. Sunucu, token'ı doğruladıktan sonra cf_clearance cookie'sini verir.
cf_clearance Cookie'si ve Bağlanması
cf_clearance, Cloudflare Bot Management'ın "geçiş bileti"dir. Kritik nokta: bu tanımlama bilgisi, üretildiği User-Agent ve IP adresine sıkıca bağlanır. Cloudflare'in dokümantasyonu, clearance'ın IP değişiminde geçersizleştiğini açıkça belirtir. Pratikte:
- IP değişirse (örneğin proxy rotasyonu),
cf_clearancereddedilir ve Turnstile yeniden çalışır. - User-Agent değişirse, aynı şekilde reddedilir.
- Bazı durumlarda TLS parmak izi de eşleşmelidir; bu nedenle JA4 tutarlılığı sadece clearance alırken değil, clearance sonrası isteklerde de korunmalıdır.
Bu, proxy kullanıcıları için tek bir kritik sonuç doğurur: cf_clearance cookie'sini almak için kullandığınız IP, sonraki tüm isteklerde de aynı kalmalıdır.
Dört Sinyalli Güven Skoru
Cloudflare Bot Management, 2026'da dört ana sinyal kümesini birleştirir:
1. JA4 TLS Parmak İzi
JA4, FoxIO tarafından geliştirilen ve TLS el sıkışmasının ClientHello mesajındaki uzantıları sıralayarak hash üreten bir parmak izi algoritmasıdır. JA3'ten farkı: uzantıları önce alfabetik sıralar, sonra hashler. Bu, TLS kütüphanelerinin uzantı sırasını değiştirmesinden etkilenmez ve daha kararlı bir parmak izi verir. JA4 formatı: ja4_r (raw) ve ja4_h (hash) varyantlarıyla çalışır.
Örneğin, Chrome 120'nin JA4 hash'i ile Python requests'in JA4 hash'i tamamen farklıdır. Cloudflare, JA4'ü cloudflare bot management ja4 sinyali olarak kullanır: User-Agent "Chrome" diyorsa ama JA4 Python'a aitse, güven skoru anında düşer ve managed-challenge tetiklenir.
2. HTTP/2 SETTINGS Parmak İzi
HTTP/2 bağlantısında istemcinin gönderdiği SETTINGS frame'i, akış kontrolü pencere boyutu, maksimum eş zamanlı akış sayısı ve HEADER_TABLE_SIZE gibi değerleri içerir. Bu değerlerin sırası ve büyüklükleri, tarayıcıya özgü imzalar verir. Chrome, Firefox ve Safari farklı SETTINGS profillerine sahiptir; Python httpx veya Go net/http farklıdır.
3. Tarayıcı Parmak İzi (Canvas/WebGL/Audio)
Turnstile JavaScript'i, canvas render tutarlılığını, WebGL renderer/vendor dizilerini ve AudioContext özelliklerini toplar. Bu sinyaller:
- Canvas: belirli bir metin ve şekil kümesi render edilir, piksel verisi hashlenir. Farklı GPU'lar ve sürücüler farklı hash'ler üretir.
- WebGL:
UNMASKED_VENDOR_WEBGLveUNMASKED_RENDERER_WEBGLparametreleri donanıma özgüdür. - Audio:
OfflineAudioContextile üretilen ses işleme sonuçları, donanım ve yazılım codec farklarını yansıtır.
Bu sinyaller, headless tarayıcıların gerçek donanım tutarlılığını doğrulamak için kullanılır. Sanal ekran veya yazılım render kullanan headless Chrome, gerçek bir masaüstü Chrome'dan farklı canvas hash'i üretir.
4. IP İtibarı
Cloudflare, IP adresini ASN, datacenter/residential/mobile sınıflandırması, geçmiş kötüye kullanım ve coğrafi tutarlılık açısından değerlendirir. Bir datacenter IP'sinden gelen istek, residential IP'den gelen istekten daha düşük bir başlangıç skoru alır. Bu, turnstile internals bağlamında IP seçiminin sadece "engellenmemek" değil, güven skoru başlangıç noktasını belirleyen bir faktör olduğu anlamına gelir.
Neden Chrome Diyip Python JA4 Sunan Bağlantı Anında Meydan Okunur?
Bu, en yaygın ve en kolay yakalanan tutarsızlıktır. Senaryo:
- Geliştirici,
requestsveyahttpxkullanır. - User-Agent başlığını "Mozilla/5.0 ... Chrome/120" olarak ayarlar.
- TLS el sıkışması Python'un OpenSSL/BoringSSL yapılandırmasıyla yapılır.
- Cloudflare, ClientHello'yu görür, JA4 hash'ini hesaplar.
- JA4 hash'i Python imzasıyla eşleşir, User-Agent ise Chrome imzasıdır.
- Tutarsızlık tespit edilir, güven skoru düşer, managed-challenge veya blok tetiklenir.
Bu, cloudflare turnstile bypass girişimlerinin %80'inin başarısız olduğu noktadır. Çözüm, User-Agent'ı değiştirmek değil; TLS yığınını da gerçek tarayıcınınkiyle eşleştirmektir. Pratikte bu, ya gerçek bir tarayıcı (Playwright/Puppeteer) kullanmak ya da curl-impersonate gibi tarayıcı TLS yığınını taklit eden araçlar kullanmak demektir.
Neden Residential Proxy'ler Kritik?
cf_clearance IP'ye bağlandığı için, proxy rotasyonu clearance'ı anında geçersiz kılar. Bu, iki senaryoda sorun yaratır:
- Clearance alırken: Turnstile'ı çözüp clearance alırsınız, ama proxy dönerse clearance bir sonraki istekte reddedilir.
- Clearance sonrası: Clearance'ı aldığınız IP'de kalsanız bile, datacenter IP'si düşük bir başlangıç skoru verir ve Cloudflare clearance'a rağmen periyodik yeniden meydan okuma yapabilir.
Residential proxy'ler bu sorunu iki yönden çözer:
- Residential IP'ler, ISP atanmış ASN'lere sahiptir; Cloudflare'nin IP itibar skoru residential sınıfında daha yüksek başlar.
- Sabit (sticky) residential oturumlar, clearance'ın geçerli kaldığı süre boyunca aynı çıkış IP'sini korur.
Mobile proxy'ler de benzer avantajlar sunar, ancak genellikle daha yüksek maliyetlidir. Datacenter proxy'ler ise Turnstile bağlamında neredeyse her zaman sorunludur.
| Proxy Tipi | IP İtibar Skoru | Sticky Oturum | Turnstile Uygunluğu |
|---|---|---|---|
| Residential | Yüksek | Desteklenir | En uygun |
| Mobile | Çok yüksek | Desteklenir | Uygun (maliyetli) |
| Datacenter | Düşük | Desteklenir | Genelde uygun değil |
ProxyHat ile Yasal ve Çalışan Yaklaşım
İşte yetkili otomasyon ve halka açık veri erişimi için çalışan, adım adım bir yaklaşım. Bu yaklaşım, ProxyHat'ın sabit residential oturumlarını ve gerçek bir tarayıcıyı birleştirir.
Adım 1: Sabit Residential Oturum Oluşturun
ProxyHat'ın gateway'i, kullanıcı adında oturum kimliği kabul eder. Aynı oturum kimliği, aynı çıkış IP'sini korur:
# HTTP proxy - sabit oturum
http://user-session-abc123:pass@gate.proxyhat.com:8080
# SOCKS5 proxy - sabit oturum
socks5://user-session-abc123:pass@gate.proxyhat.com:1080
# Ülke hedefleme ile sabit oturum
http://user-country-US-session-abc123:pass@gate.proxyhat.com:8080
Oturum kimliği (abc123) sizin seçiminizdir; aynı kimliği kullandığınız sürece ProxyHat aynı residential IP'yi atar. ProxyHat lokasyonları sayfasından ülke ve şehir hedefleme seçeneklerini görebilirsiniz.
Adım 2: Gerçek Tarayıcı ile Turnstile'ı Çözün
Python'da Playwright kullanarak, ProxyHat proxy'si üzerinden gerçek bir Chromium başlatın:
from playwright.sync_api import sync_playwright
import requests
PROXY = "http://user-session-abc123:pass@gate.proxyhat.com:8080"
TARGET = "https://hedef-site.com/"
with sync_playwright() as p:
browser = p.chromium.launch(
headless=False, # ilk clearance alırken headless olmayan mod daha güvenilir
proxy={"server": PROXY}
)
context = browser.new_context(
user_agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64) "
"AppleWebKit/537.36 (KHTML, like Gecko) "
"Chrome/120.0.0.0 Safari/537.36"
)
page = context.new_page()
page.goto(TARGET)
# Turnstile'ın otomatik çözülmesini bekle
page.wait_for_timeout(5000)
# Cookie'leri al
cookies = context.cookies()
cf_clearance = None
for c in cookies:
if c["name"] == "cf_clearance":
cf_clearance = c["value"]
break
user_agent = page.evaluate("() => navigator.userAgent")
browser.close()
print(f"cf_clearance: {cf_clearance}")
print(f"user_agent: {user_agent}")
Bu yaklaşım neden çalışır? Çünkü Playwright gerçek Chromium kullanır; TLS yığını, HTTP/2 SETTINGS ve tarayıcı API sinyalleri gerçek Chrome imzasına sahiptir. ProxyHat'ın sabit oturumu, clearance alındığı IP'nin sonraki isteklerde de aynı kalmasını sağlar.
Adım 3: cf_clearance'ı Sonraki İsteklerde Yeniden Kullanın
Clearance'ı aldıktan sonra, yüksek hacimli istekleri doğrudan HTTP istemcisiyle gönderebilirsiniz; ancak TLS parmak izini korumanız gerekir:
import curl_cffi # curl-impersonate tabanlı, Chrome JA4 üretir
session = curl_cffi.requests.Session(impersonate="chrome120")
session.proxies = {
"http": "http://user-session-abc123:pass@gate.proxyhat.com:8080",
"https": "http://user-session-abc123:pass@gate.proxyhat.com:8080"
}
session.headers.update({
"User-Agent": user_agent, # clearance alınan UA ile birebir aynı
"Cookie": f"cf_clearance={cf_clearance}"
})
response = session.get("https://hedef-site.com/api/data")
print(response.status_code)
curl_cffi (curl-impersonate tabanlı), Chrome'un TLS el sıkışmasını ve HTTP/2 SETTINGS'ini taklit eder. Bu, JA4 ve HTTP/2 sinyallerini tutarlı tutar. User-Agent, clearance alınan değerle birebir aynı olmalıdır; tek karakter farkı bile clearance'ı geçersiz kılabilir.
Adım 4: Clearance Süresi Dolduğunda Yenileyin
cf_clearance genellikle 30 dakika ila birkaç saat arasında geçerlidir; süre, hedef sitenin Cloudflare yapılandırmasına bağlıdır. Clearance reddedildiğinde (HTTP 403 veya 503), Adım 2'ye geri dönün ve yeni clearance alın. Aynı ProxyHat oturumunu kullanmaya devam edin; IP değişmediği için yeniden clearance almak daha hızlıdır.
Yaygın Hatalar ve Sınır Durumları
Hata 1: Proxy Rotasyonu ile Clearance Kaybı
En yaygın hata: clearance aldıktan sonra proxy rotasyonu açmak. Her istekte farklı IP kullanmak, her istekte Turnstile'ı yeniden çözmek demektir. Bu, gecikmeyi 200 ms'den 5+ saniyeye çıkarır ve başarısızlık oranını artırır.
Çözüm: Clearance geçerli olduğu sürece aynı ProxyHat oturumunu kullanın. Rotasyon, clearance yenilendikten sonra yapılabilir.
Hata 2: User-Agent ve TLS Tutarsızlığı
Clearance'ı Playwright/Chrome ile alıp, sonraki istekleri requests ile göndermek. UA doğru olabilir ama JA4 yanlış olur.
Çözüm: curl_cffi veya curl-impersonate kullanın; veya tüm istekleri Playwright üzerinden gönderin (daha yavaş ama daha güvenli).
Hata 3: Headless Modda navigator.webdriver = true
Playwright/Puppeteer'ın headless modunda navigator.webdriver genellikle true döner. Turnstile bunu bir otomasyon sinyali olarak kullanır.
Çözüm: Playwright'ta headless=False kullanın veya stealth eklentileri (örneğin playwright-stealth) ile navigator.webdriver'ı gizleyin. Xvfb ile sanal ekran kullanmak, sunucu ortamında headless olmayan modu mümkün kılar.
Hata 4: Datacenter Proxy ile Düşük Başlangıç Skoru
Datacenter proxy'lerle clearance almak mümkün olabilir, ancak Cloudflare'nin periyodik yeniden meydan okuması datacenter IP'lerde daha sık tetiklenir. Bu, scraping throughput'unu düşürür.
Çözüm: Residential proxy kullanın. ProxyHat fiyatlandırması residential proxy'ler için uygun seçenekler sunar.
Sınır Durum: Cloudflare Yeniden Meydan Okuma Periyodu
Bazı siteler, clearance geçerli olsa bile periyodik olarak Turnstile'ı yeniden tetikler. Bu, sitenin Cloudflare yapılandırmasındaki "challenge age" ayarına bağlıdır. Bu durumda, clearance yenileme akışını otomatikleştirin: 403/503 alındığında Playwright oturumunu aç, clearance al, güncelle, devam et.
ProxyHat Kurulumu ve İç Bağlantılar
ProxyHat ile başlamak için dashboard.proxyhat.com üzerinden hesap açın, residential proxy paketi seçin ve gateway kimlik bilgilerinizi alın. Temel bağlantı detayları:
- Gateway:
gate.proxyhat.com - HTTP port:
8080 - SOCKS5 port:
1080 - Sabit oturum: kullanıcı adında
-session-{id}eki - Ülke hedefleme: kullanıcı adında
-country-{ISO}eki
Diğer yararlı kaynaklar:
- Web scraping kullanım senaryosu — proxy tabanlı scraping için genel rehber.
- SERP takibi kullanım senaryosu — Google SERP scraping için proxy yapılandırması.
- ProxyHat dokümantasyonu — gateway parametreleri ve gelişmiş yapılandırma.
Bu Yaklaşım Ne Zaman Uygundur?
Yasal çerçeve net olmalı:
- Uygun: Halka açık verilere erişim (SERP, fiyat karşılaştırma, kamuya açık kayıtlar), kendi hesabınızın otomasyonu, güvenlik araştırması, izinli penetrasyon testi, AI eğitim verisi toplama (halka açık içerik).
- Uygun değil: Kimlik bilgisi istismarı, hesap ele geçirme,
robots.txt'te engellenmiş içerik toplama, kullanıcı gizliliğini ihlal eden veri toplama, ToS'u açıkça yasaklayan sitelerde otomasyon.
Her durumda, hedef sitenin robots.txt'sini kontrol edin, erişim hızınızı makul tutun (saniyede yüzlerce istek değil) ve veri toplama amacınızı netleştirin. GDPR kapsamında, AB kullanıcılarına ait kişisel verileri toplarken yasal dayanak (rıza, meşru menfaat) gereklidir.
Temel Çıkarımlar
Turnstile tek bir sinyale dayanmaz. JA4 TLS parmak izi, HTTP/2 SETTINGS, tarayıcı parmak izi ve IP itibarı birlikte değerlendirilir. Tek bir sinyali taklit etmek yeterli değildir; dördü de tutarlı olmalıdır.
- cf_clearance IP + User-Agent'a bağlıdır. Proxy rotasyonu clearance'ı anında geçersiz kılar. Sabit residential oturum şarttır.
- JA4 tutarsızlığı en hızlı tespittir. User-Agent "Chrome" ama JA4 Python ise, meydan okuma milisaniyeler içinde tetiklenir.
- Gerçek tarayıcı + sabit residential proxy = en güvenilir kombinasyon. Playwright/Chromium + ProxyHat sticky session, dört sinyali de tutarlı tutar.
- Clearance yenileme otomatikleştirilmeli. 403/503 alındığında otomatik olarak yeniden clearance alan bir akış kurun.
- Yasal sınırlara uyun. Halka açık veri ve yetkili otomasyon geçerlidir; kimlik bilgisi istismarı ve ToS ihlali değil.
SSS
Cloudflare Turnstile İç Mekanizmaları nedir?
Cloudflare Turnstile İç Mekanizmaları, Cloudflare Bot Management'ın görünmez meydan okuma katmanında çalışan istemci tarafı JavaScript, proof-of-work, tarayıcı API probları ve sunucu tarafı güven skoru sistemini ifade eder. Turnstile, TLS el sıkışması (JA4), HTTP/2 SETTINGS, canvas/WebGL/audio parmak izi ve IP itibarını birleştirerek bir güven skoru üretir ve bu skora bağlı olarak cf_clearance cookie'si verir.
Cloudflare Turnstile İç Mekanizmaları proxy kullanıcıları için neden önemli?
Çünkü cf_clearance cookie'si IP adresine sıkıca bağlıdır. Proxy rotasyonu, clearance'ı anında geçersiz kılar ve her istekte Turnstile'ı yeniden çözmek gerekir. Bu, gecikmeyi 200 ms'den 5+ saniyeye çıkarır ve başarısızlık oranını artırır. Sabit residential proxy oturumu, clearance'ın geçerli kalması için şarttır.
Cloudflare Turnstile İç Mekanizmaları için en uygun proxy tipi hangisi?
Residential proxy'ler en uygun seçenektir. Residential IP'ler ISP atanmış ASN'lere sahiptir ve Cloudflare'nin IP itibar skoru residential sınıfında daha yüksek başlar. Datacenter IP'ler düşük başlangıç skoru verir ve periyodik yeniden meydan okamaya daha sık maruz kalır. Mobile proxy'ler de uygundur ancak genellikle daha maliyetlidir.
Cloudflare Turnstile İç Mekanizmaları uygularken engellenmekten nasıl kaçınılır?
Üç temel kural: (1) Gerçek bir tarayıcı (Playwright/Chromium) kullanın; böylece JA4, HTTP/2 ve tarayıcı parmak izi gerçek Chrome imzasına sahip olur. (2) Sabit residential proxy oturumu kullanın; ProxyHat'ın -session-{id} parametresi aynı çıkış IP'sini korur. (3) User-Agent, TLS parmak izi ve proxy IP'si clearance alındığı haliyle birebir aynı kalmalıdır; tek karakter farkı bile clearance'ı geçersiz kılabilir.
