Patchright Derinlemesine İnceleme: Tespit Edilemeyen Playwright ve Residential Proxy Entegrasyonu

Patchright Derinlemesine İnceleme: Tespit Edilemeyen Playwright Nedir?

Patchright Derinlemesine İnceleme, Playwright tabanlı otomasyon yapan mühendislerin ve güvenlik araştırmacılarının en çok ihtiyaç duyduğu teknik analizlerden biridir. Modern anti-bot sistemleri — Cloudflare Turnstile, DataDome, PerimeterX, Kasada — tarayıcı otomasyonunu yalnızca tek bir sinyalle değil, çok katmanlı bir parmak izi yığınıyla tespit eder. Patchright, Playwright'ın bir fork'u olarak bu tespit katmanlarını sistemli olarak kapatmayı hedefler.

Ancak Patchright yalnızca tarayıcı tarafını çözer. IP itibarı, TLS/JA3 hizalaması ve davranışsal sinyaller gibi katmanlar hâlâ proxy ve uygulama katmanında ele alınmalıdır. Bu makale, Patchright'ın neyi patch'leyip neyi patch'lemediğini, residential proxy'lerle nasıl birleştirileceğini ve undetected playwright kurulumunun pratik adımlarını ele alır.

Patchright, tarayıcı parmak izini temizler; residential proxy ise IP parmak izini temizler. İkisi birlikte çalışmak zorundadır — tek başına hiçbiri yeterli değildir.

Tespit Sinyalleri: Anti-Bot Sistemleri Neyi Arar?

Modern anti-bot sistemleri, bir otomasyon aracını tespit etmek için en az dört katmanı eşzamanlı olarak skorlar:

1. navigator.webdriver ve JavaScript Sızıntıları

W3C WebDriver spesifikasyonu, otomatikleştirilmiş tarayıcılarda navigator.webdriver özelliğinin true olmasını gerektirir. Bu, anti-bot sistemleri için en temel sinyaldir. Standart Playwright, Chrome'u --enable-automation bayrağıyla başlatır ve bu bayrak, navigator.webdriver'ı true yapar.

Patchright bu sinyali iki yolla kapatır:

• --disable-blink-features=AutomationControlled bayrağını Chrome'a inject eder. Bu bayrak, Blink motorundaki otomasyon kontrol özelliklerini devre dışı bırakır ve navigator.webdriver'ın false döndürmesini sağlar.
• JavaScript enjeksiyonuyla navigator.webdriver özelliğini siler veya undefined yapar. Ancak bu yöntem, Object.getOwnPropertyDescriptor ile yapılan derinlemesine kontrollerde yakalanabilir; bu yüzden bayrak tabanlı yaklaşım daha güvenlidir.

2. CDP Runtime Sızıntıları (Runtime.enable)

Chrome DevTools Protocol (CDP), Playwright'ın tarayıcıyla iletişim kurduğu temel mekanizmadır. Standart Playwright, bağlantı kurduğunda Runtime.enable komutunu gönderir. Bu komut, tarayıcıda bazı yan etkiler bırakır:

• Runtime.enable çağrıldıktan sonra, JavaScript Error.stack izlerinde CDP'ye özgü yığın çerçeveleri görünür hale gelir.
• window.cdc_ özellikleri ve benzeri DevTools sızıntıları oluşabilir.
• Bazı anti-bot sistemleri, Runtime.evaluate çağrılarının bıraktığı zamanlama izlerini ölçer.

Patchright, CDP sızıntılarını kapatmak için Playwright'ın CDP istemcisini modifiye eder. Runtime.enable çağrısını geciktirir veya gereksiz yere çağrılmamasını sağlar. Bu, CDP spesifikasyonunda belgelenen Runtime.enable yan etkilerini minimize eder.

3. Komut Satırı Bayrak İzleri

Chrome, başlatma bayraklarını chrome://version sayfasında ve bazı JavaScript API'lerinde暴露 eder. Standart Playwright aşağıdaki bayrakları ekler:

• --enable-automation
• --no-first-run
• --no-default-browser-check
• --password-store=basic

Bu bayrakların varlığı, otomasyon aracının varlığını doğrudan ele verir. Patchright, --enable-automation bayrağını kaldırır ve --disable-blink-features=AutomationControlled ekler. Ayrıca, gereksiz bayrakları temizleyerek komut satırı izini gerçek bir kullanıcı Chrome kurulumuna benzer hale getirir.

4. TLS/JA3 ve HTTP/2 Parmak İzi

TLS ClientHello mesajı, tarayıcının desteklediği şifreleme paketlerini, uzantıları ve eliptik eğri gruplarını belirli bir sırayla içerir. Bu sıralama, JA3 ve JA4 algoritmalarıyla bir parmak izi özetine dönüştürülür. Her tarayıcı sürümünün kendine özgü bir JA3 özeti vardır.

Standart Playwright, Chromium ikili dosyasını kullanır ve Chromium'un TLS yığını JA3 özeti, gerçek Chrome'dan farklı olabilir. Patchright, channel='chrome' parametresini kullanarak gerçek Google Chrome ikili dosyasını başlatır. Bu, TLS ClientHello'nun gerçek Chrome TLS yığınından gelmesini sağlar ve JA3 özetinin gerçek Chrome ile eşleşmesini garantiler.

IETF TLS belgelerine göre, ClientHello mesajındaki şifre paketi sıralaması ve uzantı sırası, istemcinin kimliğini belirleyen temel sinyallerdir. Anti-bot sistemleri bu özetleri bilinen tarayıcı özetleriyle karşılaştırır ve uyuşmayan istemcileri işaretler.

Patchright Ne Yapar, Ne Yapmaz?

Patchright'ın güçlü olduğu alanlar net. Ancak yapamadığı şeyler de var ve bunları bilmek, gerçekçi bir patchright cloudflare geçiş stratejisi kurmak için kritik.

Patchright'ın Kapattığı Sinyaller

• navigator.webdriver → false veya undefined
• CDP Runtime.enable sızıntıları ve yığın izleri
• --enable-automation bayrağı kaldırılır
• --disable-blink-features=AutomationControlled eklenir
• channel='chrome' ile gerçek Chrome TLS/JA3 yığını kullanılır
• navigator.plugins ve navigator.languages gerçek Chrome değerleriyle doldurulur
• Chrome runtime nesnesi üzerindeki CDP izleri temizlenir

Patchright'ın Kapatmadığı Sinyaller

• Canvas parmak izi: Patchright, canvas rendering sonucunu değiştirmez. Canvas özeti, GPU sürücüsüne ve işletim sistemine bağlıdır ve gerçek bir kullanıcıyla aynı olmalıdır.
• WebGL parmak izi: WebGL renderer ve vendor dizileri, GPU donanımını ele verir. Patchright bunları spoof etmez.
• Font listesi: Yüklü fontların listesi, işletim sistemi ve bölgeye göre değişir. Headless Chrome'da font listesi farklı olabilir.
• Davranışsal sinyaller: Fare hareketleri, scroll hızı, tuş basışları arasındaki zamanlama. Patchright bunları simüle etmez; bu, uygulama katmanında ele alınmalıdır.
• AudioContext parmak izi: Ses işleme hattının özetlenmesi. Patchright bunu değiştirmez.

Patchright vs Camoufox vs playwright-stealth

Tespit edilemeyen tarayıcı otomasyonu alanında üç ana yaklaşım var. İşte karşılaştırma:

playwright-stealth, en eski yaklaşımlardan biridir ve yalnızca JavaScript katmanında çalışır. CDP sızıntılarını kapatamaz ve TLS parmak izini değiştiremez. playwright-stealth GitHub deposunda görüldüğü gibi, son güncellemeler sınırlıdır.

Camoufox, Firefox tabanlı bir yaklaşımdır ve canvas/WebGL spoof gibi derin parmak izi özellikleri sunar. Ancak Firefox, pazar payı açısından Chrome'dan çok daha küçüktür ve bazı anti-bot sistemleri Firefox trafiğini daha dikkatli inceleyebilir. Patchright, Chrome pazar payının avantajını kullanır.

IP İtibarı: CDP Sızıntıları Kapandıktan Sonra Geriye Ne Kalır?

Patchright tüm tarayıcı tarafı sinyalleri temizlese bile, anti-bot sistemleri IP katmanında ayrı bir skorlama yapar. Bu, patchright proxy kombinasyonunun neden zorunlu olduğunu açıklar.

ASN Tabanlı IP Sınıflandırması

Cloudflare ve DataDome, IP adreslerini ASN (Autonomous System Number) bazında sınıflandırır. Bir IP'nin ASN'si, o IP'nin bir ISP'den mi yoksa bir veri merkezinden mi geldiğini gösterir:

• ISP ASN (residential): Comcast, AT&T, Verizon, Vodafone gibi gerçek internet servis sağlayıcıları. Risk skoru düşük.
• Hosting ASN (datacenter): AWS, Google Cloud, Azure, DigitalOcean, OVH gibi bulut/barındırma sağlayıcıları. Risk skoru yüksek.

Bir Patchright oturumu, tüm tarayıcı sinyalleri temiz olsa bile, AWS IP'sinden gelirse Cloudflare Turnstile bu IP'yi yüksek risk olarak işaretler ve CAPTCHA challenge'ı gösterir. Bu, tarayıcı parmak iziyle IP parmak izinin ayrı skorlandığını gösterir.

Cloudflare Turnstile ve DataDome Karşılaştırması

Cloudflare, Turnstile dokümantasyonunda belirttiği gibi, challenge'ı görünmez modda çözmek için IP itibarı, tarayıcı parmak izi ve davranışsal sinyalleri birleştirir. DataDome ise daha agresif bir şekilde IP geçmiş davranışını skorlar ve aynı IP'den gelen çok sayıda isteği işaretler.

TLS/HTTP2 Parmak İzi Hizalaması: IP ve Parmak İzi Uyumlu Olmalı

Anti-bot sistemlerinin en güçlü sinyallerinden biri, IP coğrafi konumu ile TLS parmak izinin tutarsız olmasıdır. Örneğin:

• Berlin'den gelen bir IP adresi (Alman ISP) ile Chrome'un Türkçe dil başlığı (Accept-Language: tr-TR) göndermesi → tutarsızlık sinyali.
• Amerika ISP'sinden gelen IP ile JA3 özetinin gerçek Chrome ile eşleşmesi → tutarlı, düşük risk.

Patchright, channel='chrome' ile gerçek Chrome TLS yığını kullanır. Bu, JA3 özetinin gerçek Chrome ile eşleşmesini sağlar. Ancak Accept-Language, sec-ch-ua ve diğer HTTP başlıklarının IP coğrafi konumuyla tutarlı olması, uygulama katmanında ayarlanmalıdır.

Pratik Hizalama Kuralları

1. Proxy ülkesi ile Accept-Language başlığını eşleştirin (US IP → en-US,en;q=0.9).
2. Proxy ülkesi ile saat dilimini eşleştirin (America/New_York için US east coast IP).
3. JA3 özeti gerçek Chrome ile eşleşmeli — Patchright channel='chrome' bunu sağlar.
4. HTTP/2 çerçeve sıralaması ve SETTINGS parametreleri gerçek Chrome ile aynı olmalıdır.
5. WebGL renderer dizesi, IP coğrafi konumuyla ilgili olmasa da, işletim sistemiyle tutarlı olmalıdır.

Pratik Uygulama: Patchright + ProxyHat Residential Proxy

Aşağıdaki örnek, yetkili güvenlik araştırması veya herkese açık veri toplama senaryosu için bir Patchright persistent context'inin ProxyHat residential proxy üzerinden nasıl yönlendirileceğini gösterir.

Kurulum

pip install patchright
pip install patchright chromium  # gerçek Chrome için
# veya gerçek Chrome kanalını kullanın:
# channel='chrome' parametresi sistem Chrome'unu kullanır

Python Örneği: Sticky Residential IP ile Korunan Sayfaya Geçiş

from patchright.sync_api import sync_playwright
import time
import random

# ProxyHat residential proxy URL'si
# Sticky session: aynı IP'de kal
# Ülke: US
PROXY_URL = "http://user-country-US-session-abc123:PASSWORD@gate.proxyhat.com:8080"

# Hedef: korumalı sayfa (örneğin Cloudflare arkasındaki bir site)
TARGET_URL = "https://example-protected-site.com"

def scrape_with_patchright():
    with sync_playwright() as p:
        # Persistent context — gerçek kullanıcı profili gibi davranır
        browser = p.chromium.launch_persistent_context(
            user_data_dir="/tmp/patchright-profile",
            channel="chrome",  # Gerçek Chrome TLS/JA3 yığını
            headless=False,    # Headed mod daha az tespit edilir
            proxy={
                "server": PROXY_URL,
            },
            # Patchright otomatik olarak şu bayrakları ekler/kaldırır:
            # --disable-blink-features=AutomationControlled (eklenir)
            # --enable-automation (kaldırılır)
            # navigator.webdriver = false (JS ile)
            # CDP Runtime.enable sızıntıları kapatılır
            locale="en-US",
            timezone_id="America/New_York",
            viewport={"width": 1920, "height": 1080},
            user_agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36",
            extra_http_headers={
                "Accept-Language": "en-US,en;q=0.9",
            },
        )

        page = browser.new_page()

        # Gerçekçi davranış: rastgele bekleme
        time.sleep(random.uniform(1.5, 3.0))

        page.goto(TARGET_URL, wait_until="domcontentloaded")

        # Cloudflare challenge bekle (gerekirse)
        time.sleep(random.uniform(3.0, 6.0))

        # Sayfa içeriğini al
        title = page.title()
        content = page.content()

        print(f"Sayfa başlığı: {title}")
        print(f"İçerik uzunluğu: {len(content)} karakter")

        # Gerçekçi etkileşim: scroll
        page.mouse.move(random.randint(100, 800), random.randint(100, 600))
        time.sleep(random.uniform(0.5, 1.5))
        page.mouse.wheel(0, random.randint(200, 500))
        time.sleep(random.uniform(1.0, 2.0))

        browser.close()

scrape_with_patchright()

Node.js Örneği: SOCKS5 ile Daha Düşük Seviye Proxy

const { chromium } = require('patchright');

// ProxyHat SOCKS5 residential proxy
const PROXY_URL = "socks5://user-country-US-session-abc123:PASSWORD@gate.proxyhat.com:1080";

(async () => {
  const browser = await chromium.launchPersistentContext(
    '/tmp/patchright-profile-node',
    {
      channel: 'chrome',
      headless: false,
      proxy: { server: PROXY_URL },
      locale: 'en-US',
      timezoneId: 'America/New_York',
      viewport: { width: 1920, height: 1080 },
      extraHTTPHeaders: {
        'Accept-Language': 'en-US,en;q=0.9',
      },
    }
  );

  const page = await browser.newPage();
  await page.goto('https://example-protected-site.com', {
    waitUntil: 'domcontentloaded',
  });

  await page.waitForTimeout(3000 + Math.random() * 3000);

  const title = await page.title();
  console.log('Sayfa başlığı:', title);

  await browser.close();
})();

curl ile Proxy Testi

# ProxyHat residential proxy üzerinden basit HTTP isteği
curl -x http://user-country-US-session-abc123:PASSWORD@gate.proxyhat.com:8080 \
  -H "Accept-Language: en-US,en;q=0.9" \
  -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36" \
  https://example-protected-site.com

Yaygın Hatalar ve Sınır Durumlar

Hata 1: Headless Modda Çalıştırmak

Headless Chrome, User-Agent başlığında "HeadlessChrome" dizesi içerir ve bazı JavaScript API'leri headless modda farklı davranır. Patchright headless modda bazı sızıntıları kapatır, ancak en güvenli yol headed modda çalışmaktır. Headed mod, gerçek bir kullanıcı penceresi açar ve davranışsal sinyaller daha doğal görünür.

Hata 2: IP ve Dil Başlığı Uyumsuzluğu

US residential proxy kullanırken Accept-Language: tr-TR göndermek, Cloudflare için bir tutarsızlık sinyalidir. Proxy ülkesine göre dil başlığını ayarlayın.

Hata 3: Çok Hızlı İstekler

Residential proxy kullanıyor olsanız bile, saniyede 50+ istek göndermek DataDome tarafından işaretlenir. Gerçek kullanıcı davranışını taklit etmek için istekler arasına 2-5 saniye rastgele bekleme ekleyin.

Hata 4: Aynı Session ID ile Sonsuz Oturum

Sticky session kullanırken, aynı session ID ile saatlerce çalışmak IP'nin aşırı kullanılmasına yol açar. ProxyHat'ta session ID'yi her 100-200 istekte değiştirmek, IP rotasyonunu doğal tutar.

Hata 5: Canvas/WebGL Spoof Yapmamak

Patchright canvas ve WebGL'i spoof etmez. Headless modda veya sunucu ortamında, GPU donanımı farklıdır ve canvas özeti gerçek bir kullanıcıdan farklı çıkar. Bu, bazı anti-bot sistemleri tarafından yakalanır. Çözüm: headed modda, gerçek GPU'ya sahip bir makinede çalıştırmak veya Camoufox gibi canvas spoof özellikli bir araç kullanmaktır.

ProxyHat'a Özel Kurulum

ProxyHat, Patchright ile kullanım için üç proxy tipi sunar:

ProxyHat proxy URL formatı:

• HTTP: http://USERNAME:PASSWORD@gate.proxyhat.com:8080
• SOCKS5: socks5://USERNAME:PASSWORD@gate.proxyhat.com:1080

Geo-targeting ve session flag'ler username içine gömülür:

• Ülke: user-country-US:pass@gate.proxyhat.com:8080
• Ülke + şehir: user-country-DE-city-berlin:pass@gate.proxyhat.com:8080
• Sticky session: user-session-abc123:pass@gate.proxyhat.com:8080
• Kombine: user-country-US-session-abc123:pass@gate.proxyhat.com:8080

ProxyHat dokümantasyonu tüm parametre seçeneklerini listeler. Fiyatlandırma için /tr/pricing sayfasını, kullanılabilir lokasyonlar için /tr/locations sayfasını inceleyin.

Web scraping ve SERP tracking kullanım senaryoları için sırasıyla /tr/use-cases/web-scraping ve /tr/use-cases/serp-tracking sayfalarına bakın.

Nerede Uygun, Nerede Değil?

Patchright + residential proxy kombinasyonu, aşağıdaki senaryolarda uygun ve meşrudur:

• Yetkili güvenlik araştırması: Bir kurumun izniyle kendi sistemlerine karşı penetrasyon testi yapmak.
• Herkese açık veri toplama: robots.txt tarafından izin verilen ve hedef platformun kullanım şartlarını ihlal etmeyen herkese açık verilerin toplanması.
• QA otomasyonu: Kendi uygulamanızın üretim ortamında uçtan uca test koşmak.
• Fiyat karşılaştırma: Rakip fiyatlarını herkese açık ürün sayfalarından izlemek (ToS ihlali olmadığı sürece).
• SEO ve SERP izleme: Arama motoru sonuç sayfalarını düzenli olarak izlemek.

Aşağıdaki senaryolarda uygun değildir:

• Giriş duvarlı platformlarda sahte hesap oluşturmak veya otomatik giriş yapmak.
• Kredi kartı dolandırıcılığı veya sahte ödeme işlemleri.
• Platform kullanım şartlarını açıkça ihlal eden toplu veri toplama.
• Kimlik avı veya sosyal mühendislik otomasyonu.
• Seçim manipülasyonu veya sahte etkileşim botları.

Etik ve yasal sınırlar, teknik yeteneklerden daha önemlidir. Patchright ve residential proxy'ler, meşru kullanım için güçlü araçlardır; ancak köye niyetle kullanıldığında hem etik dışı hem de yasal sonuçları olabilir.

Performans Metrikleri ve İpuçları

Bir Patchright + residential proxy kurulumunda izlenmesi gereken temel metrikler:

• Başarı oranı: Hedeflenen sayfanın başarıyla yüklenme oranı. İyi bir kurulumda %90+ olmalıdır.
• Ortalama yanıt süresi: Proxy üzerinden sayfa yükleme süresi. Residential proxy'lerde tipik olarak 200-800ms ek gecikme beklenir.
• Eşzamanlı oturum sayısı: Aynı anda çalışan Patchright oturum sayısı. Her oturum ayrı bir sticky session ID kullanmalıdır. 100 eşzamanlı oturum için 100 farklı session ID gereklidir.
• CAPTTCHA karşılaşma oranı: Yüksek oran, proxy IP kalitesinin düştüğünü veya davranışsal sinyallerin yetersiz olduğunu gösterir.

Key Takeaways

• Patchright, tarayıcı tarafını çözer; proxy, IP tarafını çözer. İkisi birlikte çalışmak zorundadır. Patchright tek başına Cloudflare Turnstile ve DataDome'a karşı yeterli değildir.
• channel='chrome' kritiktir. Gerçek Chrome TLS yığını, JA3/JA4 parmak izinin gerçek Chrome ile eşleşmesini sağlar. Chromium ikili dosyası farklı bir TLS özeti üretir.
• CDP Runtime.enable sızıntıları standart Playwright'da en sık yakalanan sinyallerden biridir. Patchright bunu C++ katmanında kapatır; playwright-stealth kapatamaz.
• Canvas, WebGL, font ve davranışsal sinyaller Patchright tarafından spoof edilmez. Bu katmanlar uygulama seviyesinde veya Camoufox gibi araçlarla ele alınmalıdır.
• IP ve TLS parmak izi hizalanmalıdır. US residential IP ile Accept-Language: en-US ve America/New_York saat dilimi kullanın. Tutarsızlık, anti-bot sistemleri için bir sinyaldir.
• Residential proxy, datacenter proxy'den daha güvenlidir çünkü ISP ASN'leri düşük risk olarak sınıflandırılır. ProxyHat residential proxy'leri gate.proxyhat.com:8080 üzerinden erişilebilir.
• Etik sınırlara uyun. Yalnızca yetkili araştırma, herkese açık veri toplama ve QA otomasyonu için kullanın. Giriş duvarlı kötüye kullanım yasal sonuçları olabilir.

SSS

Patchright Derinlemesine İnceleme nedir?

Patchright Derinlemesine İnceleme, Playwright'ın tespit edilemeyen fork'u olan Patchright'ın navigator.webdriver sızıntılarını, CDP runtime tespitini, komut satırı bayrak izlerini ve TLS/JA3 parmak izi hizalamasını nasıl kapattığını kapsayan teknik analizdir. Bu inceleme, tarayıcı otomasyonunun modern anti-bot sistemleri (Cloudflare Turnstile, DataDome) tarafından nasıl yakalandığını ve residential proxy'lerle nasıl temiz geçiş sağlanacağını ele alır.

Patchright Deep-Dive proxy kullanıcıları için neden önemli?

Çünkü modern anti-bot sistemleri yalnızca tarayıcı parmak izine değil, IP itibarına da bakar. Patchright CDP sızıntılarını kapatsa bile, veri merkezi IP'si kullanıyorsanız Cloudflare ve DataDome sizi IP skoru nedeniyle engeller. Residential proxy, tarayıcı parmak izi ile IP itibarının tutarlı olmasını sağlar ve bu ikisinin birlikte hizalanması, tespit edilmeden geçişin temel şartıdır.

Patchright Deep-Dive için hangi proxy tipi en iyisi?

Residential proxy'ler en iyi sonucu verir çünkü gerçek ISP'lerden atanmış IP'ler kullanırlar ve veri merkezi IP aralıklarıyla ilişkilendirilmezler. Cloudflare Turnstile ve DataDome gibi sistemler, ASN tabanlı IP sınıflandırması yapar; residential IP'ler genellikle 'düşük risk' kategorisine girer. Sticky session ile aynı IP'de kalarak tutarlı bir oturum kimliği korunabilir.

Patchright Deep-Dive uygularken engellenmekten nasıl kaçınılır?

Öncelikle Patchright'ın varsayılan patch'lerini kullanın (channel='chrome', --disable-blink-features=AutomationControlled). İkinci olarak, residential proxy ile sticky session kullanın ve IP ile TLS parmak izinin coğrafi olarak tutarlı olmasını sağlayın. Üçüncü olarak, gerçekçi davranışsal sinyaller ekleyin: fare hareketleri, rastgele bekleme süreleri, scroll olayları. Son olarak, robots.txt ve hedef platformun kullanım şartlarına uyun ve yalnızca yetkili araştırma veya herkese açık veri toplama yapın.