Вчера Cloudflare выпустил сессионное обнаружение ботов
13 июля 2026 года Cloudflare запустил Precursor. Это механизм непрерывного поведенческого обнаружения ботов, который следит за всей сессией, а не только за моментом перехода посетителя на сайт. Их существующая проверка Turnstile выполняется около 3 миллиардов раз в день при входе, регистрации и оформлении заказа. Precursor расширяет ту же клиентскую видимость на каждую страницу между ними.
Контекст имеет значение. Turnstile задавал один вопрос в один момент: человек ли этот посетитель? Precursor задает тот же вопрос непрерывно, при каждом движении мыши, нажатии клавиши, прокрутке и смене фокуса, и передает ответ в текущую оценку бота, которая сопровождает сессию.
Это более серьезное изменение, чем может показаться из пресс-релиза.
Сессия как новый отпечаток
Многие годы обнаружение ботов происходило короткими всплесками. Решаете проверку, получаете cookie, выполняете свои запросы. Даже новые проверки на сетевом уровне и уровне заголовков были событиями для каждого запроса. Если вы проходили первую проверку, вы были в основном чисты до следующей.
Поведенческое обнаружение на уровне сессии ломает этот шаблон. Из поста Cloudflare о запуске: боты могут выполнять JavaScript, использовать полноценные среды браузера и проходить отдельные CAPTCHA, не вызывая подозрений. Что остается сложным для воспроизведения, так это последовательное поведение человека с течением времени.
Они приводят физику человеческого ввода в качестве стены, с которой сталкивается автоматизация. Человеческое движение мыши является дугой, ограниченной поворотом запястья и вращением предплечья. Существует измеримая задержка между тем, как человек видит чекбокс и кликает по нему (когнитивная нагрузка). И даже твердая рука колеблется с частотой физиологического тремора. Боты создают прямые линии и математически чистые кривые Безье. Они кликают с точностью, недостижимой для человека.
Любой из этих сигналов слабо читается по отдельности. Если сложить их за пятиминутную сессию, расхождение становится очевидным.
Почему обновление больше не спасает
Трюк для обхода при обнаружении на каждый запрос был понятен: если ваша оценка бота ползет вверх, обновите страницу, смените личность, начните заново. Precursor закрывает эту дверь.
Cloudflare заявляет прямо: "Охват сессии важен, потому что это означает, что бот не может сбросить свою поведенческую сигнатуру, обновив страницу или начав заново с новой проверкой." Подозрительные сессии накапливают контекст. Оценка бота следует за посетителем.
Но это изменение сильнее всего бьет по определенному среднему классу скрейперов. Полностью headless модель с ротацией на каждый запрос уже проигрывала стандартным проверкам. Тут нет новостей. Операторы, которые действительно учитывают сессии и используют одну личность браузера на протяжении визита реального пользователя, в основном в порядке. Precursor наказывает тех, кто посередине: команды, использующие Puppeteer или Playwright с разумными настройками по умолчанию, относящиеся к каждому URL как к независимой задаче и обновляющие страницу между сканированиями, чтобы выглядеть чисто.
Такой стиль скрейпинга дешев, потому что он одноразовый. Precursor делает одноразовое дорогим.
Что это значит для агентных скрейперов
Есть вторая группа, для поимки которой был явно создан Precursor: агентные AI-скраперы. Cloudflare прямо говорит об этом в подзаголовке: обнаружение агентного поведения с помощью непрерывных сигналов на стороне клиента.
Автономные браузерные агенты (те, что управляются LLM, планируют задачу и выполняют ее шаг за шагом) обычно действуют короткими, решительными рывками. Переход, извлечение, переход, извлечение. По отдельности каждое действие похоже на то, что мог бы сделать реальный посетитель. Но нет задержек, нет паттерна прокрутки для чтения, нет мелких корректировок, нет промахов мимо цели. На протяжении сессии это отсутствие так же заметно, как и поддельное дрожание мыши.
Так что если вы создаете агента, который скрапит по мере размышления, налог на физику стал вполне реальным. В блоге Cloudflare отмечается, что Precursor "повышает стоимость эксплуатации автоматизации, требуя имитации полноценной сессии. Это значительно сложнее в разработке, дороже в поддержке и гораздо менее надежно в эксплуатации при масштабировании."
В этом и заключается вся цель разработки. Не сделать автоматизацию невозможной, а сделать ее экономически невыгодной.
Что это значит для команд по работе с данными
Меняются три вещи, и ни одна из них не обойдется дешево.
Во-первых, бюджеты сессий заменяют бюджеты запросов. Если вы планируете мощности для цели, защищенной Cloudflare, перестаньте мыслить в рамках запросов в секунду и начните мыслить в рамках сессий в час: сколько независимых, непрерывно выглядящих путей пользователя вы можете поддерживать, и какова продолжительность каждого из них? Короткие всплески являются именно тем паттерном, на который настроен Precursor. переосмысление математики proxy, о котором мы писали в мае, здесь тоже применимо. Размер пула больше не является потолком, теперь это реалистичность сессии.
Во-вторых, расчет "создавать или покупать" еще больше склоняется в сторону покупки. Поддержка скрапера против защиты на уровне запросов требует разовой интеграции и редких патчей. Поддержка против защиты на уровне сессии означает постоянные исследования и разработки в области поведения: моделирование темпа, траектории курсора, распределение времени задержки и способы сохранения тестового покрытия для всего этого. Если вы сомневались насчет аутсорсинга сбора веб-данных, теперь цифры говорят не в пользу самостоятельной разработки.
В-третьих, тот, кто первым запустит Precursor в масштабе, установит новый базовый уровень обнаружения для всей индустрии. Cloudflare защищает примерно 20% интернета. Если клиенты из сфер электронной коммерции и финансов агрессивно включат Precursor в следующем квартале, это почувствует стек скрапинга у всех остальных, в том числе на сайтах, которые никогда сами не устанавливают Precursor, потому что экосистема защитников следит за тем, что работает, и быстро копирует.
Сдвиг временных рамок, о котором никто не говорит
Мы писали про переход к поведенческому обнаружению три месяца назад. Precursor является превращенной в продукт версией этого тренда, и он меняет привязку окна измерений.
Раньше обнаружение ботов происходило в рамках одного запроса. Теперь это происходит на протяжении сессии, которая длится минуты, а иногда и дольше. Это единственное изменение влияет на каждую тактику скрейпинга, написанную в то время, когда единицей обнаружения был один вызов. Ротация прокси, фаззинг заголовков, ограничение частоты запросов на уровне секунд теряют актуальность, если функцией потерь является поведенческая согласованность в течение пяти минут взаимодействия.
Вопрос не в том, продолжает ли развиваться обнаружение ботов. Это очевидно. А в том, мыслит ли ваш стек сбора данных по-прежнему запросами, когда защитник мыслит сессиями.