puppeteer-extra-plugin-stealth là gói anti-detect phổ biến nhất cho Puppeteer. Nó vẫn đạt hơn 600K lượt tải mỗi tuần trên npm. Nhưng bản cập nhật cuối cùng dừng ở tháng 3 năm 2023. Phiên bản mới nhất là v2.11.2 và sẽ không có phiên bản nào nữa: việc bảo trì đã ngừng, issue trên GitHub ngày càng chất đống và các hệ thống anti-bot đã tiến xa hơn nhiều.
Tóm tắt: Stealth plugin vá tín hiệu phát hiện bằng JavaScript override ở cấp trang. Năm 2026, các hệ thống anti-bot như Cloudflare, Akamai và DataDome kiểm tra những tín hiệu mà JavaScript không thể chạm tới: TLS fingerprint, CDP protocol artifact và sự khác biệt rendering ở cấp engine. Giải pháp không phải là plugin tốt hơn mà là xử lý ở tầng khác: patched driver để ẩn protocol leak hoặc patched browser để xử lý fingerprint ở cấp engine.
Stealth plugin thực sự làm gì
puppeteer-extra-plugin-stealth tích hợp 11 module né tránh chạy qua evaluateOnNewDocument. Mỗi module vá một bề mặt phát hiện:
| Module | Nội dung vá |
|---|---|
webdriver |
Xóa navigator.webdriver = true |
chrome.runtime |
Giả lập đối tượng chrome.runtime |
chrome.csi / chrome.app |
Thêm các Chrome API stub còn thiếu |
navigator.plugins |
Giả lập mảng plugin |
navigator.languages |
Ghi đè cài đặt ngôn ngữ |
navigator.permissions |
Sửa hành vi permission query |
media.codecs |
Giả lập hỗ trợ codec |
sourceurl |
Ẩn //# sourceURL khỏi script được inject |
iframe.contentWindow |
Sửa phát hiện cross-origin iframe |
webgl.vendor |
Giả lập chuỗi vendor/renderer WebGL |
user-agent-override |
Đặt User-Agent header thực tế |
Những bản vá này hoạt động trong giai đoạn 2021-2022 khi hệ thống anti-bot chủ yếu kiểm tra thuộc tính JavaScript ở cấp trang. Chúng không hiệu quả với những gì hệ thống phát hiện hiện đại thực sự kiểm tra.
Vì sao stealth plugin thất bại trong năm 2026
Phát hiện anti-bot đã chuyển xuống dưới tầng JavaScript. Các tín hiệu quan trọng hiện nay là những tín hiệu mà evaluateOnNewDocument không thể chạm tới.
Rò rỉ CDP protocol
Khi Puppeteer kết nối Chrome, nó gửi các lệnh CDP như Runtime.enable, Page.enable và Network.enable. Những lệnh này để lại dấu vết trong trạng thái nội bộ của trình duyệt mà script anti-bot có thể phát hiện. Stealth plugin hoạt động ở cấp trang, không phải cấp protocol, nên không thể xử lý CDP.
Chỉ riêng lệnh Runtime.enable đã đủ để nhận dạng phiên tự động hóa. Dù vá bao nhiêu ở cấp trang cũng không thể che giấu việc các lệnh CDP đã được phát ra.
TLS fingerprinting
Cloudflare kiểm tra TLS fingerprint (JA3/JA4) trước khi phục vụ bất kỳ HTML nào. Nếu TLS fingerprint sai, phiên của bạn bị thử thách hoặc chặn trước cả khi JavaScript của stealth plugin được tải. Plugin hoạt động ở cấp trang và không có quyền truy cập vào tầng TLS. Để hiểu chi tiết cách TLS fingerprinting hoạt động trong hệ thống phát hiện, xem phần network layer trong bài Tự động hóa trình duyệt không bị chặn.
Phát hiện JavaScript override
Script anti-bot không chỉ kiểm tra giá trị của navigator.webdriver mà còn kiểm tra property descriptor. Trình duyệt thật định nghĩa webdriver là native getter trên Navigator prototype. Stealth plugin ghi đè bằng Object.defineProperty, làm thay đổi flag configurable của descriptor và output toString() của getter function. Script phát hiện kiểm tra những khác biệt này.
Điều tương tự áp dụng cho các override khác. chrome.runtime, mảng plugin và permission query đều có sự khác biệt có thể phát hiện khi implementation gốc bị thay thế bằng JavaScript stub.
Khác biệt rendering headless
Ngay cả với --headless=new (chế độ headless mới hơn), Chrome vẫn render hơi khác so với headed Chrome. Font metric, Canvas output được GPU tăng tốc và API kích thước màn hình đều khác nhau. Stealth plugin vá một số thuộc tính navigator nhưng không thể thay đổi cách rendering engine hoạt động.
Những gì thay thế stealth plugin
Hệ sinh thái đã chia thành hai hướng: patched driver (sửa tầng protocol) và patched browser (sửa tầng engine). Chúng giải quyết những vấn đề khác nhau.
Patched driver: Rebrowser và Patchright
Rebrowser cung cấp bản thay thế trực tiếp cho Puppeteer và Playwright (rebrowser-puppeteer, rebrowser-playwright). Các bản vá nhắm vào CDP protocol artifact: chỉnh sửa cách Runtime.enable và các lệnh khác tương tác với trình duyệt để tránh để lại dấu vết. Bạn chỉ cần đổi tên package trong code, mọi thứ khác giữ nguyên.
// Before: detected
const puppeteer = require('puppeteer');
// After: CDP artifacts patched
const puppeteer = require('rebrowser-puppeteer');Patchright làm điều tương tự cho Playwright, tập trung vào Python. Nó vá rò rỉ Runtime.enable và được bảo trì tích cực.
Hạn chế: Patched driver sửa phát hiện protocol nhưng không giải quyết browser fingerprinting. Nếu trang kiểm tra Canvas, WebGL, AudioContext hoặc font rendering, bạn vẫn bị lộ. Patched driver trả lời câu hỏi "có phải tự động hóa không?" nhưng không trả lời "có phải thiết bị thật không?".
Patched browser: anti-detect engine
Patched browser sửa đổi chính Chromium để tín hiệu fingerprint nhất quán ở cấp engine. Canvas output, WebGL rendering, AudioContext data, font metric, kích thước màn hình, múi giờ và locale đều báo cáo giá trị khớp với một device profile thật.
Đây là cách Clawbrowser hoạt động. Đó là một Chromium fork với bản vá fingerprint ở cấp engine trên hơn 20 bề mặt, tích hợp proxy routing, ngăn rò rỉ WebRTC và hỗ trợ CDP gốc. Code Puppeteer hoặc Playwright hiện có của bạn kết nối qua CDP:
from playwright.async_api import async_playwright
async def automate_without_detection():
async with async_playwright() as p:
# Connect to Clawbrowser instead of stock ChromeNhững gì Clawbrowser xử lý mà stealth plugin không thể:
- Canvas/WebGL/AudioContext nhất quán ở cấp engine (không phải JavaScript stub)
- TLS fingerprint khớp với phiên Chrome thật
- Kết nối CDP không có artifact
Runtime.enable - Ngăn rò rỉ WebRTC ở cấp trình duyệt
- Proxy routing tích hợp với căn chỉnh địa lý
Để xem phân tích đầy đủ về những gì bị fingerprint, tham khảo Giải thích Browser Fingerprinting: Hơn 20 tín hiệu hệ thống anti-bot sử dụng.
Cách chọn công cụ phù hợp
Công cụ đúng phụ thuộc vào cái gì đang phát hiện bạn.
| Loại phát hiện | Triệu chứng | Giải pháp |
|---|---|---|
| CDP protocol artifact | Bị chặn ngay khi tải trang, không có CAPTCHA | Patched driver (Rebrowser, Patchright) |
| Browser fingerprint không khớp | CAPTCHA trên mọi trang hoặc dữ liệu khác biệt âm thầm | Patched browser (Clawbrowser) |
| TLS fingerprint không khớp | Bị chặn trước khi trang tải (403 ngay request đầu) | Patched browser với proxy routing |
| IP reputation | Bị chặn từ IP datacenter | Residential proxy (mọi phương pháp) |
| Phát hiện hành vi | Bị chặn sau 5-10 trang | Quản lý timing và session trong code |
Khi patched driver là đủ
Nếu bạn tự động hóa các trang có hệ thống phát hiện cơ bản chỉ kiểm tra CDP artifact mà không phân tích sâu browser fingerprint, Rebrowser hoặc Patchright sẽ đáp ứng được. Phần lớn trang có anti-bot nhẹ thuộc trường hợp này.
Khi cần patched browser
Nếu trang sử dụng Cloudflare Bot Management, Akamai Bot Manager, DataDome hoặc PerimeterX, bạn cần fingerprint nhất quán ở cấp engine. Khi hệ thống phát hiện kiểm tra đồng thời hơn 20 bề mặt trình duyệt, bản vá ở cấp trang hay cấp driver đều không đủ.
Clawbrowser là trình duyệt anti-detect dựa trên Chromium, miễn phí, chạy cục bộ. Nó có fingerprint quản lý sẵn, proxy routing, CDP gốc và MCP server tích hợp. Nó xử lý danh tính trình duyệt và tầng mạng để code của bạn chỉ cần lo hành vi và quản lý session.
Di chuyển từ stealth plugin
Nếu bạn đang dùng puppeteer-extra-plugin-stealth hoặc playwright-stealth, chuyển sang Clawbrowser mất chưa đến năm phút.
Before (stealth plugin)
const puppeteer = require('puppeteer-extra');
const StealthPlugin = require('puppeteer-extra-plugin-stealth');
puppeteer.use(StealthPlugin());
const browser = await puppeteer.launch({ headless: false });After (Clawbrowser)
const puppeteer = require('puppeteer-core');
// Connect to Clawbrowser over CDP
const browser = await puppeteer.connect({
browserWSEndpoint: 'ws://127.0.0.1:9222'Điểm khác biệt cốt lõi: bạn loại bỏ hoàn toàn puppeteer-extra và puppeteer-extra-plugin-stealth khỏi dependency. Không cần cấu hình plugin. Không cần chọn module né tránh. Anti-detection diễn ra ở cấp trình duyệt, không phải trong code.
Về các pattern dành cho scraping (phân trang, session warming, vượt Cloudflare), xem Web Scraping không bị phát hiện.
FAQ
puppeteer-extra-stealth hoàn toàn vô dụng?
Nó vẫn hoạt động trên các trang không có hệ thống anti-bot thương mại. Nếu trang đích chỉ kiểm tra navigator.webdriver và các thuộc tính JavaScript cơ bản, stealth plugin là đủ. Nhưng bất kỳ trang nào dùng Cloudflare, Akamai, DataDome, PerimeterX hoặc các nền tảng mạng xã hội như Facebook, Instagram, LinkedIn và X đều sẽ phát hiện nó.
playwright-stealth cũng gặp vấn đề tương tự?
Đúng. playwright-stealth dùng cùng một cách tiếp cận: JavaScript override qua page-level injection. Nó không thể chạm tới TLS fingerprint, CDP artifact hay engine-level rendering. Các hạn chế về phát hiện hoàn toàn giống nhau.
Có thể dùng Rebrowser và Clawbrowser cùng lúc không?
Không cần thiết. Clawbrowser xử lý cả tầng protocol lẫn tầng fingerprint. Bản vá Rebrowser hữu ích khi bạn dùng Chrome gốc và không thể chuyển sang anti-detect browser. Nếu đã dùng Clawbrowser, CDP artifact đã được xử lý sẵn.
Vì sao stealth vẫn có 600K lượt tải mỗi tuần?
Quán tính. Hầu hết tutorial và câu trả lời trên Stack Overflow vẫn giới thiệu nó. Lập trình viên copy-paste giải pháp từng hoạt động năm 2022 mà không kiểm tra xem package còn được bảo trì hay không. Lượt tải cao không đồng nghĩa với hiệu quả trước hệ thống phát hiện hiện đại.
Ngừng vá, hãy sửa từ gốc
Stealth plugin là giải pháp hợp lý khi anti-bot dựa vào kiểm tra ở cấp JavaScript. Phát hiện đã chuyển sang TLS fingerprint, phân tích CDP protocol và khác biệt rendering ở cấp engine. Vá ở cấp trang không thể chạm tới những tín hiệu này.
Cài đặt Clawbrowser để xử lý phát hiện ở cấp trình duyệt: sao chép prompt cài đặt từ clawbrowser.ai và dán vào AI agent của bạn. Xóa puppeteer-extra và puppeteer-extra-plugin-stealth khỏi dependency. Kết nối code Puppeteer hoặc Playwright hiện có qua CDP. Anti-detection nằm trong trình duyệt, không phải trong code.
Về mô hình phát hiện nền tảng, xem Tự động hóa trình duyệt không bị chặn: Hệ thống phòng thủ 4 tầng.
Continue exploring
Ask AI how Clawbrowser helps
Đọc tiếp
Bài viết liên quan
Vì sao Playwright script liên tục bị Cloudflare chặn và cách khắc phục
Cloudflare thực sự đọc gì từ Playwright session, vì sao phần lớn stealth fix ngừng hoạt động và structural answer nào bền vững trong production.
Đọc bài viết →
Web scraping không bị phát hiện: kỹ thuật vẫn hiệu quả
Hướng dẫn web scraping thực tế: khảo sát site, chọn HTTP hay browser, trích xuất dữ liệu, pagination, session và scale với Playwright.
Đọc bài viết →