# Web Unlocker API — von 403 zu 200 | QuantumProxies.io

Web Unlocker API und Proxy: Residential-IP, TLS-Fingerprint eines echten Browsers, neuer Exit bei jeder Abweisung, echter Browser für JavaScript-Challenges.

## Web Unlocker API für Seiten, die Ihren Scraper abweisen

Sie schicken die URL, wir bringen die Seite zurück, die mit 403 geantwortet hat: eine Residential-IP, der TLS-Fingerprint eines echten Browsers, ein neuer Exit bei jeder Abweisung und ein echter Browser, wenn die Seite JavaScript verlangt. Die Antwort trägt Status, Versuche, Zeit und Kosten, damit Sie immer wissen, was passiert ist.

- **88.9%** der Aufrufe lieferten die echte Seite
- **4.1 s** Medianzeit bis zur Seite (p50)
- **27** anti-bot-geschützte Ziele, je 3 Durchläufe

Gemessen am 2026-11-11 von unserem eigenen Canary: 72 von 81 Aufrufen. Captcha-Demoseiten laufen mit, zählen aber nicht, weil interaktive Captchas nicht gelöst werden.

![QuantumProxies Web Unlocker: ein POST an /api/v1/scraper/unlock mit einer URL und einem Land, die Anfrage von einer Residential-IP unter dem TLS-Fingerprint eines Browsers erneut gesendet, ein echter Browser in Bereitschaft, und die Seite, die 403 geantwortet hatte, kommt als 200 OK zurück mit Status, blocked-Flag, gewinnender Stufe und Versuchsprotokoll.](https://quantumproxies.io/images/web-unlocker/web-unlocker-403-to-200.webp?v=20261104)

## Von 403 zu 200, gemessen

### Was Ihr Client bekommt

**403**

Ein 403, eine Sicherheitsprüfung oder eine JavaScript-Challenge statt der Seite, so sauber die IP auch ist und welchen User-Agent Sie auch setzen.

### Was der Web Unlocker am 2026-11-11 zurückgab

**200**

88.9% von 81 Aufrufen an 27 geschützte Ziele kamen als echte Seite zurück: Median 4.1 s, p95 28.8 s.

Unser eigener Canary, keine Prospektzahl: dieselben Ziele, je 3 Durchläufe. Der Durchlauf wird wiederholt, und jede Zahl auf dieser Seite wird aus seiner Datei neu erzeugt.

### Erfolgsquote nach Anti-Bot-System

Erzeugt aus dem Canary-Durchlauf vom 2026-11-11, 3 Durchläufe auf denselben Zielen. Seiten mit interaktivem Captcha sind ausgenommen.

| Anti-Bot-System | Erfolg | Medianzeit | Aufrufe |
| --- | --- | --- | --- |
| Cloudflare | 100% | 8.9 s | 9 |
| DataDome | 91.7% | 10.4 s | 12 |
| Akamai | 75% | 2.4 s | 12 |
| PerimeterX / HUMAN | 100% | 1.8 s | 9 |
| Kasada | 100% | 16.1 s | 6 |
| F5 BIG-IP | 100% | 3.4 s | 6 |
| Imperva | 83.3% | 7.4 s | 6 |
| AWS WAF | 66.7% | 14.3 s | 6 |
| Amazon | 66.7% | 4.1 s | 3 |
| Google | 66.7% | 7.5 s | 3 |
| Other sites | 100% | 2.0 s | 6 |
| Reddit | 100% | 1.7 s | 3 |

### So messen wir

Diese Zahlen stammen aus unserem eigenen Canary, einem Durchlauf, den wir auf denselben Seiten wiederholen. Kundenverkehr ist nie Teil davon.

- Eine feste Liste geschützter Seiten, gruppiert nach dem Schutzsystem davor.
- 3 Durchläufe über die ganze Liste.
- Ein Aufruf gilt nur als Erfolg, wenn er die echte Seite mit Status 200 zurückbringt.
- Challenge-Seiten, leere Antworten und Timeouts zählen als Fehlschläge.
- Captcha-Demoseiten laufen ebenfalls mit, werden aber nicht mitgezählt.

**Letzter Durchlauf: 2026-11-11. 27 Seiten, je 3 Durchläufe: 81 Aufrufe, 72 echte Seiten (88.9%).**

- [Datendatei dieses Durchlaufs herunterladen (JSON)](https://quantumproxies.io/data/unlocker-canary.json)
- [Live-Statusseite](https://quantumproxies.io/web-unlocker/status)

## Welches Produkt Sie brauchen

Drei Produkte teilen sich dasselbe Residential-Netz. Welches Sie aufrufen, hängt davon ab, was das Ziel mit Ihrer Anfrage macht.

### Web Unlocker

Die Seite weist Ihren Client mit 403, einer Sicherheitsprüfung oder einer Challenge ab: ein Aufruf bringt die echte Antwort zurück, mit jeder Methode, Ihren eigenen Headern und Body, einem Login oder Warenkorb auf einem Exit, abgerechnet pro GB aus einem Prepaid-Guthaben.

### [Residential Proxies](https://quantumproxies.io/de/residential-proxies)

Ihr Client kommt bereits durch und Sie brauchen nur eine andere IP: ein Residential-Exit mit derselben Username-Grammatik (Land, Bundesstaat, Stadt, Session) über HTTP oder SOCKS5.

### [Extract API](https://quantumproxies.io/de/extract-api)

Sie wollen die Seite als Markdown, Text oder JSON und brauchen weder die Rohantwort noch einen POST oder ein eigenes Cookie-Jar.

## Welcher Endpunkt

Derselbe Motor hinter drei Türen. Wählen Sie nach dem, was Ihr Code schon spricht; die Snippets sind dieselben, die das Dashboard mit Ihren eigenen Zugangsdaten füllt.

### REST-API

Sie können Ihren Code ändern: ein JSON-Aufruf hinein, eine JSON-Antwort heraus, kein Zertifikat zu installieren.

`POST https://app.quantumproxies.io/api/v1/scraper/unlock`

```
curl -X POST https://app.quantumproxies.io/api/v1/scraper/unlock \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"url": "https://example.com/", "country": "us"}'
```

### Proxy (CONNECT)

Sie haben schon einen Scraper, der Proxy spricht: richten Sie ihn mit Ihrem Unlocker-Benutzer und -Passwort auf Host und Port, und installieren Sie die CA einmal.

`http://unlock.quantumproxies.io:9000`

```
# once: curl -o unlocker-ca.pem https://app.quantumproxies.io/api/v1/scraper/unlock/ca
curl --proxy http://unlock.quantumproxies.io:9000 \
  --proxy-user "USER:PASS" \
  --cacert unlocker-ca.pem \
  https://example.com/
```

### Direktmodus

Proxy ohne Zertifikat: schicken Sie die Anfrage über den Proxy an http://unlock/ und nennen Sie das Ziel im Header x-qp-url.

`http://unlock.quantumproxies.io:9000, then http://unlock/`

```
curl --proxy http://unlock.quantumproxies.io:9000 \
  --proxy-user "USER:PASS" \
  -H "x-qp-url: https://example.com/" \
  http://unlock/
```

## Browser-Aktionen, Batches, Cache und fertige Clients

### Browser-Aktionen vor der Erfassung

Im REST-Aufruf können Sie auflisten, was der Browser tut, bevor die Seite erfasst wird: klicken, tippen, scrollen, warten.

### Batches mit bis zu 100 URLs

Senden Sie bis zu 100 URLs in einem Batch und erhalten Sie einen Webhook, sobald sie fertig sind.

### Ein Cache mit der Laufzeit Ihrer Wahl

Sie legen fest, wie lange eine Seite im Cache bleibt. Solange sie im Cache liegt, kostet ein erneuter Abruf derselben Seite nichts.

### Zwei Clients zum Herunterladen und eine Migrationstabelle

In der Dokumentation finden Sie zwei Clients in je einer Datei, einen für Node.js und einen für Python, sowie eine Migrationstabelle für Code, der für einen anderen Unlocker geschrieben wurde.

[Web-Unlocker-Dokumentation öffnen](https://quantumproxies.io/docs/#tag/Web-Unlocker)

## Video: der Web Unlocker im Dashboard

Ein Rundgang durch die Web-Unlocker-Seite des Dashboards: GB kaufen, einen Zugang wählen und die erste Anfrage senden. Auf Englisch, mit Untertiteln.

## So funktioniert der Web Unlocker

### 1 · Ihre Anfrage geht als Browser hinaus

Die Identitäts-Header Ihres Clients (User-Agent, Accept, Sec-Fetch-*) werden durch einen Satz ersetzt, der zum TLS-Handshake eines echten Browsers passt. Authorization, Cookies, Content-Type und eigene Header gehen unverändert durch.

### 2 · Eine Abweisung wiederholt auf einem frischen Residential-Exit

Eine Challenge oder ein 403 löst einen neuen Versuch auf einem neuen Exit mit einer anderen Fingerprint-Familie aus, bis zu drei TLS-Versuche, alle in einem Zeitbudget: 60 Sekunden standardmäßig, bis zu 120 mit timeout_ms.

### 3 · Immer noch blockiert? Ein echter Browser übernimmt

Wenn die TLS-Stufe weiter herausgefordert wird, öffnet ein echter Browser die Seite und beantwortet die JavaScript-Challenge. Mit einer Sticky-Session wird die erworbene Clearance behalten und bei Ihren nächsten Anfragen an diese Seite wiederverwendet.

Die Web Unlocker API ist für die Seiten, die ein normaler HTTP-Client nicht bekommt: die, bei denen die Anti-Bot-Schicht den TLS-Handshake und die HTTP/2-Einstellungen bewertet, bevor sie einen einzigen Header liest. Ein fetch- oder requests-Aufruf trägt die Signatur seiner Laufzeit, welchen User-Agent er auch setzt. Der Unlocker korrigiert das auf der Transportschicht, wiederholt auf einem frischen Residential-Exit, wenn der Origin abweist, öffnet einen echten Browser, wenn JavaScript verlangt wird, und gibt die Rohantwort des Origins zurück: jede Methode, Ihre eigenen Header und Body, ein Login oder Warenkorb auf einer Exit-IP.

## Was ein Web Unlocker tut, was ein Proxy nicht tut

Ein rotierender Residential-Proxy ändert, woher eine Anfrage kommt. Er ändert nicht, wie die Anfrage aussieht: TLS-Handshake, Reihenfolge der HTTP/2-Frames und Header-Satz sagen weiterhin Python oder Node, und genau das bewerten moderne Bot-Wälle. Ein Web Unlocker schreibt die Anfrage so um, wie ein echter Browser sie senden würde, wiederholt unter einem anderen Fingerprint, wenn der Origin sie abweist, und wechselt zu einem echten Browser, wenn der Origin JavaScript verlangt. Sie behalten die Proxy-Schnittstelle; der Unlocker fügt das Urteil hinzu.

## TLS-Fingerprints echter Browser

Jeder Versuch geht unter dem TLS-Profil eines echten Browsers hinaus, mit passend umgeschriebenen Identitäts-Headern, denn ein Chrome-Handshake mit Firefox-User-Agent ist ein lauteres Signal als jedes von beiden allein. Legen Sie ein Profil fest (Chrome, Firefox, Safari, Safari iOS, Edge, Brave oder mobiles Safari am REST-Endpunkt), wenn eine Seite eines erwartet; legen Sie keines fest, rotieren die Wiederholungen zwischen Chrome, Firefox und Brave, sodass eine Seite, die einen Handshake verbrannt hat, einem anderen begegnet. Authorization, Cookie, Content-Type und eigene X-*-Header werden unverändert weitergegeben, und keepHeaders sendet Ihre Header so, wie sie sind, wenn Sie eine mitgeschnittene App-Anfrage wiederholen.

## Modi, Formate und das Zeitbudget

mode auto, der Standard, steigt die Leiter hinauf: zuerst die TLS-Stufe, ein frischer Exit bei einer Abweisung, der Browser, wenn die Seite weiter herausfordert. mode tls öffnet den Browser nie; mode browser beginnt darin. format liefert den Body als html, markdown oder text, und render png macht einen Screenshot. Der ganze Aufruf, Wiederholungen und Rendering inklusive, passt in ein Budget von standardmäßig 60 Sekunden, bis zu 120 mit timeout_ms, und max_bytes deckelt den Verkehr, den ein Aufruf bewegen darf. Die Antwort sagt, welche Stufe gewonnen hat (tier_served), listet jeden Versuch mit Stufe, Profil, Exit-Land, Ergebnis, Millisekunden und Bytes (attempt_log) und nennt die Kosten in Bytes und Dollar zum Preis Ihrer Stufe.

## Eine Blockade wird gemeldet, nie als Erfolg getarnt

Jede Antwort wird klassifiziert, bevor sie Sie erreicht. Der Klassifizierer liest, womit Bot-Abwehrsysteme ihre Seiten signieren, und benennt sowohl das System (Cloudflare, DataDome, Akamai, PerimeterX und andere) als auch die Klasse der Blockade: js_challenge, captcha, access_denied, rate_limited, fingerprint, geo oder timeout. Am REST-Endpunkt kommt eine weiterhin blockierte Seite als 200 mit blocked auf true und der Seite selbst zur Prüfung an, oder als 424 target_blocked, wenn Sie fail_on_block setzen. Am Forward-Proxy wird der Status des Origins mit dem Header x-qp-unlocker-blocked weitergereicht. Interaktive Captchas werden nicht gelöst: sie kommen als captcha gekennzeichnet zurück.

## Sessions, Geo-Targeting und Gedächtnis pro Seite

Übergeben Sie ein Land, und einen Bundesstaat oder eine Stadt, wo das Netz sie hat, um aus diesem Markt auszutreten. Lassen Sie es leer, wird das Exit-Land aus der Top-Level-Domain des Ziels gelesen, dann aus dem Land Ihres Kontos, die USA nur als letzter Ausweg. Eine Sticky-Session-ID hält eine Exit-IP über Aufrufe hinweg für 3 bis 1.440 Minuten, sodass ein Login, ein Warenkorb oder eine paginierte Liste auf einer Identität bleibt. Der Unlocker merkt sich außerdem pro Domain, welche Stufe und welche Fingerprint-Familie zuletzt durchkamen, und beginnt beim nächsten Mal dort, und er sperrt einen Exit, den eine Seite gerade abgewiesen hat, statt ihn dieser Seite erneut anzubieten.

## Stufen Premium und Mobile, Prepaid pro GB

Der Web Unlocker läuft auf zwei Exit-Pools: Premium auf Residential-IPs und Mobile auf 4G/5G-Mobilfunk-IPs, jeder mit eigenem Prepaid-GB-Guthaben, im Dashboard ab 1 GB gekauft, per Karte, PayPal, Krypto oder Kontoguthaben. Die Nutzung wird in bewegten Bytes gemessen, Wiederholungen und Browser-Renderings inklusive, und wenn ein Guthaben aufgebraucht ist, ist die Antwort ein 402 mit dem Link zum Aufladen statt eines stillen Fehlers. Der Preis pro GB jeder Stufe steht auf der Web-Unlocker-Seite des Dashboards neben dem Kaufen-Button. Kein Abonnement, keine Mindestlaufzeit.

## Ein Fehlerkatalog, mit dem nächsten Schritt

REST und Proxy teilen sich einen Katalog. Jeder Fehler nennt seinen Code und sagt, ob sich ein neuer Versuch lohnt, ob er berechnet wurde und was als Nächstes zu tun ist: no_credit (402) mit dem Kauflink, target_blocked (424) mit Blockadeklasse und Versuchsprotokoll, rate_limited (429, 20 Aufrufe pro Minute und 10 gleichzeitig bei Pay-as-you-go, mit Retry-After), render_failed und upstream_failed (503), timeout (504), wenn timeout_ms abgelaufen ist. Ein 403 oder 429 mit einer echten Seite ist keine Blockade und wird als solcher zurückgegeben.

## Häufig gestellte Fragen

### Was ist ein Web Unlocker?

Ein Web Unlocker ist ein Dienst, der eine gewöhnliche HTTP-Anfrage so an eine bot-geschützte Seite liefert, wie es ein echter Browser täte: von einer Residential-IP, unter dem TLS-Fingerprint eines Browsers mit passenden Headern, mit Wiederholung auf einer frischen IP bei Abweisung und einem echten Browser für JavaScript-Challenges. Er gibt die Rohantwort des Origins zurück, mit den Versuchen und den Kosten.

### Worin unterscheidet sich ein Web Unlocker von einem Residential Proxy?

Ein Proxy ändert nur die Quell-IP. TLS-Handshake und Header-Satz Ihres Clients verraten weiterhin ein automatisiertes Werkzeug, und genau das bewerten moderne Bot-Wälle. Der Unlocker schreibt die Anfrage browsergerecht um, wiederholt bei Abweisung unter einem anderen Fingerprint und eskaliert zu einem echten Browser, wenn JavaScript verlangt wird. Residential Proxies sind der richtige Kauf, wenn Ihr Client bereits durchkommt.

### Löst der Web Unlocker CAPTCHAs?

Er beantwortet JavaScript-Challenges mit einem echten Browser und behält in einer Sticky-Session das Clearance-Cookie für die nächsten Anfragen an diese Seite. Interaktive Captchas, die einen Menschen brauchen, etwa hCaptcha, reCAPTCHA oder ein Klick-Kästchen, werden nicht gelöst: die Antwort kommt als captcha gekennzeichnet zurück, mit dem Anbieter benannt, und der bewegte Verkehr wird pro GB berechnet, sofern das Dashboard nichts anderes angibt.

### Gibt es eine kostenlose Testphase für den Web Unlocker?

Das Konto zu erstellen ist kostenlos und dauert eine Minute, und die Web-Unlocker-Seite des Dashboards hat ein Feld Test a URL, das Status, Versuche, Zeit und Kosten eines Aufrufs zeigt. Unlocker-GB werden pro Stufe ab 1 GB vorausbezahlt, und was die ersten Testaufrufe kosten, steht neben dem Feld. Die kostenlose Residential-Testphase gilt für einfache Residential Proxies, nicht für den Unlocker.

### Kann ich ihn aus Python, Node.js, PHP, Go oder curl aufrufen?

Ja. Der REST-Endpunkt ist ein normaler HTTPS-POST, den jede Sprache beherrscht; die Tabs oben tragen dieselben curl-, Python-, Node.js-, PHP- und Go-Snippets, die das Dashboard mit Ihren Zugangsdaten füllt. Scrapy, Playwright oder jeder Client mit Proxy-Einstellung nutzt den CONNECT-Proxy, und der Direktmodus funktioniert dort, wo sich kein Zertifikat installieren lässt.

### Ist der Web Unlocker ein Proxy oder eine API?

Beides, auf einem Konto und einem Guthaben. REST, wenn Sie Ihren Code ändern können: JSON hinein, JSON heraus, kein Zertifikat. Proxy, wenn Ihr Scraper schon Proxy spricht: Host, Port, Benutzer und Passwort, mit einmal installierter CA. Direktmodus, wenn Sie den Proxy ohne Zertifikat wollen: schicken Sie die Anfrage an http://unlock/ und nennen Sie das Ziel in x-qp-url.

### Was passiert, wenn eine Seite nach jedem Versuch blockiert bleibt, und zahle ich dafür?

Sie wird nie als stiller Erfolg zurückgegeben. Der REST-Endpunkt setzt blocked auf true und nennt Blockadeklasse und Anbieter neben der Seite, oder antwortet 424 target_blocked, wenn Sie fail_on_block setzen; der Proxy reicht den Status des Origins mit x-qp-unlocker-blocked weiter. Die bewegten Bytes werden pro GB berechnet, sofern das Dashboard nichts anderes angibt, und das Versuchsprotokoll zeigt, was sie gekauft haben.

### Kann ich dieselbe IP über mehrere Anfragen behalten?

Ja. Übergeben Sie eine Session-ID, im Body der Anfrage oder im Proxy-Benutzernamen, und jeder Aufruf mit dieser ID geht 3 bis 1.440 Minuten lang von derselben Exit-IP aus. So bleibt ein Login, ein Warenkorb oder eine paginierte Liste auf einer Identität, statt bei jeder Seite die IP zu wechseln.

### Aus welchen Ländern kann ich austreten?

Übergeben Sie country, und state oder city, wo das Netz sie hat, und die Stufe Premium tritt auf Residential-IPs aus diesem Markt aus; die Stufe Mobile tut dasselbe auf 4G/5G-Mobilfunk-IPs. Lassen Sie es leer, wird der Exit aus der Top-Level-Domain des Ziels gewählt, dann aus dem Land Ihres Kontos, die USA als letzter Ausweg.

### Muss ich ein Zertifikat installieren?

Nur für HTTPS über den CONNECT-Proxy, der TLS terminiert, um die Anfrage umzuschreiben: laden Sie die CA einmal mit Ihrem Schlüssel von der API herunter. Der Direktmodus, bei dem das Ziel im Header x-qp-url steht, und der REST-Endpunkt brauchen überhaupt kein Zertifikat.

### Kann er klicken, tippen oder scrollen, bevor die Seite erfasst wird?

Ja, im REST-Aufruf. Fügen Sie eine Liste von Browser-Aktionen hinzu (klicken, tippen, scrollen, warten), und der Browser führt sie der Reihe nach aus, bevor die Seite erfasst wird.

### Kann ich viele URLs auf einmal senden?

Ja. Ein Batch nimmt bis zu 100 URLs in einem Aufruf an, und ein Webhook meldet, wenn sie fertig sind.

### Zahle ich erneut, wenn ich dieselbe Seite zweimal abrufe?

Nicht, solange die Seite im Cache liegt. Die Cache-Laufzeit wählen Sie im Aufruf: Bis sie abläuft, wird dieselbe Seite aus dem Cache beantwortet und kostet nichts.

### Was kostet der Web Unlocker?

Er wird pro bewegtem GB berechnet, aus einem Prepaid-Guthaben, das Sie im Dashboard für die genutzte Stufe kaufen, Premium auf Residential-Exits oder Mobile auf Mobilfunk-Exits, ab 1 GB. Wiederholungen und Browser-Renderings zählen. Der aktuelle Preis pro GB steht vor dem Kauf auf der Web-Unlocker-Seite des Dashboards; kein Abonnement, keine Mindestlaufzeit.

## Verwandte Produkte

- [Residential Web Unlocker](https://quantumproxies.io/web-unlocker/residential)
- [Mobiler Web Unlocker mit 4G/5G-IPs](https://quantumproxies.io/web-unlocker/mobile)
- [Web-Unlocker-Status und gemessene Erfolgsquote](https://quantumproxies.io/web-unlocker/status)
- [Web Unlocker für Cloudflare](https://quantumproxies.io/web-unlocker/cloudflare)
- [Web Unlocker für DataDome](https://quantumproxies.io/web-unlocker/datadome)
- [Web Unlocker für Akamai Bot Manager](https://quantumproxies.io/web-unlocker/akamai)
- [Web Unlocker für PerimeterX (HUMAN)](https://quantumproxies.io/web-unlocker/perimeterx)
- [Web Unlocker für Kasada](https://quantumproxies.io/web-unlocker/kasada)
- [Web Unlocker für Imperva (Incapsula)](https://quantumproxies.io/web-unlocker/imperva)
- [Web Unlocker für F5 (BIG-IP, Shape)](https://quantumproxies.io/web-unlocker/f5)
- [Web Unlocker für AWS WAF](https://quantumproxies.io/web-unlocker/aws-waf)
- [Extract API: jede Seite als Markdown, HTML oder JSON](https://quantumproxies.io/de/extract-api)
- [SERP API: Suchergebnisse als strukturiertes JSON](https://quantumproxies.io/de/serp-api)
- [Residential-Premium-Proxies](https://quantumproxies.io/de/residential-proxies)
- [Mobile Proxies auf 4G/5G-Mobilfunk-IPs](https://quantumproxies.io/de/mobile-proxies)
- [REST-API-Referenz](https://quantumproxies.io/de/api)
- [MCP-Server für KI-Agenten](https://quantumproxies.io/de/mcp-server)

## Sources

- [RFC 9110: HTTP Semantics — safe and idempotent methods](https://www.rfc-editor.org/rfc/rfc9110.html#name-safe-methods)
- [RFC 9110: The CONNECT method](https://www.rfc-editor.org/rfc/rfc9110.html#name-connect)
- [RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3](https://www.rfc-editor.org/rfc/rfc8446.html)
- [Proxy-Authorization header (MDN Web Docs)](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Proxy-Authorization)
- [JA3: a method for profiling SSL/TLS clients (Salesforce, GitHub)](https://github.com/salesforce/ja3)