Huella digital TLS (JA3/JA4): Por qué las IP limpias aún son bloqueadas

Tu IP residencial está limpia, tus encabezados son perfectos, y aún así obtienes un 403 en la primera solicitud. La pista es tu saludo TLS: la huella digital que los sistemas anti-bot leen antes de que se intercambie cualquier HTTP.

Aquí hay un rompecabezas que todo scraper enfrenta eventualmente: la IP residencial está limpia, el User-Agent es una cadena actual de Chrome, los encabezados están en perfecto orden, y la primera solicitud regresa 403. Nada que rotas lo soluciona. La razón es que el bloqueo ocurrió antes de que tus encabezados fueran leídos. Los sistemas anti-bot modernos identifican tu saludo TLS, y un cliente predeterminado de Python, Go o curl se anuncia como un bot en el ClientHello, una capa por debajo de HTTP. Esto es lo que hacen las huellas digitales JA3 y JA4, y por qué curl obtiene un 403 donde el navegador obtiene un 200 en la URL idéntica.

Lo que lee la huella digital TLS

Cada conexión HTTPS comienza con un saludo TLS. El cliente envía un ClientHello que anuncia, en un orden específico, qué versión de TLS desea, qué suites de cifrado soporta, qué extensiones ofrece (SNI, ALPN, y más), qué curvas elípticas, y qué formatos de puntos. Nada de eso nombra directamente tu navegador, pero la combinación exacta y el orden es una firma casi única de la pila de software. La lista de Chrome difiere de la de Firefox, y ambas difieren enormemente de las de requests de Python o net/http de Go. Lee el saludo, y puedes adivinar el cliente antes de que se intercambie un byte de HTTP.

JA3: cinco campos en un hash MD5

JA3, publicado en 2017 por ingenieros de Salesforce, es el método clásico. Toma cinco campos del ClientHello — versión TLS, cifrados, extensiones, curvas elípticas y formatos de puntos — los concatena y pasa la cadena a través de MD5. Un ejemplo concreto: los campos

771,4865-4866-4867,0-11-10-35-16-5-13,29-23-24,0

se convierten en el hash e7d705a3286e19ea42f587b344ee6865 — una huella digital que pertenece a una compilación estándar de curl. Los proveedores anti-bot mantienen bases de datos de estos hashes. Una solicitud cuyo JA3 coincide con una biblioteca de raspado conocida recibe un límite de tasa más estricto, un desafío, o un bloqueo total. La verificación más poderosa es la correlación: si tu User-Agent afirma ser Chrome 120 pero tu JA3 dice python-requests, esa contradicción por sí sola es suficiente para fallar.

Por qué JA3 dio paso a JA4

JA3 tiene una debilidad que lo rompió como una señal estable. Desde Chrome 110 y Firefox 114, los navegadores aleatorizan el orden de las extensiones TLS en cada conexión para resistir la identificación. Eso significa que un navegador real ahora produce un hash JA3 diferente en cada sesión, por lo que el JA3 bruto arroja falsos positivos en usuarios genuinos. La respuesta de la industria es JA3N (una variante normalizada que ordena las extensiones antes de hacer el hash, cancelando la aleatorización) y JA4, un esquema más reciente de FoxIO construido por el propio creador de JA3.

JA4 es más legible y más difícil de falsificar. Utiliza un formato de tres partes a_b_c, por ejemplo t13d1516h2_8daaf6152771_e5627efa2ab1. El prefijo por sí solo dice mucho: t para TCP, 13 para TLS 1.3, d para un SNI basado en dominio, 15 suites de cifrado, 16 extensiones, y h2 para HTTP/2 como el primer ALPN, seguido de dos hashes truncados de los cifrados ordenados y de las extensiones más algoritmos de firma. JA4 es uno de una familia: JA4S identifica el servidor, JA4H los encabezados HTTP, JA4X el certificado, y JA4T la capa TCP en bruto.

Diagrama que muestra un cliente predeterminado bloqueado en el saludo TLS frente a un cliente con forma de navegador que pasa, antes de que se envíe cualquier HTTP — La búsqueda JA3/JA4 ocurre en el saludo: una huella digital no coincidente es un 403 antes de que tus encabezados sean leídos.

Por qué una IP limpia no te salva

Esta es la parte que desconcierta a las personas que solo invierten en proxies. Una IP residencial impecable le dice al sitio que el tráfico proviene de una red real. Un saludo TLS no coincidente con el navegador le dice que el tráfico proviene de un script. Cuando esas dos señales no coinciden, el saludo gana, porque es mucho más difícil de falsificar por accidente. Puedes rotar a través de mil salidas limpias y aún fallar cada solicitud si las mil llevan el mismo JA3 de python-requests. La IP y la huella digital son ejes separados: tienes que acertar en ambos.

Concretamente, eso se muestra en las tasas de aprobación contra un objetivo protegido por Cloudflare: un cliente requests predeterminado aprueba aproximadamente el dos por ciento de las solicitudes, httpx con HTTP/2 lo hace un poco mejor, y un cliente coincidente con el navegador cruza a los ochenta y tantos. Mismo grupo de IP en cada caso. La variable es la pila TLS. Akamai eleva el listón combinando la huella digital TLS con una huella digital HTTP/2 — los valores del marco SETTINGS, tamaños de ventana y prioridades de flujo — por lo que incluso un JA3 correcto puede ser atrapado si la capa HTTP/2 parece programada. Nuestro desglose de por qué Akamai bloquea la mayoría del tráfico de proxies profundiza en esa pila.

Gráfico de barras de tasas de aprobación de Cloudflare por cliente, desde python-requests predeterminado a través de httpx y curl_cffi hasta navegadores sin cabeza — Misma IP limpia en cada caso: solo la pila TLS cambia la tasa de aprobación. La solución es el saludo, no la salida.

Las opciones de suplantación que realmente pasan

No puedes acoplar un saludo de navegador a un cliente estándar ajustando cadenas de cifrado: los controles de OpenSSL y urllib3 simplemente no exponen cada parámetro que JA3 lee. Lo que funciona es un cliente que habla el dialecto TLS exacto del navegador:

curl_cffi (Python) — enlaces sobre curl-impersonate. Un argumento, impersonate="chrome120", y tu JA3 coincide con el Chrome real.
curl-impersonate — un binario de curl modificado que reproduce las pilas TLS y HTTP de Chrome y Firefox desde la línea de comandos.
tls-client (Go) — un cliente HTTP con perfiles de navegador seleccionables (Chrome, Firefox, Safari) a nivel de saludo.
Automatización de navegador real — Playwright, Puppeteer o Selenium utilizan un motor de navegador real, por lo que el JA3 es genuino. El inconveniente es que otras señales (la bandera navigator.webdriver, canvas y WebGL) aún se filtran, por lo que las tasas de aprobación se sitúan alrededor del sesenta por ciento sin endurecimiento adicional.

# curl_cffi: a browser-shaped handshake in two lines
from curl_cffi import requests

session = requests.Session(impersonate="chrome120")
r = session.get(
    "https://example.com",
    proxies={"https": "http://USER:PASS@gate.quantumproxies.io:8000"},
    timeout=20,
)
print(r.status_code)  # matched JA3 + a clean residential exit

Nota el proxy en ese fragmento. La suplantación y una salida limpia son complementarias, no alternativas: el saludo con forma de navegador te hace pasar la verificación TLS, y una IP residencial limpia mantiene la solicitud fuera de las listas de bloqueo de reputación. Combínalos y solucionas ambos ejes a la vez.

Evita la carrera armamentista TLS con la Scraper API

Cuándo delegar todo el problema

La suplantación DIY funciona hasta que el objetivo rota su detección, agrega una huella digital HTTP/2, o requiere ejecución de JavaScript — entonces estás manteniendo una biblioteca de emulación de navegador como un segundo trabajo. Una Scraper API lleva una huella digital de navegador real y rotativa, coincide con la capa HTTP/2, ejecuta JS bajo demanda y devuelve HTML limpio, markdown o JSON de una sola llamada. Convierte la carrera armamentista TLS en el problema de otra persona mientras tú continúas con los datos. Para una visión más amplia de cómo los sitios marcan la automatización, consulta nuestra guía sobre cada señal de detección de proxies.

Preguntas frecuentes

¿Qué es una huella digital JA3?

Una huella digital JA3 es un hash MD5 de cinco campos tomados del TLS ClientHello — versión TLS, suites de cifrado, extensiones, curvas elípticas y formatos de puntos. Debido a que cada pila de software ordena esos campos de manera diferente, el hash identifica al cliente (Chrome, Firefox, curl, Python) antes de que se intercambie cualquier dato HTTP.

¿Cuál es la diferencia entre JA3 y JA4?

JA3 hace un hash de cinco campos ClientHello con MD5 y falla cuando los navegadores aleatorizan el orden de las extensiones. JA4, de FoxIO, ordena los campos antes de hacer el hash para que sobreviva a esa aleatorización, agrega un prefijo de metadatos legible por humanos, y cubre QUIC/HTTP/3, ALPN y algoritmos de firma. JA4 es la señal moderna más confiable; JA3N es una solución temporal normalizada para JA3.

¿Puedo eludir la huella digital TLS solo con proxies?

No. Los proxies cambian la IP, no el saludo. Si tu huella digital TLS coincide con una biblioteca de raspado conocida, rotar salidas no ayudará: cada solicitud aún lleva la firma del bot. Necesitas un cliente que reproduzca la pila TLS de un navegador, luego un proxy limpio encima para la reputación de IP.

¿Python requests tiene una huella digital TLS detectable?

Sí. requests utiliza urllib3 con un orden distintivo de cifrados y extensiones que los proveedores anti-bot han catalogado, por lo que su JA3 es una firma de bot conocida. Cambia a curl_cffi con un perfil impersonate para enviar un saludo coincidente con el navegador.

La huella digital TLS trasladó la lucha por debajo de HTTP, por lo que los trucos de encabezado y la rotación de IP dejaron de ser suficientes por sí solos. Coincide el saludo, mantén la salida limpia, y el problema de 403 en la primera solicitud desaparece. Esta es una guía técnica, no una licencia para ignorar los términos de un sitio: siempre raspa dentro de la ley y las reglas del objetivo.

Deja que la Scraper API maneje JA3, JA4 y HTTP/2