Dentro de un navegador headless: cómo se detecta de verdad la automatización

La mayoría de las herramientas de scraping y abuso del checkout se basan en los mismos pocos frameworks: Selenium, Puppeteer y Playwright. Eso es cómodo para quienes manejan bots, porque están bien documentados y son fáciles de programar. También significa que dejan una huella constante y bien conocida.

Lo que los delata

Algunas de las señales más fiables:

• Marcas de WebDriver: navigator.webdriver y otras propiedades de automatización vienen activadas por defecto, salvo que quien maneja el bot las elimine a propósito
• GPU por software: los entornos headless suelen recurrir a renderizado por software (SwiftShader, llvmpipe) en vez de hardware real, y eso se ve claramente en las huellas de WebGL y canvas
• Datos del entorno que no cuadran: un user agent que dice ser Chrome en macOS, con fuentes, zona horaria y número de núcleos que no encajan con ningún Mac real, es una señal fuerte
• Interacción ausente o artificial: sin composición real acelerada por GPU, sin un ritmo natural de entrada y con eventos que se disparan en patrones que ningún dispositivo humano produce

Por qué arreglar una sola señal no basta

Los operadores más avanzados sí falsean parte de esto: ocultan navigator.webdriver, se inventan un fabricante de GPU, inyectan movimientos de ratón falsos. El contraste sigue funcionando porque falsear todas las señales de forma coherente sale caro. Ocultar la marca de WebDriver no arregla un renderizador WebGL que no cuadra. Una trayectoria de ratón por script no reproduce el micro temblor de un trackpad real.

Skyfense puntúa decenas de estas señales juntas en lugar de fiarse de una sola. Una visita limpia en diecinueve señales e incoherente en una recibe una decisión muy distinta de una visita incoherente en todas, y esa combinación es mucho más difícil de falsear de golpe para los frameworks de automatización.