Отпечаток TLS

Также встречается как: JA3, JA4.

Ещё до того, как появится хоть один HTTP-запрос, клиент открывает TLS-соединение сообщением ClientHello: поддерживаемые версии протокола, предлагаемые наборы шифров, объявленные расширения, принимаемые эллиптические кривые и — что важно — порядок, в котором всё это перечислено. Разные TLS-библиотеки делают там разный выбор, поэтому хеш этой структуры даёт отпечаток программы, которая соединяется. JA3 и его преемник JA4 — принятые форматы. Снимают его на сетевой границе, ниже браузера, — поэтому ничто из работающего на странице не может его ни изменить, ни увидеть.

Практический смысл — ловить клиентов, выдающих себя не за тех: скрипт на обычной HTTP-библиотеке, посылающий user-agent Chrome, имеет отпечаток TLS, которого ни один Chrome никогда не выдавал, и это несовпадение решает всё. Argus не меняет отпечаток TLS и не заявляет обратного: он поставляет настоящую сборку Chromium, поэтому рукопожатие — настоящее рукопожатие Chromium, соответствующее браузеру, которым он себя называет. Это не пробел, а суть, и во многом поэтому сбор из настоящего браузера проходит там, где headless-клиент не проходит, — как описано на странице о сборе данных.