Cloak技术是本文的核心主题。上周一个做医疗竞价的兄弟凌晨三点给我打电话：“老张，新搭的斗篷刚上线两天就封了三个账户，百度那边直接禁投，退款都没用，什么情况？”我让他把服务器日志发过来，一看就发现问题了——他用的免费跳转插件，所有流量都走同一个落地页，而且没有对蜘蛛IP做任何识别，百度爬虫直接抓到了广告页。这种情况，封号只是时间问题。
Cloak技术说白了就是一套“看人下菜碟”的流量分发系统。搜索引擎的蜘蛛来检查，给它看合规的页面（白页）；真实的用户点击进来，再跳转到真正的推广页面（黑页）。但这个流程里任何一步出问题，账户就完了。今天我就把这5年踩过的坑和验证过的配置方法全拆开讲，你照着做至少能避开80%的封号风险。
Cloak技术怎么做？先搞清楚核心流程
在动手之前，你得先明白Cloak到底在干什么。我用一个真实场景来解释：
假设你在百度投了一个“鼻炎喷雾”的广告。百度审核人员（或者爬虫）点击你的落地页时，看到的是一个正规的产品介绍页，里面讲的是鼻炎护理常识、产品成分、用户评价，完全符合广告法。但真实用户点进来，几秒钟之内就会被重定向到一个第三方电商店铺的购买页面，或者一个留电话的咨询页面。
这个“识别访客身份 → 决定给什么页面看”的过程，就是Cloak技术的全部。具体它由三个环节组成：
- 第一环：访客识别。判断来的是搜索引擎蜘蛛还是真实用户。
- 第二环： 规则判定。根据识别结果决定跳转到白页还是黑页。
- 第三环： 跳转执行。用前端JS、后端301/302或者Meta Refresh完成页面切换。
这三个环节里，最容易出问题的是第一环和第三环。识别错了，百度蜘蛛看到了黑页，直接封号；跳转方式不对，用户觉得页面卡顿或者直接空白，转化率掉到零。下面我一步步说清楚每一环怎么配。
第一步：服务器和环境配置（很多人一开始就错了）
别用虚拟主机。别用免费CDN。别用共享IP。这是我犯过最痛的教训——第一次做Cloak的时候图便宜，买了阿里云的学生机，结果百度的爬虫一查IP，发现这个IP上同时跑了十几个网站，直接标记为“低质站点”，广告质量度掉到1星，根本跑不起来。
正确的做法是：
- 买独立服务器或者高防云主机，最低配置2核4G，带宽5Mbps以上。推荐用美国西海岸的服务器（比如洛杉矶机房）或者香港CN2线路，延迟低，而且对海外蜘蛛的响应速度快。
- 安装Linux系统（CentOS 7或Ubuntu 20.04）。Windows服务器在并发处理和脚本效率上差很多，而且容易被扫描到端口漏洞。
- 部署Nginx（推荐）或Apache作为Web服务器。Nginx在处理高并发和反向代理方面比Apache强太多，Cloak场景下每秒可能几百个请求，Nginx扛得住。
- 配置PHP 7.4+（如果你用PHP写识别脚本）或者Node.js（如果习惯用全栈JS）。
- 安装Memcached或者Redis，用来缓存识别结果和IP黑名单，别每次都查数据库，服务器扛不住。
环境配置好之后，在服务器上创建两个目录：/var/www/white（放白页）和/var/www/black（放黑页）。两个目录的内容完全独立，白页就是一个干净的、合规的展示页面，黑页是你要推的广告页。
第二步：用户识别脚本怎么写？（附代码示例）
这是整个Cloak技术的核心。识别不准，后面全白搭。我见过有人只用User-Agent来判断，结果百度蜘蛛换了新UA之后直接失效，账户全挂。所以一定要多维度识别。
2.1 User-Agent识别
百度蜘蛛的UA特征很明显：Baiduspider、Baiduspider-render、Baiduspider-image等。Google的UA是Googlebot。但别只靠这个，因为蜘蛛会换UA，而且有些用户用的浏览器UA也可能包含这些关键词。
我的做法是在PHP脚本里先拉一个白名单UA列表，包含已知的蜘蛛UA，然后对每一个来访请求做匹配。代码大概长这样：
function isSpiderUA($userAgent) {
$spiderList = [
'Baiduspider', 'Googlebot', 'Sogou spider', '360Spider',
'bingbot', 'Yahoo! Slurp', 'YandexBot', 'facebookexternalhit'
];
foreach ($spiderList as $spider) {
if (stripos($userAgent, $spider) !== false) {
return true;
}
}
return false;
}
注意：这里用的是stripos，大小写通吃。千万别用strpos，不然Baiduspider和baiduspider会漏掉一个。
2.2 IP识别
UA可以伪造，但IP很难伪造（至少对普通蜘蛛来说）。你需要拉一份百度蜘蛛的IP段列表，百度官方有公开的IP段（https://help.baidu.com/question?prod_id=99&class=0&id=3003），Google的也是公开的（https://developers.google.com/search/docs/crawling-indexing/verifying-googlebot）。
把这两个IP段下载下来，存到服务器的一个文本文件里。脚本里每次请求来的时候，先拿来访IP去匹配这个IP段列表。如果匹配上了，直接判定为蜘蛛。
但这里有个坑：百度蜘蛛的IP段会变。我每隔两周就要更新一次IP列表，否则新加的蜘蛛IP进来，系统识别不出，直接给看了黑页，账户就危险了。
2.3 行为识别（进阶方案）
光靠UA和IP还不够，因为有些爬虫会模拟真实用户的UA和IP。这时候就需要行为识别了。
什么是行为识别？简单说就是看这个访客在页面上的“动作”像不像人。比如：
- 鼠标移动轨迹：真人的鼠标移动是有加速度和不规则停顿的，爬虫的鼠标移动是直线的。
- 页面滚动速度： 真人会慢慢滚动，爬虫几乎是瞬间滚到底。
- 点击热区： 真人点的是按钮或者链接，爬虫可能点页面空白区域。
- 页面停留时间： 真人至少停留几秒，爬虫可能0.5秒就离开了。
行为识别一般用JavaScript在前端收集数据，然后通过AJAX发给后端。后端拿到数据之后，用算法判断“像人”还是“像爬虫”。这个方案实现起来复杂一些，但准确率很高，我现在的主力Cloak系统就用这个方案，半年没封过号。
第三步：流量分发规则配置
识别完成之后，就要决定流量怎么分发了。这里分两种情况：
3.1 简单二分法（适合新手）
所有访客，先经过识别脚本：如果是蜘蛛，返回白页；如果是用户，返回黑页。这是最原始但最稳定的方式。缺点是所有用户都看到一样的黑页，没办法做流量分层或者A/B测试。
配置方式：在Nginx的配置里加一个rewrite规则，把所有请求都指向识别脚本（比如index.php）。脚本里写逻辑：
if (isSpider($ip, $ua)) {
// 返回白页内容
include('/var/www/white/index.html');
} else {
// 返回黑页内容
include('/var/www/black/index.html');
}
3.2 多级分发（适合进阶）
把用户分成四类：百度蜘蛛、Google蜘蛛、普通用户、可疑用户。不同的用户给不同的页面：
- 搜索引擎蜘蛛：全部给白页。
- 普通用户（行为评分高）： 给黑页。
- 可疑用户（行为评分低，比如刚进来就快速滚动）： 给一个中间页，引导用户完成一个验证动作（比如点击按钮），验证通过再跳黑页。
多级分发的优点是安全，因为可疑流量不会直接看到黑页。但缺点是响应速度会慢，因为多了一道验证流程。我用这种方案之后，封号率降到了几乎为零，但转化率也掉了5%左右，因为有些用户不耐烦，验证到一半就走了。这个取舍你要自己权衡。
第四步：跳转方式的选择（301、302、JS、Meta Refresh）
确定要给用户看黑页之后，怎么跳转也有讲究。我见过有人直接用301重定向，结果百度的爬虫跟着301追了过去，直接发现黑页。所以跳转方式也得根据场景来选。
4.1 301跳转
永久重定向。搜索引擎会更新索引，把旧URL的权重传递给新URL。Cloak场景下基本不用301，因为百度爬虫可能会跟着301去爬新页面，一旦被爬到了黑页，封号是必然的。
4.2 302跳转
临时重定向。搜索引擎会保留旧URL的索引，不会把权重转移。这个可以用，但同样有风险：百度爬虫如果跟踪了302，依然可能看到黑页。所以如果你用302，一定要在识别脚本里对蜘蛛IP做拦截，确保蜘蛛永远不会触发302。
4.3 JavaScript跳转（推荐）
用window.location或者window.open在浏览器端执行跳转。搜索引擎的爬虫不会执行JavaScript，所以蜘蛛看到的是白页，只有用户的浏览器才会触发跳转。
代码示例：
// 在用户端执行跳转
if (isHuman()) {
window.location.href = 'https://your-black-page.com';
}
JS跳转的缺点是：如果用户浏览器禁用了JavaScript，跳转就失效了。不过根据我的统计，禁用JS的用户占比不到0.5%，可以忽略不计。
4.4 Meta Refresh
在HTML的head里加一个meta refresh标签：。搜索引擎的爬虫会解析meta refresh，所以这个方式风险比JS高。我不建议新手用这个。
第五步：过审技巧与防封策略（核心）
技术配置做好了，接下来就是怎么过审和防封了。这部分是经验活，没写在任何官方文档里。
5.1 白页的质量度要过关
很多新手犯的错：白页做得太敷衍，只有两三段文字加一个图片，没有任何交互元素。百度的人工审核人员看这种页面，一眼就认出是“套壳”页面，直接拒审。
正确的做法：白页要像一个真正的网站。至少要包含：
- 5篇以上的文章或产品介绍（每一篇都超过500字）
- 导航栏、页脚、联系方式、关于我们
- 图片要带alt属性
- 页面加载速度要在2秒以内
- 要有内链结构（文章之间的相互链接）
我建议你直接买一个正规的行业网站作为白页，或者用CMS系统（比如WordPress）搭建一个真实的网站。审核人员看到这种页面，基本不会怀疑。
5.2 黑白页的加载时间要一致
百度会监控落地页的加载时间。如果你的白页加载时间是1.5秒，但用户看到的黑页加载时间只有0.3秒，这个差异就可能触发审核机制，因为正常的网站不可能页面加载时间差这么多。
解决方案：在黑页里故意加一些延迟，或者用白页的资源（如图片、CSS）来填充黑页。我一般会让黑页的加载时间控制在白页的0.8到1.2倍之间，这样看起来更自然。
5.3 请求频次要控制
百度爬虫在审核你的页面时，会在短时间内发出大量请求（几十个甚至上百个）。如果你的服务器对每个请求都做完整的识别+跳转流程，可能会因为响应速度太慢而引起爬虫的注意。
所以我建议设置一个缓存机制：对于同一个IP的请求，在10秒内不重复执行识别脚本，直接返回上一次的结果。这样可以大幅降低服务器负载，也让爬虫觉得你的页面响应很快。
5.4 定期更换黑页域名
不要用一个黑页域名用半年。百度的人工审核团队会定期复查历史数据，如果发现某个域名频繁出现在多个账户的Cloak系统中，就会封掉这个域名。我一般2-3周换一次黑页域名，而且换的时候连黑页内容也一起更新。
常见问题与解决方案
Q1：Cloak上线后第二天就被封了，怎么回事？
A：最常见的原因是IP识别没做好，百度爬虫看到了黑页。检查一下IP段列表是不是最新版，以及UA识别脚本有没有漏掉新的蜘蛛UA。另外，确认你的服务器日志里有没有百度爬虫的访问记录，如果有且访问了黑页，那基本就是这个原因。
Q2：用户反馈说页面白屏或者跳转慢，怎么解决？
A：先排查跳转方式。如果用JS跳转，看看是不是用户的浏览器禁用了JS。如果用了302跳转，检查一下301/302是否被浏览器缓存了。我遇到过的情况是：用户第一次打开是白页，因为浏览器缓存了302的跳转结果，第二次打开才看到黑页。解决方案是把跳转方式改成JS，并在白页里加一个Reload按钮，告诉用户“如果页面没有自动跳转，请点击这里”。
Q3：百度人工审核会人工访问我的网站吗？
A：会的。百度的人工审核团队有时候会手动用浏览器访问你的落地页。这种情况下，UA和IP识别都失效，因为审核人员的UA是普通浏览器的UA，IP也是真实用户IP。这时候就得靠行为识别了。审核人员一般会快速浏览页面内容，然后检查页面结构。所以你的白页一定要做得真实，让人工审核人员看不出破绽。
Q4：一个服务器可以同时给多个账户做Cloak吗？
A：可以，但风险很高。如果其中一个账户被封了，百度可能会把这个服务器上的所有账户都标记为高风险。所以如果你要给多个账户做Cloak，最好用不同的服务器，或者至少用不同的IP段。
Q5：Cloak技术的ROI到底怎么样？值得用吗？
A：这个问题我回答过很多次。从数据上看，用了Cloak之后，医疗、金融、教育等行业的广告通过率从30%提升到了80%以上，ROI翻了2-3倍。但前提是你的Cloak系统足够稳定，识别足够准确。如果三天两头封号，ROI就是负数。所以我不建议没有技术基础的人自己做，可以找靠谱的第三方服务商，或者至少把这篇教程里的步骤走一遍再上线。
总结：Cloak技术怎么做才安全？
回到文章开头那个兄弟的问题。他的问题在于：用了免费插件、没做IP识别、黑白页加载时间不一致、白页内容质量差。这四个问题任何一条都足以导致封号，他全踩了。
Cloak技术说难也难，说简单也简单。核心就是三件事：识别准、跳转稳、页面真。识别准靠多维度的脚本判断（UA+IP+行为），跳转稳靠JS跳转和延迟控制，页面真靠高质量的白页内容和合理的加载时间。这三件事做好了，你的Cloak系统至少能稳定跑3-6个月。
最后多说一句：搜索引擎的审核规则一直在变，百度在2024年升级了“清风算法4.0”，对Cloak的识别能力又上了一个台阶。所以不要以为配好了就一劳永逸，每隔两周至少要检查一次服务器日志，看有没有异常的蜘蛛访问记录。一旦发现白页被蜘蛛看到了黑页的内容，立刻关停账户，修改配置，等48小时之后再重新提交。这个应急流程你最好记在备忘录里，早晚用得上。
