Cloudflare Turnstile 403 Setelah Submit Token — Panduan Perbaikan

403 Forbidden yang muncul setelah token Turnstile Anda valid hampir tidak pernah disebabkan oleh token itu sendiri. Tokennya benar; yang hilang adalah cookie sesi (qa_validation_cookie) yang seharusnya ikut terbawa ke request berikutnya. Begitu Anda memakai objek sesi yang sama untuk solve dan submit, mayoritas kasus 403 langsung hilang. Sisanya berasal dari lima hal spesifik yang bisa Anda periksa satu per satu dalam waktu kurang dari lima menit.

Artikel ini menyusun penyebabnya dari yang paling sering ke yang jarang, lengkap dengan contoh Python yang bisa langsung Anda tempel.

Enam penyebab 403 padahal token sudah valid

Sebelum menyalahkan solver, cocokkan gejala Anda dengan tabel berikut. Urutan baris kira-kira mengikuti seberapa sering penyebab itu muncul di lapangan.

Kerjakan dari atas ke bawah; kalau 403 hilang di penyebab 1, sisanya tak perlu disentuh.

Penyebab 1: cookie sesi tidak ikut terbawa

Saat validasi, Turnstile menetapkan cookie. Kalau cookie ini tidak Anda sertakan di request berikutnya, Cloudflare menolak Anda dengan 403. Solusinya bukan menyimpan token lebih lama, melainkan menyimpan sesi. Pakai satu objek requests.Session() untuk memuat halaman, submit token, dan mengakses halaman terproteksi.

import requests

session = requests.Session()

# Step 1: Load the page to get initial cookies
session.get("https://example.com")

# Step 2: Solve Turnstile
token = solve_turnstile(
    api_key="YOUR_API_KEY",
    sitekey="TURNSTILE_SITEKEY",
    pageurl="https://example.com",
)

# Step 3: Submit token to the validation endpoint
# This sets qa_validation_cookie cookie
resp = session.post("https://example.com/api/verify", data={
    "cf-turnstile-response": token,
}, headers={
    "Content-Type": "application/x-www-form-urlencoded",
    "Origin": "https://example.com",
    "Referer": "https://example.com/",
})

# Step 4: Now make your actual request WITH the session cookies
resp = session.get("https://example.com/protected-page")
print(resp.status_code)  # Should be 200 now

Kuncinya ada di Step 4: request dilakukan lewat session yang sama, sehingga qa_validation_cookie ikut terbawa. Membuat sesi baru untuk setiap request adalah kesalahan nomor satu di sini.

Penyebab 2: token Turnstile sudah kedaluwarsa

Token Turnstile bertahan sekitar 300 detik, tetapi perlakukan seolah masa berlakunya jauh lebih pendek dan pakai segera setelah diterima. Jeda antara solve dan submit yang melar — misalnya karena antrean worker atau retry yang lambat — membuat token basi sebelum sampai ke situs.

import time

# Solve
start = time.time()
token = solve_turnstile(...)
solve_time = time.time() - start

# Check if token is still fresh
if solve_time > 240:  # > 4 minutes is risky
    print("Token may be too old, solving again...")
    token = solve_turnstile(...)

# Submit immediately
submit_token(token)

Kalau pipeline Anda kadang menahan token di antrean, tambahkan pemeriksaan umur seperti di atas dan solve ulang saat sudah lewat ambang aman.

Penyebab 3: nama field atau endpoint submit keliru

Setiap situs mengirim token Turnstile dengan cara berbeda. Ada yang memakai hidden field pada form, ada yang menaruhnya di header khusus, ada pula yang mengirim sebagai body JSON. Salah menebak, dan Anda dapat 403 meski tokennya sempurna.

# Some sites use a hidden form field
data = {
    "cf-turnstile-response": token,
    "username": "user",
    "password": "pass",
}

# Some sites use a custom header
headers = {
    "X-Turnstile-Token": token,
}

# Some sites use JSON body
json_data = {
    "turnstileToken": token,
    "email": "user@example.com",
}

Cara menemukan nama field yang benar:

1. Buka tab Network di browser DevTools
2. Selesaikan challenge Turnstile secara manual
3. Temukan request submit form yang dikirim
4. Periksa isi request untuk melihat nama field token

Tiru persis apa yang dikirim browser — nama field, endpoint, dan tipe body-nya.

Penyebab 4: header request tidak konsisten

Cloudflare mencocokkan header request untuk menilai konsistensi. Request tanpa User-Agent yang wajar, atau dengan Origin dan Referer yang tidak cocok dengan halaman target, mudah kena 403. Set header di level sesi supaya seragam di semua request.

headers = {
    "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36",
    "Accept": "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8",
    "Accept-Language": "en-US,en;q=0.9",
    "Origin": "https://example.com",
    "Referer": "https://staging.example.com/qa-login",
    "Sec-Fetch-Dest": "document",
    "Sec-Fetch-Mode": "navigate",
    "Sec-Fetch-Site": "same-origin",
}

session.headers.update(headers)

Pastikan User-Agent yang dipakai saat solve dan saat submit sama persis; cookie Turnstile bisa terikat pada nilai tersebut.

Penyebab 5: yang Anda hadapi Cloudflare Challenge, bukan Turnstile

Kalau semua di atas sudah benar tapi 403 tetap muncul, periksa apakah halaman itu benar-benar Turnstile. Turnstile dan Cloudflare Challenge adalah dua sistem berbeda dengan metode penyelesaian berbeda pula.

Ciri khasnya: kalau yang muncul halaman penuh dengan spinner tanpa form, itu Cloudflare Challenge. Gunakan method=cloudflare_challenge, bukan turnstile. CaptchaAI mendukung keduanya.

Contoh alur lengkap: solve dan akses halaman terproteksi

Berikut satu fungsi utuh yang menggabungkan semuanya — memuat halaman, mengekstrak data-sitekey, kirim task ke CaptchaAI, polling hasil, lalu submit token lewat sesi yang sama.

import requests
import time
import re


def solve_turnstile_and_access(target_url, api_key):
    """Complete flow: solve Turnstile and access protected page."""
    session = requests.Session()
    session.headers.update({
        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36",
    })

    # Load page, get cookies and sitekey
    resp = session.get(target_url)
    match = re.search(r'data-sitekey="([^"]+)"', resp.text)
    if not match:
        raise RuntimeError("Turnstile sitekey not found")

    sitekey = match.group(1)

    # Solve via CaptchaAI
    submit_resp = requests.post("https://ocr.captchaai.com/in.php", data={
        "key": api_key,
        "method": "turnstile",
        "sitekey": sitekey,
        "pageurl": target_url,
        "json": 1,
    }, timeout=30)
    task_id = submit_resp.json()["request"]

    # Poll
    for _ in range(12):
        time.sleep(5)
        poll = requests.get("https://ocr.captchaai.com/res.php", params={
            "key": api_key, "action": "get",
            "id": task_id, "json": 1,
        }, timeout=15)
        data = poll.json()
        if data.get("status") == 1:
            token = data["request"]
            break
    else:
        raise TimeoutError("Solve timeout")

    # Submit token using the same session
    form_resp = session.post(target_url, data={
        "cf-turnstile-response": token,
    }, headers={
        "Origin": f"https://{requests.utils.urlparse(target_url).netloc}",
        "Referer": target_url,
    })

    return session, form_resp


# Usage
session, resp = solve_turnstile_and_access(
    "https://staging.example.com/qa-login",
    "YOUR_API_KEY",
)
# session now has valid cookies for subsequent requests

Perhatikan pola kanoniknya: kirim task ke in.php → simpan task ID → polling res.php → pakai token. Objek session yang dikembalikan sudah membawa cookie valid untuk request lanjutan.

Skenario nyata: 403 hanya pada request kedua

Kasus ini sering muncul di tim data dan agensi price-monitoring yang men-deploy scraper serverless di region seperti AWS ap-southeast-1 (Singapura) atau ap-southeast-3 (Jakarta). Gejalanya: submit token berhasil 200 OK, halaman terproteksi tampil, lalu dua menit kemudian sesi yang sama meminta /api/orders dan dapat 403. Tim langsung menyalahkan token kedaluwarsa — padahal token sudah dibuang setelah submit pertama.

Akar masalahnya adalah HTTP client yang dibuat ulang di dalam helper untuk setiap request. Setiap panggilan membuka koneksi baru dengan cookie jar kosong, sehingga qa_validation_cookie dari respons pertama tidak pernah sampai ke request kedua. Pada arsitektur serverless, IP egress yang berbeda antar-invocation memperparah ini: solve dan submit bisa keluar dari IP yang tidak sama.

Perbaikannya: angkat requests.Session() keluar dari helper dan oper sebagai argumen, lalu kunci egress di level sesi supaya IP-nya konsisten. Token bersifat sekali pakai; yang membawa Anda melewati request berikutnya adalah cookie di dalam sesi, bukan token. Satu catatan kepatuhan: sesuai UU Pelindungan Data Pribadi (UU 27/2022), proses hanya data yang berhak Anda akses.

Checklist cepat sebelum menyalahkan solver

Lewati daftar ini sebelum membuka tiket support:

• User-Agent yang sama dipakai saat solve dan submit
• IP keluar yang sama dipakai saat solve dan submit (atau proxy dikunci di level sesi)
• Header Origin dan Referer cocok dengan URL halaman target
• Token dikirim dalam 240 detik sejak diterima
• Token dikirim tepat satu kali (token Turnstile sekali pakai)
• Nama field sudah diverifikasi di DevTools (cf-turnstile-response atau nama kustom)
• Satu requests.Session() dipakai ulang lintas solve → submit → request lanjutan
• data-sitekey diekstrak ulang setiap run (sitekey bisa berganti)
• Halaman sudah dipastikan Turnstile, bukan Cloudflare Challenge full-page

Pemecahan masalah cepat

Pertanyaan umum

Kenapa request pertama berhasil 200 tapi request kedua kembali 403?

Karena sesi tidak dipakai ulang. Cookie qa_validation_cookie menempel di objek sesi request pertama; kalau request kedua memakai sesi baru, cookie itu hilang. Oper satu objek requests.Session() yang sama ke seluruh alur.

Apakah satu token Turnstile bisa dipakai untuk beberapa request?

Tidak. Token Turnstile sekali pakai. Yang bertahan untuk request-request berikutnya adalah cookie sesi yang dihasilkan setelah submit, bukan tokennya. Jangan mencoba mengirim ulang token yang sama.

Bagaimana memastikan halaman itu Turnstile, bukan Cloudflare Challenge?

Turnstile tampil sebagai widget kotak centang di dalam form; Cloudflare Challenge muncul sebagai halaman penuh dengan spinner tanpa form. Kalau tidak ada cf-turnstile-response untuk dikirim, kemungkinan besar itu Challenge — pakai method=cloudflare_challenge.

Bagaimana kalau situs beralih dari Turnstile ke hCaptcha?

hCaptcha belum didukung saat ini, jadi untuk kasus itu Anda perlu layanan lain. Yang tersedia mencakup Turnstile dan Cloudflare Challenge, reCAPTCHA v2/v3, GeeTest v3, serta CAPTCHA image/OCR.

Panduan terkait

• Diagnosis penurunan tingkat keberhasilan solve CAPTCHA
• Cara menyelesaikan Cloudflare Turnstile lewat API