Press and Hold là gì? Thử thách nhấn giữ và cách vượt qua hợp lệ

Press and Hold là thử thách xác minh người dùng dạng "nhấn và giữ nút" do HUMAN Security (trước đây là PerimeterX) phát triển, xuất hiện trên nhiều website lớn như Walmart, Zillow và một số trang thương mại, du lịch, cùng kiểu thử thách nhấn giữ khi đăng nhập hoặc tạo tài khoản Microsoft. Người dùng chỉ cần nhấn giữ nút vài giây cho vòng tròn chạy hết. Nhưng nhiều người nhấn mãi không qua, trang cứ hiện lại thử thách. Bài này ProxyVN giải thích vì sao thử thách xuất hiện, hệ thống đánh giá những gì, vì sao nhấn mãi không qua (tiện ích, IP xấu, trình duyệt tự động, chuột ảo) và cách xử lý cho người dùng thật. Bài không hướng dẫn giải tự động. Xem thêm dịch vụ tại ProxyVN.

Tổng quan về thử thách Press and Hold

Press and Hold thuộc nhóm "human challenge", thử thách để phân biệt người thật với bot. Thay vì bắt chọn ảnh đèn giao thông hay gõ chữ méo, nó chỉ yêu cầu một hành động đơn giản: nhấn giữ chuột hoặc ngón tay lên nút cho tới khi vòng tiến trình chạy hết, thường vài giây.

Thông báo thường gặp

• "Press & Hold to confirm you are a human (and not a bot)."
• "Before we continue... Press & Hold to confirm you are a human."
• "Please verify you are a human" kèm nút nhấn giữ.
• Trên tài khoản Microsoft: "Press and hold the button" trong bước xác minh khi đăng ký hoặc đăng nhập.
• Trang Access Denied kèm mã tham chiếu (Reference ID) khi thử thách không qua nhiều lần.

Thử thách đánh giá gì trong vài giây đó

Nhìn thì đơn giản, nhưng trong lúc nhấn giữ, đoạn mã của hệ thống thu thập nhiều thông tin: thời gian nhấn, độ rung nhỏ của con trỏ hay ngón tay, sự kiện chuột và cảm ứng có tự nhiên không, môi trường trình duyệt có dấu hiệu tự động hoá không. Một bot bấm giữ "quá chuẩn" hoặc thiếu các sự kiện phụ sẽ bị nhận ra.

Thử thách cũng chỉ là bước cuối. Trước khi hiện ra, hệ thống đã chấm điểm phiên truy cập dựa trên nhiều tín hiệu khác. Cloudflare có bài giải thích chung về cách hoạt động của CAPTCHA và các thử thách thay thế tại trang How CAPTCHAs work.

Lý do thử thách Press and Hold xuất hiện

Không phải ai vào trang cũng gặp thử thách. Nó xuất hiện khi hệ thống chấm điểm rủi ro của phiên truy cập vượt ngưỡng.

Hệ thống chấm điểm trước khi hiện thử thách

Các tín hiệu hệ thống chống bot dùng

• Địa chỉ IP: IP từ trung tâm dữ liệu, VPN, proxy công cộng, IP có lịch sử gửi nhiều yêu cầu.
• Vân tay trình duyệt: phiên bản trình duyệt, hệ điều hành, phông chữ, độ phân giải, thông tin WebGL, Canvas.
• Hành vi: tốc độ mở trang, chuyển động chuột, cuộn trang, gõ phím.
• Cookie và lịch sử: đã từng qua thử thách chưa, có cookie phiên hợp lệ không.
• Tốc độ yêu cầu: số trang mở trong thời gian ngắn.

Mô hình chung của hệ thống quản lý bot có trong bài What is bot management của Cloudflare.

Ai dùng Press and Hold

Các website bán lẻ lớn, trang bất động sản, trang đặt vé, du lịch là khách hàng điển hình của HUMAN Security. Họ muốn chặn bot cào giá, bot mua hàng giới hạn, bot tạo tài khoản ảo, bot thử mật khẩu. Những mối đe doạ này được OWASP liệt kê trong danh mục Automated Threats.

Khi nào người thật cũng gặp

• Dùng VPN hoặc proxy công cộng.
• Mạng di động CGNAT, nhiều người chung IP.
• Trình duyệt có nhiều tiện ích chặn quảng cáo, chặn theo dõi.
• Mở nhiều tab sản phẩm liên tục, như khi so giá.
• Trình duyệt ít phổ biến hoặc chế độ bảo vệ quyền riêng tư cao.
• Lần đầu vào trang, chưa có cookie.

Nguyên nhân nhấn Press and Hold mãi không qua

Đây là câu hỏi của rất nhiều người. Nhấn giữ đủ lâu, vòng tròn chạy hết, rồi thử thách lại hiện ra. Có vài nguyên nhân chính.

Vì sao nhấn mãi không qua

Tiện ích trình duyệt chặn mã xác minh

Tiện ích chặn quảng cáo, chặn theo dõi, chặn script có thể chặn một phần mã của hệ thống chống bot. Thử thách vẫn hiện nhưng kết quả không gửi được về máy chủ, hoặc gửi thiếu dữ liệu. Hệ thống coi là thất bại.

IP có điểm uy tín thấp

Nếu IP bị đánh giá rất xấu, qua thử thách cũng chưa đủ để kéo điểm rủi ro xuống dưới ngưỡng. Trang tiếp tục hiện thử thách hoặc chặn hẳn. Hay gặp với VPN miễn phí, proxy công cộng, IP trung tâm dữ liệu. Cách đánh giá uy tín IP có trong bài IP reputation là gì.

Trình duyệt tự động hoặc môi trường giả lập

Trình duyệt điều khiển bằng Selenium, Puppeteer, Playwright để lại dấu hiệu như thuộc tính webdriver, thiếu plugin, thiếu sự kiện. Hệ thống nhận ra và không cho qua, dù người thật đang nhấn. Trình duyệt chạy không giao diện càng dễ bị nhận ra, cơ chế có trong bài headless browser.

Chuột ảo, phần mềm điều khiển từ xa

Điều khiển máy qua phần mềm truy cập từ xa, máy ảo, hoặc dùng công cụ macro nhấn giữ thay tay. Sự kiện chuột từ những nguồn này có đặc điểm khác chuột thật.

Thả tay quá sớm hoặc rê chuột ra khỏi nút

Đơn giản nhưng hay gặp: nhả chuột trước khi vòng chạy hết, hoặc con trỏ trượt ra khỏi nút giữa chừng. Trên điện thoại, ngón tay trượt hoặc điện thoại nhận thành thao tác cuộn.

Cookie bị chặn hoặc xoá

Qua thử thách, hệ thống đặt cookie đánh dấu phiên đã xác minh. Trình duyệt chặn cookie bên thứ ba hoặc tự xoá cookie khi đóng tab, lần sau lại phải xác minh. Một số chế độ duyệt riêng tư cũng xoá cookie liên tục.

Thời gian hệ thống sai

Đồng hồ máy chênh nhiều với giờ thật làm mã xác minh và cookie có thời gian không hợp lệ.

Cách xử lý Press and Hold cho người dùng thật

Làm lần lượt, đa số trường hợp qua được ở bước 2 hoặc 3.

Các bước xử lý cho người dùng thật

Bước 1: nhấn giữ đúng cách

Đặt con trỏ giữa nút, nhấn và giữ yên, không rê chuột, không thả tay cho tới khi vòng tiến trình chạy hết và nút đổi trạng thái. Trên điện thoại, đặt ngón tay chắc, không cuộn. Chờ thêm một giây sau khi vòng chạy hết rồi mới thả.

Bước 2: tắt tiện ích cho trang đó

Tắt chặn quảng cáo, chặn theo dõi cho riêng trang đang vào. Hoặc mở cửa sổ ẩn danh, nơi tiện ích mặc định không chạy. Cách tìm tiện ích gây lỗi có trong bài ERR_BLOCKED_BY_CLIENT.

Bước 3: tắt VPN, proxy công cộng

Ngắt VPN miễn phí, gỡ proxy công cộng. Dùng mạng thật của mình. Nếu đang ở mạng công ty, quán cà phê, thử 4G.

Bước 4: dùng trình duyệt chính, bản mới

Chrome, Edge, Safari, Firefox bản mới nhất, chế độ bảo vệ quyền riêng tư mặc định. Trình duyệt lạ hoặc bản cũ dễ bị đánh giá rủi ro cao.

Bước 5: cho phép cookie và JavaScript

Kiểm tra trình duyệt không chặn cookie của trang, JavaScript đang bật. Không xoá cookie liên tục.

Bước 6: chỉnh giờ hệ thống

Bật đồng bộ thời gian tự động trên máy.

Bước 7: chậm lại

Mở trang với tốc độ người bình thường. Mở hàng chục tab sản phẩm trong vài giây là hành vi giống bot.

Bước 8: liên hệ trang web

Bị chặn liên tục với mã tham chiếu trên trang Access Denied, gửi mã đó cho bộ phận hỗ trợ của trang. Họ có thể xem log và mở khoá cho IP hoặc tài khoản.

Press and Hold trên tài khoản Microsoft

Nhiều người Việt gặp thử thách nhấn giữ lần đầu khi tạo tài khoản Outlook, Hotmail hoặc đăng nhập Microsoft từ thiết bị mới.

Khi nào xuất hiện

Tạo tài khoản mới, đăng nhập từ IP lạ, khôi phục mật khẩu, tạo nhiều tài khoản từ cùng IP. Microsoft dùng thử thách này để chặn tạo tài khoản ảo hàng loạt.

Vì sao không qua

Tạo nhiều tài khoản liên tiếp từ cùng IP, dùng VPN, proxy công cộng, hoặc trình duyệt tự động. Hệ thống có thể bắt làm thử thách nhiều lần liên tiếp, hoặc chuyển sang thử thách khác khó hơn.

Cách xử lý

Dùng mạng thật, trình duyệt chính, không tạo nhiều tài khoản trong thời gian ngắn. Nếu cần, chọn tuỳ chọn thử thách âm thanh hoặc thử thách khác nếu trang có cung cấp. Microsoft có lựa chọn hỗ trợ tiếp cận cho người khó thực hiện thao tác nhấn giữ.

Press and Hold với người dùng proxy

Người dùng proxy cho công việc hợp lệ, như quản lý tài khoản, kiểm tra giá theo vùng, kiểm tra quảng cáo, gặp Press and Hold nhiều hơn người dùng mạng nhà. Lý do nằm ở loại IP.

Proxy datacenter

IP trung tâm dữ liệu dễ bị gắn nhãn rủi ro cao vì người dùng thật hiếm khi truy cập từ đó. Với các trang dùng HUMAN Security, proxy datacenter gần như luôn gặp thử thách.

Proxy dân cư và di động

IP dân cư, IP 4G của nhà mạng giống người dùng thật hơn, ít gặp thử thách hơn, với điều kiện IP sạch và không bị dùng chung quá nhiều. Khác biệt giữa các loại có trong bài residential proxy và datacenter proxy.

Đồng bộ môi trường

IP Việt Nam mà trình duyệt đặt múi giờ châu Âu, ngôn ngữ tiếng Anh Mỹ, là dấu hiệu bất thường. Đồng bộ múi giờ, ngôn ngữ với vị trí IP.

Không đổi IP giữa phiên

Qua thử thách xong, cookie gắn với phiên và IP. Đổi IP ngay sau đó, hệ thống lại nghi ngờ. Dùng proxy giữ IP theo phiên hoặc IP tĩnh cho công việc cần đăng nhập. Anh em cần IP Việt Nam theo nhà mạng cho công việc hợp lệ, có thể mua proxy tại ProxyVN.

So sánh Press and Hold với các loại thử thách khác

So sánh các loại thử thách chống bot

Bảng: So sánh Press and Hold với các loại thử thách khác

Thử thách	Nhà cung cấp tiêu biểu	Người dùng phải làm	Mức phiền
Press and Hold	HUMAN Security	Nhấn giữ nút vài giây	Thấp tới trung bình
reCAPTCHA v2	Google	Tích ô, đôi khi chọn ảnh	Trung bình
hCaptcha	Intuition Machines	Chọn ảnh theo yêu cầu	Trung bình tới cao
Turnstile	Cloudflare	Thường không làm gì, đôi khi tích ô	Thấp
DataDome	DataDome	Kéo thanh trượt hoặc chọn ảnh khi bị nghi	Trung bình

Các thử thách khác có bài riêng: Cloudflare Turnstile, hCaptcha là gì, DataDome là gì. Kiến thức nền về CAPTCHA có trong bài CAPTCHA là gì và bài CAPTCHA trên Wikipedia.

Press and Hold dưới góc nhìn chủ website

Nếu anh em là chủ website đang cân nhắc dùng hệ thống chống bot có thử thách nhấn giữ, vài điểm nên biết.

Ưu điểm

Thao tác đơn giản, không cần đọc chữ hay nhận diện ảnh, dễ hơn với người lớn tuổi. Hoạt động tốt trên điện thoại. Đa số người dùng thật không gặp thử thách vì hệ thống chấm điểm trước.

Nhược điểm

Người dùng VPN, người ở mạng CGNAT, người dùng tiện ích chặn quảng cáo có thể gặp liên tục và bỏ đi. Người khuyết tật vận động có thể khó nhấn giữ, cần phương án thay thế.

Theo dõi tỉ lệ thử thách

Xem báo cáo tỉ lệ người dùng gặp thử thách và tỉ lệ qua. Tỉ lệ người thật bị chặn cao thì nới ngưỡng, thêm ngoại lệ cho trang quan trọng như thanh toán.

Trang lỗi rõ ràng

Trang chặn nên có mã tham chiếu và cách liên hệ hỗ trợ. Người dùng thật bị chặn nhầm có đường quay lại.

Press and Hold và người dùng khuyết tật

Thử thách nhấn giữ nhìn đơn giản với người bình thường, nhưng lại là rào cản với một số người.

Người khó điều khiển chuột

Người bị run tay, người dùng thiết bị hỗ trợ thay chuột, người chỉ dùng bàn phím khó giữ con trỏ yên trên nút vài giây. Một số phiên bản thử thách hỗ trợ giữ bằng phím Enter hoặc phím cách khi nút được chọn bằng Tab. Thử bấm Tab tới nút rồi giữ phím Enter.

Người dùng trình đọc màn hình

Người khiếm thị dùng trình đọc màn hình cần thử thách có nhãn rõ ràng và phương án thay thế. Nếu không qua được, liên hệ trang web qua kênh hỗ trợ để được xác minh bằng cách khác.

Trách nhiệm của chủ site

Hướng dẫn tiếp cận nội dung web yêu cầu có phương án cho người không thực hiện được thao tác phức tạp. Chủ site dùng thử thách nhấn giữ nên kiểm tra nhà cung cấp có chế độ hỗ trợ tiếp cận, và có kênh liên hệ thay thế ngay trên trang chặn.

Press and Hold trên điện thoại

Thử thách hoạt động trên màn hình cảm ứng, nhưng có vài lỗi riêng.

Ngón tay bị nhận thành cuộn trang

Nhấn giữ trên nút nằm trong vùng có thể cuộn, điện thoại hiểu là bắt đầu cuộn và huỷ sự kiện nhấn. Đặt ngón tay đúng giữa nút, không di chuyển. Nếu trang cuộn theo, thử xoay ngang màn hình để nút to hơn.

Menu nhấn giữ của hệ điều hành

Trên một số máy, nhấn giữ lâu mở menu sao chép, chọn chữ hoặc menu ngữ cảnh, làm gián đoạn thử thách. Nhấn vào chính giữa nút, không nhấn vào chữ bên cạnh.

Trình duyệt trong ứng dụng

Mở link từ Facebook, Zalo, Messenger, trang mở trong trình duyệt nhúng của ứng dụng. Trình duyệt nhúng có thể thiếu một số tính năng hoặc chặn cookie, thử thách khó qua. Bấm menu ba chấm, chọn mở bằng Chrome hoặc Safari.

Chế độ tiết kiệm pin, dữ liệu

Chế độ tiết kiệm dữ liệu của trình duyệt có thể nén hoặc chặn một phần mã. Tắt tạm khi gặp thử thách liên tục.

Kiểm thử website có Press and Hold một cách hợp lệ

Đội phát triển, đội kiểm thử của chính website dùng HUMAN Security đôi khi cần chạy kiểm thử tự động mà không bị thử thách chặn. Cách làm đúng không phải là tìm cách giải thử thách, mà là cấu hình ngoại lệ.

Danh sách cho phép

Nhà cung cấp chống bot cho phép thêm IP của máy kiểm thử, header bí mật hoặc tài khoản kiểm thử vào danh sách cho phép. Yêu cầu từ danh sách này bỏ qua thử thách.

Môi trường kiểm thử riêng

Môi trường staging tắt hoặc đặt chống bot ở chế độ chỉ ghi log. Kiểm thử chức năng chạy ở đây, chỉ một vài kịch bản kiểm thử cuối chạy trên môi trường thật để xác nhận chống bot không chặn nhầm.

Kiểm thử từ nhiều vùng

Khi cần xác nhận người dùng ở các tỉnh, các nhà mạng khác nhau không bị chặn nhầm, đội kiểm thử dùng IP đúng vùng, trình duyệt thật, thao tác tay. Kết quả cho biết tỉ lệ người thật gặp thử thách theo từng nhà mạng, giúp chỉnh ngưỡng hợp lý.

Cảnh giác với trang giả mạo Press and Hold

Kẻ lừa đảo bắt chước giao diện xác minh để lừa người dùng. Từ năm 2024, kiểu lừa "CAPTCHA giả" lan rộng: trang hiện nút xác minh, sau đó yêu cầu người dùng bấm tổ hợp phím mở hộp thoại Run, dán một đoạn lệnh và bấm Enter để "hoàn tất xác minh". Đoạn lệnh đó tải phần mềm độc hại về máy.

Thử thách thật không bao giờ yêu cầu:

• Bấm phím Windows + R hoặc mở Terminal.
• Dán bất kỳ thứ gì vào hộp thoại của hệ điều hành.
• Tải và chạy tệp.
• Nhập mật khẩu, mã OTP vào ô xác minh.
• Cài tiện ích trình duyệt.

Gặp những yêu cầu này, đóng tab ngay. Nếu đã làm theo, ngắt mạng, quét virus, đổi mật khẩu các tài khoản quan trọng từ một thiết bị khác.

Giữ phiên đã xác minh để ít gặp Press and Hold

Qua thử thách một lần, hệ thống đặt cookie đánh dấu phiên đã xác minh. Giữ được cookie này thì những lần vào sau ít bị hỏi lại.

Không xoá cookie của trang hay dùng

Nhiều người đặt trình duyệt tự xoá mọi cookie khi đóng. Cách này tốt cho quyền riêng tư nhưng làm mỗi lần mở trang lại là một khách lạ. Thêm các trang mua sắm, ngân hàng hay dùng vào danh sách ngoại lệ, giữ cookie của chúng.

Đăng nhập tài khoản

Phiên đã đăng nhập, có lịch sử mua hàng, thường được chấm điểm rủi ro thấp hơn khách vãng lai. Đăng nhập trước khi xem nhiều trang sản phẩm.

Dùng ổn định một trình duyệt và một mạng

Đổi trình duyệt, đổi mạng liên tục làm hệ thống không nhận ra mình. Với trang dùng thường xuyên, dùng một trình duyệt chính, mạng nhà hoặc một IP ổn định.

Đừng mở quá nhiều tab cùng lúc

Mở 20 trang sản phẩm trong một phút là kiểu hành vi bot cào giá. Mở từ từ, đọc từng trang. Thói quen này vừa ít gặp thử thách vừa ít bị chặn hẳn.

Cập nhật trình duyệt

Trình duyệt quá cũ có vân tay lạ so với số đông, điểm rủi ro cao hơn. Bật tự cập nhật.

Bảng tra nhanh Press and Hold

Bảng: Bảng tra nhanh Press and Hold

Tình huống	Nguyên nhân hay gặp	Cách xử lý
Nhấn hết vòng rồi thử thách hiện lại	Tiện ích chặn mã xác minh	Tắt tiện ích cho trang, thử ẩn danh
Gặp thử thách ở mọi lần vào trang	Cookie bị xoá hoặc chặn	Cho phép cookie của trang
Gặp liên tục khi bật VPN	IP uy tín thấp	Tắt VPN miễn phí, dùng mạng thật
Trên điện thoại không giữ được	Ngón tay bị nhận thành cuộn	Đặt giữa nút, không di chuyển
Mở link từ Zalo, Facebook không qua	Trình duyệt nhúng	Mở bằng Chrome hoặc Safari
Bị chặn hẳn kèm mã tham chiếu	Điểm rủi ro quá cao	Đổi mạng, gửi mã cho trang
Trang yêu cầu dán lệnh vào máy	Lừa đảo giả CAPTCHA	Đóng tab ngay
Script kiểm thử bị chặn	Trình duyệt tự động bị nhận ra	Xin danh sách cho phép từ nhà cung cấp

Câu hỏi thường gặp về Press and Hold

Press and Hold có phải virus hay lừa đảo không

Trên trang chính thức thì không. Đây là thử thách chống bot hợp lệ. Nhưng cảnh giác với trang lạ hiện "nhấn giữ để xác minh" rồi yêu cầu tải tệp, mở hộp thoại Run hay dán lệnh vào máy. Đó là chiêu lừa đảo giả CAPTCHA, không làm theo.

Nhấn giữ bao lâu là đủ

Tới khi vòng tiến trình chạy hết, thường 3 tới 10 giây. Giữ thêm một chút rồi thả.

Vì sao điện thoại qua được mà máy tính không

Máy tính có tiện ích, có thể dùng VPN hoặc mạng khác. Điện thoại dùng 4G và trình duyệt sạch hơn. So sánh hai môi trường để tìm nguyên nhân.

Có công cụ tự động giải Press and Hold không

Có những dịch vụ quảng cáo việc này, nhưng dùng để vượt chống bot của trang khác thường vi phạm điều khoản sử dụng của trang. Bài này không hướng dẫn. Nếu là công việc hợp lệ như kiểm thử website của chính mình, yêu cầu nhà cung cấp chống bot cấp danh sách cho phép.

Đổi IP có giúp qua thử thách không

Đổi từ IP xấu sang IP sạch, đúng vùng thì giúp giảm số lần gặp. Đổi IP liên tục thì ngược lại.

Bị chặn hẳn với trang Access Denied thì làm sao

Ghi lại mã tham chiếu, đổi sang mạng nhà hoặc 4G, dùng trình duyệt chính không tiện ích. Vẫn bị thì liên hệ hỗ trợ của trang kèm mã.

Tổng kết

Press and Hold là thử thách nhấn giữ nút của HUMAN Security, hiện ra khi hệ thống chấm điểm phiên truy cập thấy rủi ro cao. Nhấn mãi không qua thường do tiện ích chặn mã xác minh, IP uy tín thấp, trình duyệt tự động, chuột ảo, cookie bị chặn hoặc thả tay quá sớm. Người dùng thật chỉ cần nhấn giữ đúng cách, tắt tiện ích cho trang, bỏ VPN miễn phí, dùng trình duyệt chính và chậm lại. Cần IP Việt Nam sạch, ổn định cho công việc hợp lệ, anh em liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để được tư vấn.