pq o cloudflare bloqueia meu request: curl 'https:...

Question

pq o cloudflare bloqueia meu request: curl 'https://lmarena.ai/api/stream/create-evaluation'
-H 'accept: /'
-H 'accept-language: pt-BR,pt;q=0.9,en-US;q=0.8,en;q=0.7'
-H 'content-type: text/plain;charset=UTF-8'
-b '_ga=GA1.1.909869449.1755264001; __client_uat=0; __clerk_db_jwt=dvb_31KEMbfYX1Btcuyu2SmWj5diS6R; _ga_N6MCLSNCLZ=GS2.1.s1755264349 $o1$ g1 $t1755266147$ j60 $l0$ h0; __cf_bm=zKViMODT80VSRc6yPWOil8YjrTYQGIb9_INO8tZD9lo-1755515926-1.0.1.1-g7.jQJBg5BNVfeDwksJLNytOCvzlCDJkaXTXplqOzu_oAhjcWPhmqs40d22Q8U6TT_hYZvk8tcY2ZimgXLk8WvADEufrSDgMqWaxq9O1QeM; arena-auth-prod-v1=base64-eyJhY2Nlc3NfdG9rZW4iOiJleUpoYkdjaU9pSklVekkxTmlJc0ltdHBaQ0k2SWtOVFQwNHhkM05uU0hkRlNFTkNNbGNpTENKMGVYQWlPaUpLVjFRaWZRLmV5SnBjM01pT2lKb2RIUndjem92TDJoMWIyZDZiMlZ4ZW1OeVpIWnJkM1IyYjJScExuTjFjR0ZpWVhObExtTnZMMkYxZEdndmRqRWlMQ0p6ZFdJaU9pSTJOVGM1TXpNeVlTMDFNbU15TFRRMk9XSXRPVGc0WmkxaU16TmhZMlJtTkdVMlpEVWlMQ0poZFdRaU9pSmhkWFJvWlc1MGFXTmhkR1ZrSWl3aVpYaHdJam94TnpVMU5URTVOVE14TENKcFlYUWlPakUzTlRVMU1UVTVNekVzSW1WdFlXbHNJam9pSWl3aWNHaHZibVVpT2lJaUxDSmhjSEJmYldWMFlXUmhkR0VpT250OUxDSjFjMlZ5WDIxbGRHRmtZWFJoSWpwN0ltbGtJam9pTlRCaFpEUm1ZV0l0WVdJME15MDBaRFJtTFRreVpXSXRZV0ptWlRFNU5URXhaV1U1SW4wc0luSnZiR1VpT2lKaGRYUm9aVzUwYVdOaGRHVmtJaXdpWVdGc0lqb2lZV0ZzTVNJc0ltRnRjaUk2VzNzaWJXVjBhRzlrSWpvaVlXNXZibmx0YjNWeklpd2lkR2x0WlhOMFlXMXdJam94TnpVMU1qWTBNREEyZlYwc0luTmxjM05wYjI1ZmFXUWlPaUptTURFeU1XUTBNaTFoWW1NNUxUUmpaV0l0WVRGbE55MHdOR0prT1dOa1pETTFNakFpTENKcGMxOWhibTl1ZVcxdmRYTWlPblJ5ZFdWOS5JbG1zaGhPcENfRkR4MkJfYzFPMDRwaEJvTjIyVm5XQ3ZTZzNpZkRWbWg4IiwidG9rZW5fdHlwZSI6ImJlYXJlciIsImV4cGlyZXNfaW4iOjM2MDAsImV4cGlyZXNfYXQiOjE3NTU1MTk1MzEsInJlZnJlc2hfdG9rZW4iOiI3eXZraDR2Mm95dGwiLCJ1c2VyIjp7ImlkIjoiNjU3OTMzMmEtNTJjMi00NjliLTk4OGYtYjMzYWNkZjRlNmQ1IiwiYXVkIjoiYXV0aGVudGljYXRlZCIsInJvbGUiOiJhdXRoZW50aWNhdGVkIiwiZW1haWwiOiIiLCJwaG9uZSI6IiIsImxhc3Rfc2lnbl9pbl9hdCI6IjIwMjUtMDgtMTVUMTM6MjA6MDYuMjY3MTg0WiIsImFwcF9tZXRhZGF0YSI6e30sInVzZXJfbWV0YWRhdGEiOnsiaWQiOiI1MGFkNGZhYi1hYjQzLTRkNGYtOTJlYi1hYmZlMTk1MTFlZTkifSwiaWRlbnRpdGllcyI6W10sImNyZWF0ZWRfYXQiOiIyMDI1LTA4LTE1VDEzOjIwOjA2LjI2NTcxMVoiLCJ1cGRhdGVkX2F0IjoiMjAyNS0wOC0xOFQxMToxODo0Ny4xMTA3NDlaIiwiaXNfYW5vbnltb3VzIjp0cnVlfX0; cf_clearance=L6.8YVuCxHAtU58_zxY4hTbeX7Oka6NebIP4E2FKgK8-1755515991-1.2.1.1-GxbIoov7gOMuskXt2W7fdNJdPMN2lEyNofMrNWgxzSL.OL4.FcVxpmETOoncU6zLgX3vZUh9DEkTxz1cLCJCgaifTNxH7VX_RR8yHaQuPzwzrLULWR08tufdfrkVAqj6ilUjG7fmkg3IUioWLx6.uq.Ivd.HMs9rbVSIiRcEG1z0xyWPd_SaZmnfSksuc_W97zDQiIq_RIlAxQagXSPSM664MnNkRlfPMuZ916hl9kewFQlzhWEIGRFAEZBdrxAP; ph_phc_LG7IJbVJqBsk584rbcKca0D5lV2vHguiijDrVji7yDM_posthog=%7B%22distinct_id%22%3A%2250ad4fab-ab43-4d4f-92eb-abfe19511ee9%22%2C%22%24sesid%22%3A%5B1755516120297%2C%220198bce7-4efc-72cd-bd68-ede97fcf6ba0%22%2C1755515932412%5D%2C%22%24epp%22%3Atrue%2C%22%24initial_person_info%22%3A%7B%22r%22%3A%22%24direct%22%2C%22u%22%3A%22https%3A%2F%2Flmarena.ai%2F%22%7D%7D; _ga_72FK1TMV06=GS2.1.s1755515932 $o2$ g1 $t1755516120$ j20 $l0$ h0'
-H 'origin: https://lmarena.ai'
-H 'priority: u=1, i'
-H 'referer: https://lmarena.ai/'
-H 'sec-ch-ua: "Not;A=Brand";v="99", "Google Chrome";v="139", "Chromium";v="139"'
-H 'sec-ch-ua-arch: "x86"'
-H 'sec-ch-ua-bitness: "64"'
-H 'sec-ch-ua-full-version: "139.0.7258.128"'
-H 'sec-ch-ua-full-version-list: "Not;A=Brand";v="99.0.0.0", "Google Chrome";v="139.0.7258.128", "Chromium";v="139.0.7258.128"'
-H 'sec-ch-ua-mobile: ?0'
-H 'sec-ch-ua-model: ""'
-H 'sec-ch-ua-platform: "Windows"'
-H 'sec-ch-ua-platform-version: "19.0.0"'
-H 'sec-fetch-dest: empty'
-H 'sec-fetch-mode: cors'
-H 'sec-fetch-site: same-origin'
-H 'user-agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/139.0.0.0 Safari/537.36'
--data-raw '{"id":"ec5ed15c-ea21-4764-9570-14ded4079e51","mode":"battle","userMessageId":"1869f827-b4c2-4bf6-93c1-a35771ed8b31","modelAMessageId":"61173745-f689-4790-b931-594ca8f1a662","modelBMessageId":"63e45bbd-da62-49da-a616-0471572e19db","messages":[{"id":"1869f827-b4c2-4bf6-93c1-a35771ed8b31","role":"user","content":"Low-angle cinematic shot of a Formula 1 pit crew helmet, towering in the frame. The glossy visor reflects a Formula 1 race car entering the pit lane, mechanics rushing around. The reflection is slightly warped by the visor curve, creating a dramatic perspective. Strong contrast, warm natural light, high-detail textures of helmet and visor. Editorial motorsport aesthetic.","experimental_attachments":[],"parentMessageIds":[],"participantPosition":"a","modelId":null,"evaluationSessionId":"ec5ed15c-ea21-4764-9570-14ded4079e51","status":"pending","failureReason":null},{"id":"61173745-f689-4790-b931-594ca8f1a662","role":"assistant","content":"","experimental_attachments":[],"parentMessageIds":["1869f827-b4c2-4bf6-93c1-a35771ed8b31"],"participantPosition":"a","modelId":null,"evaluationSessionId":"ec5ed15c-ea21-4764-9570-14ded4079e51","status":"pending","failureReason":null},{"id":"63e45bbd-da62-49da-a616-0471572e19db","role":"assistant","content":"","experimental_attachments":[],"parentMessageIds":["1869f827-b4c2-4bf6-93c1-a35771ed8b31"],"participantPosition":"b","modelId":null,"evaluationSessionId":"ec5ed15c-ea21-4764-9570-14ded4079e51","status":"pending","failureReason":null}],"modality":"chat"}' ?

Answer 1

Resumo rápido: você está tentando chamar, via curl, um endpoint que foi feito para ser usado pelo front-end do site, protegido pela Cloudflare + autenticação (Clerk) + possivelmente Turnstile/WAF. Copiar cookies do navegador e simular headers de browser quase sempre cai no bot-detector da Cloudflare — por isso o bloqueio.

Aqui estão os motivos mais prováveis (no seu comando dá para ver vários sinais):

Cookies inválidos fora do navegador
__cf_bm e cf_clearance são temporários, atrelados ao IP/navegador/desafio recente. Reaproveitar esses valores em curl normalmente resulta em 403/1020.
Faltam sinais do desafio (Turnstile/JS challenge)
O front adiciona um token (p.ex. cf-turnstile-response) ou passa por um challenge que curl não executa. Sem isso, a regra do WAF barra o POST.
Headers “de browser” inconsistentes
Você está enviando sec-ch-ua*, priority, etc. Esses client hints são emitidos pelo Chrome sob condições específicas (negociação via Accept-CH). Em curl eles parecem falsos → aumenta a suspeita de automação.
Autenticação/CSRF do app
O endpoint parece exigir sessão do Clerk (arena-auth-prod-v1) e possivelmente um cabeçalho/CSRF que o front injeta. Só o cookie não basta.
Content-Type divergente
Você envia JSON, mas está usando content-type: text/plain;charset=UTF-8. Mesmo que passasse da Cloudflare, a aplicação poderia recusar o corpo.

O que fazer (sem “driblar” a proteção):

Use a API oficial (se existir) com chave/Authorization própria para uso server-side. Endpoints front-end protegidos por Cloudflare não são APIs públicas.
Chame pelo navegador (ou SDK do próprio site) como eles planejaram.
Fale com o suporte/admin do serviço e peça um fluxo de API programática (token estável, IPs permitidos, etc.).

Se ainda quiser diagnosticar por conta própria (seguro e ético):

Veja o status e quem respondeu:

bash
curl -i 'https://lmarena.ai/api/stream/create-evaluation' \
  -H 'content-type: application/json' \
  --data '{"ping":true}'

Se vier Server: cloudflare e um cf-ray com 403/1020, é bloqueio do WAF/anti-bot.

Corrija o Content-Type se for JSON:
-H 'content-type: application/json' (e mantenha o corpo como JSON válido).
Não envie headers sec-ch-ua*, priority, sec-fetch-*, origin/referer manualmente — isso piora o “fingerprint”.

⚠️ Importante: você colou cookies/sessão sensíveis (inclui cf_clearance, __cf_bm, arena-auth-prod-v1). Recomendo encerrar sessões/logins nesse site e limpar cookies para evitar uso indevido.

Se você me disser o código de status e os headers da resposta (sem reenviar cookies!), eu te digo exatamente qual regra está pegando (ex.: 1020 = WAF policy, 1010 = “bad browser”, etc.) e qual caminho correto seguir.

Answer 2

Curto e direto: esses endpoints (/api/gql_POST, /api/receive_POST) são endpoints internos do front-end do Poe. Eles exigem sessão do navegador (cookies p-b, poe-tchannel, poe-formkey, etc.), passam por checks do Cloudflare e por um canal de eventos próprio. Fora do front, isso quebra ou vira um jogo infinito de “receive-post”. A forma correta de “rodar fora do front-end” é usar a API oficial do Poe para apps externos — que é compatível com o formato da OpenAI, tem chave própria e não requer nenhum header/cookie do navegador. (creator.poe.com)

Como fazer do jeito suportado

Pegue sua API key (no Poe) e use a base https://api.poe.com/v1.
Faça requisições no formato OpenAI /v1/chat/completions com Authorization: Bearer <POE_API_KEY>. Exemplo mínimo:

bash
curl "https://api.poe.com/v1/chat/completions" \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $POE_API_KEY" \
  -d '{
    "model": "Claude-Sonnet-4",  // nome do bot/modelo no Poe
    "messages": [
      {"role": "user", "content": "Escreva um haicai sobre pontes."}
    ]
  }'

Para streaming, envie "stream": true (e no curl use --no-buffer), exatamente como nos exemplos oficiais. (creator.poe.com)

Se quiser integrar mais profundamente (webhook/servidor recebendo chamadas do Poe), use o “Server Bots” com a lib oficial fastapi_poe (o Poe chama seu endpoint com Authorization: Bearer <access_key>). É um fluxo suportado e estável. (GitHub, creator.poe.com)
A doc de External Applications explica como usar a API do Poe fora do cliente (IDE, scripts, etc.) — é justamente o seu caso. (creator.poe.com)

Por que seu `curl` atual não é confiável

Tokens/cookies efêmeros (p-b, poe-formkey, cf_clearance, __cf_bm) amarrados ao navegador/IP e a desafios da Cloudflare → instáveis no curl.
Canal de eventos do front (receive_POST) é para atualizações incrementais da UI, não é uma API pública.
Simular headers de browser (sec-ch-ua*, sec-fetch-*, etc.) fora do contexto certo piora o fingerprint e ativa o WAF.
Tudo isso é comportamento esperado do front, não um caminho de API. (creator.poe.com)

⚠️ Você colou cookies/tokens sensíveis (inclui cf_clearance, p-b). Recomendo encerrar a sessão no Poe e limpar cookies para prevenir uso indevido.

Se quiser, eu te passo um exemplo completo (Python/Node) usando a API compatível com OpenAI do Poe e o nome de bot/modelo que você pretende chamar (ex.: “GPT-4o”, “Claude-Sonnet-4”, “Grok-4”, etc.). É plug-and-play. (creator.poe.com)

pq o cloudflare bloqueia meu request: curl 'https:...

Câu hỏi

Suy nghĩ

Diagnosing Cloudflare Block

Cloudflare Access Solutions

Cloudflare Access Guidance

Cloudflare Header Advice

Analysing Cloudflare Block

Trả lời

Câu hỏi

Suy nghĩ

Answering the user request

Trả lời

Como fazer do jeito suportado

Por que seu `curl` atual não é confiável

Chia sẻ Q&A này

Câu hỏi

Suy nghĩ

Diagnosing Cloudflare Block

Cloudflare Access Solutions

Cloudflare Access Guidance

Cloudflare Header Advice

Analysing Cloudflare Block

Trả lời

Câu hỏi

Suy nghĩ

Answering the user request

Trả lời

Como fazer do jeito suportado

Por que seu curl atual não é confiável

Chia sẻ Q&A này

Por que seu `curl` atual não é confiável