TLS handshake sırasında client'ın gönderdiği ClientHello paketi, cipher suite sırasından extension dizilimine kadar yüzlerce ipucu içerir.
JA3 bu paketin MD5 hash'idir. Aynı tarayıcı sürümü dünya genelinde aynı JA3'ü üretir. Cloudflare, Akamai ve DataDome bu hash'leri 'iyi/kötü' diye sınıflandırır.
Modern botların ezici çoğunluğu HTTP istemcileri (requests, axios, fetch) üzerinden çalışır. Bu istemcilerin JA3 hash'leri tek bir tarayıcı imzasıyla bile eşleşmez — anında yakalanırlar.
ESCOBAR$, Chromium'u headful modda gizli çalıştırır ve ClientHello'yu dağılım istatistiklerine göre rastgele eşler. Sonuç: her oturum yeni bir 'gerçek kullanıcı' imzası.