feature: UA и отпечаток задаются профилю один раз, cookies запроса заменяют профильные

- user_agent записывается в профиль при первом запросе сессии, дальше игнорируется (#87)
- переданные cookies заменяют cookies профиля (clear_cookies перед add_cookies) (#88)
- без user_agent профилю генерируется отпечаток browserforge (Linux Chrome): UA с версией
  установленного Chrome, экран и devicePixelRatio; только нативная эмуляция, без JS (#89)
- make fp-check: проверка, что отпечаток применяется и стабилен, и доля различий профилей

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/API.md

@@ -40,8 +40,8 @@ Cookie: session_id=<id>        # необязательно, см. «Сесси
 | `html` | bool | `false` | вернуть HTML страницы после выполнения действий |
 | `screenshot` | bool | `false` | вернуть скриншот видимой области (PNG, base64) после действий — в том числе при ошибке действия или антибота |
 | `timeout` | int, с | `60` | таймаут навигации |
-| `user_agent` | string | `null` | свой User-Agent; запоминается в сессии (см. «Сессии»). Без него — UA сессии или UA установленного Chrome |
-| `cookies` | array | `null` | cookies для установки до навигации, формат Playwright: `{name, value, domain, path, expires, httpOnly, secure, sameSite}` |
+| `user_agent` | string | `null` | свой User-Agent. Задаётся профилю **один раз** — в первом запросе сессии; в следующих запросах этой сессии поле игнорируется. Без него профилю генерируется отпечаток (см. «Сессии») |
+| `cookies` | array | `null` | cookies для установки до навигации, формат Playwright: `{name, value, domain, path, expires, httpOnly, secure, sameSite}` или `{name, value, url}`. **Заменяют** cookies профиля: перед установкой все cookies профиля удаляются (`[]` — просто очистить). Без поля cookies профиля сохраняются |
 | `disable_resources` | bool | `false` | не грузить картинки, шрифты, медиа |
 | `blocked_domains` | array | `null` | домены, запросы к которым блокируются |
 | `retries` | int | `1` | попыток навигации |
@@ -126,9 +126,19 @@ Cookie: session_id=<id>        # необязательно, см. «Сесси
 ## Сессии
 
 Ответ ставит cookie `session_id` (UUID). Если передать её в следующем запросе, браузер откроется с тем же профилем
-(`extra/user_data_dir/<session_id>`): cookies, localStorage, отпечаток и `user_agent` сохраняются, повторно проходить Cloudflare
+(`extra/user_data_dir/<session_id>`): cookies, localStorage, `user_agent` и отпечаток сохраняются, повторно проходить Cloudflare
 обычно не нужно. Без cookie или с некорректным значением (не UUID) запрос получает новый профиль.
 
+User-Agent и отпечаток профиля задаются при первом запросе сессии и дальше не меняются (`robotex_session.json` в
+каталоге профиля):
+
+- передан `user_agent` — профилю записывается он;
+- не передан — генерируется отпечаток десктопного Chrome на Linux (browserforge): UA с версией установленного Chrome,
+  размер экрана и `devicePixelRatio` из реального распределения. Применяется нативной эмуляцией Chrome, без
+  JS-подмены (она ломала прохождение Cloudflare). DPR влияет и на хеш canvas. Ограничение: canvas, WebGL и
+  `hardwareConcurrency` у всех профилей одинаковые, поэтому примерно половина профилей совпадает по отпечатку
+  (`make fp-check` показывает долю различий).
+
 Один профиль нельзя использовать в двух запросах одновременно: Chrome заблокирует каталог профиля.
 
 ## Производительность