Las listas de proxies y algunos proveedores clasifican los proxies en tres niveles de anonimato: transparente, anónimo y elite. Estas etiquetas describen una sola cosa muy concreta: lo que el proxy añade a las cabeceras HTTP de tu petición. Un proxy transparente transmite tu dirección IP real, un proxy anónimo la oculta pero reconoce que es un proxy, y un proxy elite, también llamado proxy de alto anonimato, no añade nada en absoluto.
Es útil saberlo, pero responde a una pregunta más limitada de lo que piensa la mayoría de los compradores. Los sitios de destino analizan mucho más que las cabeceras, y el tipo de dirección IP importa más que la etiqueta de anonimato. Esta guía explica qué revela cada nivel, cómo comprobar un proxy por tu cuenta y por qué un proxy residencial que no añade cabeceras es la combinación que de verdad se parece a un visitante normal.
Los tres niveles, cabecera por cabecera
Cuando un proxy reenvía una petición HTTP sin cifrar, puede añadir cabeceras que indican al destino que ha intervenido un proxy. Hay tres que importan:
- Via identifica el proxy que ha gestionado la petición. El estándar HTTP pide a los proxies que la añadan.
- X-Forwarded-For contiene la dirección del cliente original. No forma parte del estándar principal, pero casi todos los proxies y balanceadores de carga la entienden.
- Forwarded es la versión estandarizada de la misma idea, definida en RFC 7239, con campos para la dirección del cliente, el protocolo y el host.
Los niveles de anonimato no son más que combinaciones de estas cabeceras:
| Nivel | Tu IP real es visible | El uso de proxy es visible | Cabeceras que suele añadir |
|---|---|---|---|
| Transparente | Sí | Sí | Via, X-Forwarded-For con tu IP |
| Anónimo | No | Sí | Via, o X-Forwarded-For con la IP del propio proxy o un valor vacío |
| Elite (alto anonimato) | No | No por las cabeceras | Ninguna |
Un proxy transparente no es un proxy defectuoso. Las redes corporativas, los centros educativos y los servidores de caché los usan a propósito, porque su objetivo es filtrar o almacenar en caché el tráfico, no ocultar a nadie. La palabra “transparente” tiene además un segundo significado, sin relación con este, en el mundo de las redes: un proxy que intercepta el tráfico sin que el cliente lo configure. Nuestra entrada del glosario sobre servidores proxy trata ese sentido. En la escala de anonimato solo significa “transmite tu dirección”.
Las etiquetas solo se aplican a HTTP sin cifrar
Hoy la mayor parte de la web funciona con HTTPS, y eso cambia el panorama. En un sitio HTTPS, tu cliente pide al proxy que abra un túnel con una petición CONNECT y después habla TLS directamente con el destino a través de ese túnel. El proxy se limita a retransmitir bytes cifrados. No puede leer ni añadir cabeceras dentro del túnel, así que no puede añadir Via ni X-Forwarded-For aunque quisiera.
En la práctica, eso significa que:
- Con destinos HTTPS, cualquier proxy que funcione se comporta como un proxy elite en lo que respecta a las cabeceras.
- Con destinos HTTP sin cifrar, el nivel de anonimato es real y conviene comprobarlo.
- Un proxy que resulta “elite” en una prueba HTTPS puede filtrar cabeceras en HTTP, así que haz la prueba con el protocolo que realmente usas.
Qué comprueban los sitios más allá de las cabeceras
Eliminar las cabeceras de proxy es la parte fácil. Los sitios que vigilan el tráfico automatizado o a través de proxies analizan señales que el proxy no puede simplemente omitir.
La propia dirección IP. Cada dirección pertenece a una red, y las bases de datos de IP registran si esa red es de un proveedor de banda ancha doméstica, un operador móvil, una empresa de hosting o un rango de proxies conocido. Una petición sin cabeceras de proxy que sale de un centro de datos en la nube sigue pareciendo que viene de un servidor. Por eso los proxies de datacenter se bloquean con más frecuencia en sitios protegidos aunque estén etiquetados como elite.
La reputación de la IP. Las direcciones que han enviado spam, ataques o mucho tráfico automatizado acaban en listas de bloqueo. Los proxies “elite” gratuitos de listas públicas suelen compartirse entre muchos desconocidos y a menudo ya están marcados.
El cliente. El handshake TLS, la configuración de HTTP/2 y el orden de las cabeceras identifican el software que hace la petición. Un proxy no cambia nada de esto. Nuestra guía sobre fingerprinting de TLS y HTTP/2 explica cuánto revela un cliente antes de que se cargue la primera página.
La coherencia. Un navegador cuya zona horaria, idioma y ubicación no coinciden con la dirección IP llama la atención, digan lo que digan las cabeceras.
El comportamiento. La frecuencia de las peticiones, los patrones de navegación y la ausencia de los recursos habituales de una página delatan la automatización por sí solos.
Así que “elite” es necesario, pero no suficiente. Elimina una señal fácil. No hace que una petición parezca venir de una persona desde su casa.
Cómo comprobar el nivel de anonimato de un proxy
Puedes probar cualquier proxy en pocos minutos. Envía a través de él una petición HTTP sin cifrar a un servidor que devuelva las cabeceras que ha recibido y mira qué ha añadido el proxy.
Usa un servidor de eco que controles tú. Los servicios públicos que devuelven cabeceras suelen estar detrás de sus propios balanceadores de carga, que eliminan o reescriben X-Forwarded-For antes de que el código de eco lo vea, de modo que pueden hacer que un proxy transparente parezca elite. Bastan unas pocas líneas en cualquier servidor pequeño con IP pública:
# echo.py: run on your own server, e.g. python3 echo.py
import json
from http.server import BaseHTTPRequestHandler, HTTPServer
class Echo(BaseHTTPRequestHandler):
def do_GET(self):
body = json.dumps({
"remote_addr": self.client_address[0],
"headers": dict(self.headers),
}).encode()
self.send_response(200)
self.send_header("Content-Type", "application/json")
self.end_headers()
self.wfile.write(body)
HTTPServer(("0.0.0.0", 8080), Echo).serve_forever()Después, llámalo a través del proxy por HTTP sin cifrar:
import os
import requests
PROXY = os.environ["PROXY_URL"] # e.g. http://user:pass@host:port
ECHO = "http://YOUR_SERVER_IP:8080/" # plain HTTP on purpose
seen = requests.get(ECHO, proxies={"http": PROXY}, timeout=20).json()
PROXY_HEADERS = ["via", "x-forwarded-for", "forwarded", "x-real-ip", "proxy-connection"]
found = {k: v for k, v in seen["headers"].items() if k.lower() in PROXY_HEADERS}
print("Address the server saw:", seen["remote_addr"])
print("Proxy headers added:", found or "none (elite for HTTP)")Si X-Forwarded-For contiene tu propia dirección, el proxy es transparente. Si hay cabeceras de proxy pero no aparece tu dirección, es anónimo. Si no llega nada adicional, es elite para el tráfico HTTP. Después, busca la dirección de salida en una base de datos de IP para ver a qué tipo de red pertenece, porque es lo siguiente que comprobará un sitio de destino.
Dónde encajan los proxies residenciales
Lo ideal en un proxy es que no añada cabeceras y que salga desde una dirección que pertenezca a una conexión doméstica normal. Eso es lo que ofrece una red de proxies residenciales: las peticiones salen desde conexiones de banda ancha de hogares en el país o la ciudad que elijas, sin que se añadan cabeceras de proxy por el camino. El gateway residencial de Shifter no añade Via ni X-Forwarded-For a las peticiones que reenvía.
También conviene tener claros los límites. Ningún nivel de anonimato oculta tus cuentas, tus cookies o la huella de tu navegador, y el proveedor sigue sabiendo quién es su cliente. Nuestro artículo sobre por qué un proxy no es una herramienta de anonimato repasa qué oculta un proxy y qué no. Para recopilar datos públicos, comprobar cómo se comportan los sitios en otros mercados y repartir peticiones entre muchas direcciones, la configuración adecuada es una IP de salida limpia y un cliente que se comporte como un navegador normal.
Preguntas frecuentes
¿Qué es un proxy elite?
Un proxy elite, también llamado proxy de alto anonimato o de nivel 1, reenvía tus peticiones sin añadir ninguna cabecera que revele tu dirección IP ni el hecho de que se está usando un proxy. El destino solo ve la dirección del proxy.
¿Un proxy elite es lo mismo que un proxy residencial?
No. “Elite” describe qué cabeceras añade un proxy. “Residencial” describe de dónde procede la IP de salida: de una conexión a internet doméstica y no de un centro de datos. Un proxy de datacenter puede ser elite y seguir siendo fácil de reconocer por su dirección IP.
¿Importan los niveles de anonimato en los sitios HTTPS?
Mucho menos. Con HTTPS, el proxy retransmite un túnel cifrado y no puede añadir cabeceras dentro de él. Los niveles importan en el tráfico HTTP sin cifrar, donde el proxy puede leer y modificar la petición.
¿Puede un sitio web saber que uso un proxy elite?
No por las cabeceras, pero sí por otras señales: el tipo y la reputación de la dirección IP, la huella TLS del cliente, una configuración de ubicación incoherente y el comportamiento de las peticiones.
En resumen
Transparente, anónimo y elite describen lo que un proxy añade a las cabeceras HTTP sin cifrar, nada más. Con HTTPS la diferencia desaparece, y los sitios de destino se basan en cambio en la dirección IP, su reputación, la huella del cliente y el comportamiento. Elige un proxy que no añada cabeceras, compruébalo con el protocolo que usas y presta la máxima atención al origen de la IP de salida.