« Les proxies résidentiels sont-ils sûrs » est en réalité une question qui en cache deux. La première est de savoir s’ils sont sûrs pour vous, étant donné que votre trafic transite par une infrastructure et des connexions que vous ne contrôlez pas. La seconde est de savoir s’ils sont sûrs au sens éthique, c’est-à-dire si les personnes dont les connexions domestiques constituent le pool ont accepté d’en faire partie. Les deux méritent une réponse franche, et la réponse honnête est que le risque est réel, concentré à des endroits précis, et largement gérable une fois que l’on sait où il se situe.
Ce qu’un proxy peut et ne peut pas voir
Commençons par la mécanique, car la plupart des inquiétudes ici sont soit exagérées, soit mal orientées.
Lorsque vous demandez une page HTTPS via un proxy, votre client ouvre un tunnel chiffré vers la destination et le proxy transmet les octets chiffrés. Le proxy ne peut pas lire le contenu de la page, les champs de formulaire, ni quoi que ce soit à l’intérieur de ce tunnel, car le chiffrement se termine à la destination plutôt qu’au niveau du proxy. C’est la même propriété qui vous protège sur un Wi-Fi public.
Ce que le proxy peut voir, ce sont les métadonnées : à quel nom d’hôte vous vous êtes connecté, quand, à quelle fréquence, quel volume de données a circulé, et via quelle sortie de son réseau. Ce n’est pas rien. Un fournisseur aux pratiques douteuses pourrait se constituer une image de ce que vous collectez et d’où, ce qui, pour une activité de veille concurrentielle, est commercialement sensible même si aucun contenu de page n’a jamais été exposé.
Là où tout change complètement, c’est en HTTP simple. Sans TLS, un intermédiaire voit et peut altérer tout, ce qui explique pourquoi la règle la plus importante est que tout ce qui est sensible doit transiter en HTTPS, que ce soit via un proxy ou non.
Où se situe le vrai danger
Le risque n’est pas réparti uniformément, et une catégorie concentre la majeure partie du préjudice.
Les proxies gratuits et non vérifiés constituent le véritable danger. Un proxy gratuit doit bien être financé d’une manière ou d’une autre, et les moyens habituels sont la journalisation et la revente des données de trafic, l’injection ou le remplacement de publicités, la suppression du TLS lorsqu’un client le permet, ou la collecte d’identifiants sur tout ce qui est envoyé sans chiffrement. Les listes de proxies ouverts sont encore pires, car vous ignorez qui les exploite. L’argument avancé dans proxies gratuits contre payants porte généralement sur la fiabilité, mais l’argument sécuritaire est plus solide encore : avec un fournisseur commercial, vous disposez d’un contrat, d’une contrepartie identifiable, et de quelque chose à perdre de leur côté.
L’approvisionnement opaque vient en second lieu. Si un fournisseur ne peut pas expliquer d’où viennent ses adresses, c’est un problème sur deux fronts. Sur le plan éthique, les personnes dont les connexions sont utilisées peuvent l’ignorer. Sur le plan pratique, les pools constitués sans consentement éclairé ont tendance à être bien plus fréquemment signalés, de sorte que la même opacité qui devrait inquiéter votre service juridique prédit aussi de moins bonnes performances, ce qui explique pourquoi l’approvisionnement éthique est autant une question commerciale qu’une question morale.
La gestion des identifiants de votre côté vient en troisième lieu, et c’est celle que vous contrôlez entièrement. Les identifiants de proxy constituent un secret donnant accès à une bande passante payante. Une fois versés dans un dépôt, intégrés dans une image de conteneur, ou partagés dans un chat, ils deviennent une ressource pour quelqu’un d’autre à vos frais, ce qui se manifeste généralement par une consommation inexpliquée plutôt que par une alerte.
La question éthique, dite simplement
Un proxy résidentiel fonctionne parce que la connexion domestique d’une personne réelle achemine votre requête. Que cela soit acceptable dépend entièrement du fait qu’elle ait sciemment accepté.
Les réseaux légitimes s’approvisionnent en adresses par des accords divulgués, typiquement une application ou un SDK où le participant est informé que sa connexion sera partagée, reçoit quelque chose en retour, et peut s’en retirer. Les réseaux illégitimes les acquièrent via des logiciels groupés que les gens ne comprenaient pas installer, ou pire, via des malwares. La différence est invisible sur une fiche technique et visible dans la manière dont un fournisseur répond à la question, alors posez-la directement et considérez le vague comme une réponse.
Il y a aussi une conséquence pour vous en aval. Si votre collecte transite par des connexions dont les propriétaires n’ont jamais consenti, c’est un fait concernant votre chaîne d’approvisionnement, et cela compte si vous êtes le genre d’organisation qui audite ses fournisseurs ou doit répondre à des questions sur la provenance des données, en plus des considérations RGPD qui s’appliquent à ce que vous collectez.
Réduire votre propre risque
Six pratiques couvrent l’essentiel.
Utilisez HTTPS pour tout. Ce n’est pas un conseil spécifique aux proxies, mais c’est le contrôle qui fait que la question des métadonnées reste la seule question. N’envoyez jamais d’identifiants, de jetons, ou de données personnelles en HTTP simple via un quelconque intermédiaire.
N’acheminez pas ce qui n’a pas besoin de l’être. Un proxy sert à atteindre des cibles nécessitant une origine différente. Les services internes, vos propres API, et les sessions authentifiées qui n’ont rien à voir avec la géographie devraient passer en direct, ce qui réduit à la fois l’exposition et le coût.
Traitez les identifiants de proxy comme des secrets. Un gestionnaire de secrets, des variables d’environnement à l’exécution, des valeurs distinctes par environnement lorsque c’est possible, et une procédure de rotation qui met à jour les clients avant d’invalider l’ancienne valeur, puisque chaque client détenant l’ancien mot de passe commence à échouer dès qu’il change, ce qui correspond au scénario 407.
Restreignez quels systèmes chez vous peuvent atteindre la passerelle. Le produit résidentiel s’authentifie par identifiants plutôt que par IP source, donc le contrôle vous incombe : des règles de sortie ou une politique réseau limitant quelles charges de travail peuvent communiquer vers l’extérieur, de sorte qu’un identifiant divulgué soit moins utile depuis ailleurs. Ce compromis est traité dans liste blanche et accès.
Surveillez la consommation. Une bande passante inexpliquée est le signal le plus clair qu’un identifiant s’est échappé, et vous ne pouvez le voir que par rapport à une base de référence, ce qui est une raison de plus pour suivre l’usage par projet comme dans les KPI des proxies.
Vérifiez le fournisseur. Demandez comment les adresses sont approvisionnées et si les participants consentent et peuvent s’en retirer. Demandez ce qui est journalisé et pendant combien de temps. Demandez quelle juridiction s’applique. Demandez s’il existe une page de statut publiée et un historique des incidents, comme dans SLA et disponibilité. Un fournisseur à l’aise pour répondre par écrit vous dit quelque chose d’utile indépendamment des réponses elles-mêmes.
Ce contre quoi les proxies ne vous protègent pas
Il vaut la peine d’être explicite, car ce point est mal compris dans les deux sens.
Un proxy change l’origine apparente d’une requête. Il ne vous anonymise pas si vous vous connectez ensuite, transportez des cookies identifiants, ou présentez une empreinte distinctive, puisque ces éléments vous identifient indépendamment de l’adresse. Il ne chiffre rien par lui-même ; c’est le TLS qui s’en charge. Ce n’est pas un VPN, en ce sens qu’il ne protège pas le reste du trafic de votre appareil, ce qui constitue la distinction faite dans proxies résidentiels contre VPN résidentiels.
Et il ne change pas ce que vous êtes autorisé à faire. Collecter des données publiques dans le respect des conditions d’un site est une activité commerciale ordinaire ; le proxy ne rend pas permissible une activité interdite, et il ne vous protège pas des conséquences, ce qui correspond au cadrage de le web scraping est-il légal.
Une courte liste de vérification pour un audit de sécurité
Tout le trafic proxifié est-il en HTTPS. Les identifiants sont-ils dans un gestionnaire de secrets avec une procédure de rotation. L’usage du proxy est-il limité aux charges de travail qui en ont besoin, avec des contrôles de sortie limitant le reste. La consommation est-elle surveillée par rapport à une base de référence. Le fournisseur peut-il décrire son modèle d’approvisionnement et de consentement, sa journalisation et sa rétention, et sa juridiction. Existe-t-il un historique public des incidents. Et ce que vous collectez est-il approprié au regard des règles applicables, indépendamment de la manière dont vous y accédez.
En résumé
Les proxies résidentiels sont aussi sûrs que le fournisseur que vous choisissez et l’hygiène que vous appliquez. Le HTTPS signifie qu’un fournisseur voit vos destinations plutôt que votre contenu, donc la question des métadonnées est réelle mais bornée, et le danger aigu se situe du côté des services gratuits et non vérifiés dont le modèle économique consiste à faire quelque chose de votre trafic. L’approvisionnement est la question qui compte le plus et celle à laquelle une fiche technique ne répondra pas, alors posez-la et considérez l’esquive comme disqualifiante, en gardant à l’esprit que les pools opaques performent aussi moins bien. De votre côté, conservez les identifiants dans un gestionnaire de secrets, restreignez quels systèmes peuvent les utiliser, surveillez la consommation, et n’acheminez que ce qui doit l’être. Puis rappelez-vous ce qu’un proxy n’est pas : ni chiffrement, ni anonymat, ni autorisation.
Si vous souhaitez appliquer cette liste de vérification à un réseau précis, les proxies résidentiels sont le produit, avec une tarification au GB et une passerelle documentée, et les questions de vérification ci-dessus sont exactement celles qu’il vaut la peine de poser à tout fournisseur avant d’acheter.