Les listes de proxies et certains fournisseurs classent les proxies en trois niveaux d’anonymat : transparent, anonyme et élite. Ces étiquettes décrivent une seule chose, bien précise : ce que le proxy ajoute aux en-têtes HTTP de votre requête. Un proxy transparent transmet votre véritable adresse IP, un proxy anonyme la masque mais signale qu’il est un proxy, et un proxy élite, aussi appelé proxy à haut anonymat, n’ajoute rien du tout.
C’est utile à savoir, mais cela répond à une question plus étroite que ne le pensent la plupart des acheteurs. Les sites cibles examinent bien plus que les en-têtes, et le type d’adresse IP compte davantage que le niveau d’anonymat. Ce guide explique ce que révèle chaque niveau, comment vérifier un proxy par vous-même, et pourquoi un proxy résidentiel qui n’ajoute aucun en-tête est la combinaison qui ressemble réellement à un visiteur ordinaire.
Les trois niveaux, en-tête par en-tête
Lorsqu’un proxy relaie une requête HTTP simple, il peut ajouter des en-têtes qui indiquent à la destination qu’un proxy est intervenu. Trois d’entre eux comptent :
- Via désigne le proxy qui a traité la requête. Le standard HTTP demande aux proxies de l’ajouter.
- X-Forwarded-For contient l’adresse du client d’origine. Il ne fait pas partie du standard de base, mais presque tous les proxies et load balancers le comprennent.
- Forwarded est la version standardisée de la même idée, définie dans la RFC 7239, avec des champs pour l’adresse du client, le protocole et l’hôte.
Les niveaux d’anonymat ne sont que des combinaisons de ces en-têtes :
| Niveau | Votre IP réelle visible | Usage d’un proxy visible | En-têtes généralement ajoutés |
|---|---|---|---|
| Transparent | Oui | Oui | Via, X-Forwarded-For avec votre IP |
| Anonyme | Non | Oui | Via, ou X-Forwarded-For avec l’IP du proxy ou une valeur vide |
| Élite (haut anonymat) | Non | Pas via les en-têtes | Aucun |
Un proxy transparent n’est pas un proxy défectueux. Les réseaux d’entreprise, les écoles et les serveurs de cache les utilisent volontairement, car le but est de filtrer ou de mettre en cache le trafic, pas de cacher qui que ce soit. Le mot « transparent » a aussi un second sens, sans rapport, en réseau : un proxy qui intercepte le trafic sans que le client ait à le configurer. Notre entrée de glossaire sur le serveur proxy couvre ce sens-là. Sur l’échelle d’anonymat, il signifie seulement « transmet votre adresse ».
Ces niveaux ne concernent que le HTTP simple
L’essentiel du web fonctionne désormais en HTTPS, et cela change la donne. Pour un site HTTPS, votre client demande au proxy d’ouvrir un tunnel via une requête CONNECT, puis dialogue en TLS directement avec la destination à travers ce tunnel. Le proxy ne fait que relayer des octets chiffrés. Il ne peut ni lire ni ajouter d’en-têtes à l’intérieur du tunnel, et ne peut donc pas ajouter Via ou X-Forwarded-For, même s’il le voulait.
En pratique, cela signifie que :
- Pour les cibles HTTPS, tout proxy fonctionnel se comporte comme un proxy élite en ce qui concerne les en-têtes.
- Pour les cibles en HTTP simple, le niveau d’anonymat est bien réel et mérite d’être vérifié.
- Un proxy « élite » lors d’un test HTTPS peut tout de même divulguer des en-têtes en HTTP : testez donc le protocole que vous utilisez réellement.
Ce que les sites cibles vérifient au-delà des en-têtes
Supprimer les en-têtes de proxy est la partie facile. Les sites attentifs au trafic automatisé ou passant par des proxies examinent des signaux que le proxy ne peut pas simplement omettre.
L’adresse IP elle-même. Chaque adresse appartient à un réseau, et les bases de données IP indiquent si ce réseau relève d’un fournisseur d’accès grand public, d’un opérateur mobile, d’un hébergeur ou d’une plage de proxies connue. Une requête sans en-tête de proxy provenant d’un datacenter cloud ressemble toujours à une requête émise par un serveur. C’est pourquoi les proxies datacenter sont plus souvent bloqués sur les sites protégés, même lorsqu’ils sont étiquetés élite.
La réputation de l’IP. Les adresses qui ont envoyé du spam, des attaques ou un trafic automatisé massif finissent sur des listes de blocage. Les proxies « élite » gratuits issus de listes publiques sont généralement partagés par de nombreux inconnus et souvent déjà signalés.
Le client. La négociation TLS, les paramètres HTTP/2 et l’ordre des en-têtes identifient le logiciel qui émet la requête. Un proxy ne change rien à tout cela. Notre guide sur le fingerprinting TLS et HTTP/2 explique tout ce qu’un client révèle avant même le chargement de la première page.
La cohérence. Un navigateur dont le fuseau horaire, la langue et la localisation ne correspondent pas à l’adresse IP se remarque, quoi que disent les en-têtes.
Le comportement. Le rythme des requêtes, les schémas de navigation et l’absence des ressources habituelles d’une page trahissent à eux seuls l’automatisation.
« Élite » est donc nécessaire, mais pas suffisant. Ce niveau supprime un signal facile à repérer. Il ne fait pas pour autant passer une requête pour celle d’une personne connectée depuis chez elle.
Comment vérifier le niveau d’anonymat d’un proxy
Vous pouvez tester n’importe quel proxy en quelques minutes. Envoyez à travers lui une requête HTTP simple vers un serveur qui renvoie les en-têtes reçus, et regardez ce que le proxy a ajouté.
Utilisez un serveur d’écho que vous contrôlez. Les services publics d’écho d’en-têtes se trouvent généralement derrière leurs propres load balancers, qui suppriment ou réécrivent X-Forwarded-For avant que le code d’écho ne le voie, et peuvent ainsi faire passer un proxy transparent pour un proxy élite. Quelques lignes sur n’importe quel petit serveur doté d’une IP publique suffisent :
# echo.py: run on your own server, e.g. python3 echo.py
import json
from http.server import BaseHTTPRequestHandler, HTTPServer
class Echo(BaseHTTPRequestHandler):
def do_GET(self):
body = json.dumps({
"remote_addr": self.client_address[0],
"headers": dict(self.headers),
}).encode()
self.send_response(200)
self.send_header("Content-Type", "application/json")
self.end_headers()
self.wfile.write(body)
HTTPServer(("0.0.0.0", 8080), Echo).serve_forever()Appelez-le ensuite à travers le proxy, en HTTP simple :
import os
import requests
PROXY = os.environ["PROXY_URL"] # e.g. http://user:pass@host:port
ECHO = "http://YOUR_SERVER_IP:8080/" # plain HTTP on purpose
seen = requests.get(ECHO, proxies={"http": PROXY}, timeout=20).json()
PROXY_HEADERS = ["via", "x-forwarded-for", "forwarded", "x-real-ip", "proxy-connection"]
found = {k: v for k, v in seen["headers"].items() if k.lower() in PROXY_HEADERS}
print("Address the server saw:", seen["remote_addr"])
print("Proxy headers added:", found or "none (elite for HTTP)")Si X-Forwarded-For contient votre propre adresse, le proxy est transparent. Si des en-têtes de proxy sont présents mais pas votre adresse, il est anonyme. Si rien de plus n’arrive, il est élite pour le trafic HTTP. Recherchez ensuite l’adresse de sortie dans une base de données IP pour savoir à quel type de réseau elle appartient, car c’est la prochaine chose qu’un site cible vérifiera.
La place des proxies résidentiels
Le cas idéal pour un proxy est de n’ajouter aucun en-tête et de sortir par une adresse appartenant à une connexion domestique ordinaire. C’est précisément ce qu’offre un réseau de proxies résidentiels : les requêtes partent de connexions haut débit de particuliers, dans le pays ou la ville de votre choix, sans qu’aucun en-tête de proxy ne soit ajouté en chemin. La passerelle résidentielle de Shifter n’ajoute ni Via ni X-Forwarded-For aux requêtes qu’elle relaie.
Il faut aussi être clair sur les limites. Aucun niveau d’anonymat ne masque vos comptes, vos cookies ou l’empreinte de votre navigateur, et le fournisseur sait toujours qui est son client. Notre article expliquant pourquoi un proxy n’est pas un outil d’anonymat détaille ce qu’un proxy masque et ce qu’il ne masque pas. Pour collecter des données publiques, tester le comportement des sites sur d’autres marchés et répartir les requêtes sur de nombreuses adresses, la bonne configuration associe une IP de sortie propre à un client qui se comporte comme un navigateur normal.
FAQ
Qu’est-ce qu’un proxy élite ?
Un proxy élite, aussi appelé proxy à haut anonymat ou proxy de niveau 1, relaie vos requêtes sans ajouter d’en-tête révélant votre adresse IP ni le fait qu’un proxy est utilisé. La destination ne voit que l’adresse du proxy.
Un proxy élite est-il la même chose qu’un proxy résidentiel ?
Non. « Élite » décrit les en-têtes qu’un proxy ajoute. « Résidentiel » décrit l’origine de l’IP de sortie : une connexion internet domestique plutôt qu’un datacenter. Un proxy datacenter peut être élite et rester facile à reconnaître à son adresse IP.
Les niveaux d’anonymat comptent-ils pour les sites HTTPS ?
Beaucoup moins. En HTTPS, le proxy relaie un tunnel chiffré et ne peut pas y ajouter d’en-têtes. Les niveaux comptent pour le trafic HTTP simple, où le proxy peut lire et modifier la requête.
Un site web peut-il savoir que j’utilise un proxy élite ?
Pas à partir des en-têtes, mais il le peut grâce à d’autres signaux : le type et la réputation de l’adresse IP, l’empreinte TLS du client, des paramètres de localisation incohérents et le comportement des requêtes.
En résumé
Transparent, anonyme et élite décrivent ce qu’un proxy ajoute aux en-têtes HTTP simples, rien de plus. En HTTPS, la différence disparaît, et les sites cibles s’appuient plutôt sur l’adresse IP, sa réputation, l’empreinte du client et le comportement. Choisissez un proxy qui n’ajoute aucun en-tête, vérifiez-le avec le protocole que vous utilisez, et accordez la plus grande attention à l’origine de l’IP de sortie.