Proxies transparentes, anônimos e elite: o que os sites de destino conseguem ver

Listas de proxies e alguns provedores classificam os proxies em três níveis de anonimato: transparente, anônimo e elite. Esses rótulos descrevem uma coisa bem específica: o que o proxy acrescenta aos cabeçalhos HTTP da sua requisição. Um proxy transparente repassa o seu endereço IP real, um proxy anônimo esconde o IP mas admite que é um proxy, e um proxy elite, também chamado de proxy de alto anonimato, não acrescenta nada.

Vale a pena saber disso, mas a resposta é mais limitada do que a maioria dos compradores imagina. Os sites de destino analisam muito mais do que cabeçalhos, e o tipo de endereço IP pesa mais do que o rótulo de anonimato. Este guia explica o que cada nível revela, como testar um proxy por conta própria e por que um proxy residencial que não acrescenta cabeçalhos é a combinação que realmente se parece com um visitante comum.

Os três níveis, cabeçalho por cabeçalho

Quando um proxy encaminha uma requisição HTTP sem criptografia, ele pode acrescentar cabeçalhos que avisam o destino de que houve um proxy no caminho. Três deles importam:

• Via identifica o proxy que processou a requisição. O padrão HTTP pede que os proxies o acrescentem.
• X-Forwarded-For traz o endereço do cliente original. Não faz parte do padrão principal, mas quase todo proxy e balanceador de carga o entende.
• Forwarded é a versão padronizada da mesma ideia, definida na RFC 7239, com campos para o endereço do cliente, o protocolo e o host.

Os níveis de anonimato são simplesmente combinações desses cabeçalhos:

Nível	Seu IP real fica visível	O uso de proxy fica visível	Cabeçalhos normalmente acrescentados
Transparente	Sim	Sim	Via, X-Forwarded-For com o seu IP
Anônimo	Não	Sim	Via, ou X-Forwarded-For com o IP do próprio proxy ou um valor vazio
Elite (alto anonimato)	Não	Não pelos cabeçalhos	Nenhum

Um proxy transparente não é um proxy com defeito. Redes corporativas, escolas e servidores de cache usam esse tipo de proxy de propósito, porque o objetivo é filtrar ou armazenar o tráfego em cache, não esconder ninguém. A palavra “transparente” também tem um segundo significado em redes, sem relação com este: um proxy que intercepta o tráfego sem que o cliente o configure. Nosso verbete do glossário sobre servidor proxy trata desse sentido. Na escala de anonimato, o termo significa apenas “repassa o seu endereço”.

Os rótulos só valem para HTTP sem criptografia

Hoje a maior parte da web funciona em HTTPS, e isso muda o cenário. Em um site HTTPS, o seu cliente pede ao proxy que abra um túnel com uma requisição CONNECT e depois fala TLS diretamente com o destino por esse túnel. O proxy apenas retransmite bytes criptografados. Ele não consegue ler nem acrescentar cabeçalhos dentro do túnel, então não pode adicionar Via ou X-Forwarded-For nem que quisesse.

Na prática, isso significa que:

• Com destinos HTTPS, qualquer proxy funcional se comporta como um proxy elite no que diz respeito aos cabeçalhos.
• Com destinos HTTP sem criptografia, o nível de anonimato é real e vale a pena verificá-lo.
• Um proxy que aparece como “elite” em um teste HTTPS ainda pode vazar cabeçalhos em HTTP, então teste com o protocolo que você realmente usa.

O que os sites verificam além dos cabeçalhos

Remover os cabeçalhos de proxy é a parte fácil. Sites que se preocupam com tráfego automatizado ou via proxy analisam sinais que o proxy não tem como simplesmente omitir.

O próprio endereço IP. Todo endereço pertence a uma rede, e os bancos de dados de IP registram se essa rede é de um provedor de banda larga residencial, de uma operadora móvel, de uma empresa de hospedagem ou de uma faixa de proxies conhecida. Uma requisição sem cabeçalhos de proxy vinda de um data center na nuvem continua parecendo ter saído de um servidor. É por isso que os proxies de datacenter são bloqueados com mais frequência em sites protegidos, mesmo quando rotulados como elite.

A reputação do IP. Endereços que já enviaram spam, ataques ou grande volume de tráfego automatizado acabam em listas de bloqueio. Proxies “elite” gratuitos de listas públicas costumam ser compartilhados por muitos desconhecidos e muitas vezes já estão sinalizados.

O cliente. O handshake TLS, as configurações de HTTP/2 e a ordem dos cabeçalhos identificam o software que faz a requisição. Um proxy não altera nada disso. Nosso guia sobre fingerprinting de TLS e HTTP/2 explica o quanto um cliente revela antes mesmo de a primeira página carregar.

A coerência. Um navegador cujo fuso horário, idioma e localização não batem com o endereço IP chama atenção, independentemente do que dizem os cabeçalhos.

O comportamento. A frequência das requisições, os padrões de navegação e a ausência dos recursos normais de uma página denunciam a automação por si sós.

Ou seja, “elite” é necessário, mas não suficiente. Elimina um sinal fácil. Não faz uma requisição parecer vir de uma pessoa em casa.

Como verificar o nível de anonimato de um proxy

Você consegue testar qualquer proxy em poucos minutos. Envie por ele uma requisição HTTP sem criptografia para um servidor que devolva os cabeçalhos recebidos e veja o que o proxy acrescentou.

Use um servidor de eco que você controle. Serviços públicos que devolvem cabeçalhos geralmente ficam atrás de seus próprios balanceadores de carga, que removem ou reescrevem o X-Forwarded-For antes que o código de eco o veja, e com isso podem fazer um proxy transparente parecer elite. Algumas linhas em qualquer servidor pequeno com IP público já bastam:

# echo.py: run on your own server, e.g. python3 echo.py
import json
from http.server import BaseHTTPRequestHandler, HTTPServer

class Echo(BaseHTTPRequestHandler):
    def do_GET(self):
        body = json.dumps({
            "remote_addr": self.client_address[0],
            "headers": dict(self.headers),
        }).encode()
        self.send_response(200)
        self.send_header("Content-Type", "application/json")
        self.end_headers()
        self.wfile.write(body)

HTTPServer(("0.0.0.0", 8080), Echo).serve_forever()

Depois, chame o servidor pelo proxy usando HTTP sem criptografia:

import os
import requests

PROXY = os.environ["PROXY_URL"]           # e.g. http://user:pass@host:port
ECHO = "http://YOUR_SERVER_IP:8080/"      # plain HTTP on purpose

seen = requests.get(ECHO, proxies={"http": PROXY}, timeout=20).json()
PROXY_HEADERS = ["via", "x-forwarded-for", "forwarded", "x-real-ip", "proxy-connection"]
found = {k: v for k, v in seen["headers"].items() if k.lower() in PROXY_HEADERS}

print("Address the server saw:", seen["remote_addr"])
print("Proxy headers added:", found or "none (elite for HTTP)")

Se o X-Forwarded-For contiver o seu próprio endereço, o proxy é transparente. Se houver cabeçalhos de proxy mas o seu endereço não aparecer, ele é anônimo. Se nada a mais chegar, ele é elite para tráfego HTTP. Em seguida, consulte o endereço de saída em um banco de dados de IP para ver a que tipo de rede ele pertence, porque essa é a próxima coisa que um site de destino vai verificar.

Onde entram os proxies residenciais

O melhor cenário para um proxy é não acrescentar cabeçalhos e sair por um endereço que pertença a uma conexão residencial comum. É isso que uma rede de proxies residenciais oferece: as requisições saem de conexões de banda larga domésticas no país ou na cidade que você escolher, sem nenhum cabeçalho de proxy acrescentado no caminho. O gateway residencial da Shifter não acrescenta Via nem X-Forwarded-For às requisições que encaminha.

Também vale deixar claros os limites. Nenhum nível de anonimato esconde as suas contas, os seus cookies ou a impressão digital do seu navegador, e o provedor continua sabendo quem é o cliente. Nosso artigo sobre por que um proxy não é uma ferramenta de anonimato mostra o que um proxy esconde e o que não esconde. Para coletar dados públicos, testar como os sites se comportam em outros mercados e distribuir requisições entre muitos endereços, a configuração certa é um IP de saída limpo junto com um cliente que se comporte como um navegador comum.

Perguntas frequentes

Conclusão

Transparente, anônimo e elite descrevem o que um proxy acrescenta aos cabeçalhos HTTP sem criptografia, e nada mais. Em HTTPS a diferença desaparece, e os sites de destino passam a se basear no endereço IP, na reputação dele, na impressão digital do cliente e no comportamento. Escolha um proxy que não acrescente cabeçalhos, teste-o com o protocolo que você usa e dê atenção máxima à origem do IP de saída.