Proxies, VPN y direcciones residenciales: qué puede y qué no puede saber un sitio web
Todo sitio web ve la dirección desde la que llegó una petición. Lo que decide sobre esa dirección es otra cuestión, y ambas se confunden constantemente. Este artículo separa lo que un servidor puede observar de lo que vende un proveedor de detección.
Lo que observa el servidor
El servidor ve una dirección de origen y un puerto. A partir de la dirección puede deducir, mediante consulta, una ubicación aproximada, la organización propietaria del rango (el ASN) y si el rango está registrado a nombre de un ISP doméstico, una empresa de hosting, un operador móvil o una universidad. También ve los detalles del handshake TLS, las cabeceras HTTP que envió el cliente y la temporización de la conexión. Esa es toda la evidencia de primera mano.
Lo que añade una consulta
Las bases de datos comerciales clasifican los rangos de direcciones: «residencial», «centro de datos», «salida de VPN conocida», «salida de Tor», «móvil». Se construyen a partir de datos públicos de registro, de patrones de tráfico y de listas de salidas que los proveedores de VPN publican o que se han observado. Los sitios compran acceso a estas bases de datos y las consultan por cada visitante. El veredicto «Proxy: sí» de algunas páginas de diagnóstico es la respuesta a esa consulta; no es algo que haya dicho el navegador, y solo es tan bueno como la base de datos que hay detrás.
Por eso un diagnóstico que no consulta una base de datos así debería indicar «No comprobado» en las verificaciones de proxy, de listas negras y de anonimato en lugar de adivinar. Adivinar solo a partir de las señales del navegador sería erróneo con la frecuencia suficiente como para inducir a error.
Proxy, VPN y residencial, desde el lado del servidor
Una VPN transporta todo el tráfico de un dispositivo, así que las peticiones HTTP del navegador, los paquetes WebRTC y las consultas DNS salen todos del mismo lugar. El servidor ve una única dirección coherente, normalmente en un rango que las bases de datos saben que pertenece a un proveedor de VPN.
Un proxy configurado en el navegador transporta únicamente el tráfico que el navegador envía a través de él. El HTTP pasa por el proxy; el UDP de WebRTC puede que no; la resolución DNS puede hacerse en local o en el proxy según el tipo de proxy. El servidor puede ver la dirección del proxy en la petición y, si WebRTC no está contenido, una dirección distinta entre los candidatos. Esa incoherencia, y no el proxy en sí, es lo que se detecta.
Una dirección residencial es la que está registrada a nombre de un ISP doméstico. Las bases de datos la tratan como la categoría menos sospechosa porque es la que tienen la mayoría de los visitantes reales. Las redes de proxies residenciales enrutan el tráfico a través de esas direcciones, por lo que se venden a precio premium y por lo que los proveedores de detección dedican esfuerzo a identificarlas por su comportamiento y no por su registro.
Las comprobaciones que no necesitan una base de datos
Tres comparaciones funcionan sin ningún proveedor. ¿Coincide la zona horaria del navegador con la de la dirección? ¿Coincide el candidato WebRTC con la dirección de la petición? ¿Encaja la lista de idiomas con la región? Ninguna de ellas demuestra nada, pero cada una es gratuita, y una discrepancia en las tres es difícil de explicar. Un diagnóstico que las muestra lado a lado te ofrece la misma vista que tiene un sitio antes de gastar dinero en una consulta.
Qué conviene llevarse
La dirección es un hecho. La clasificación es una opinión de una base de datos que no puedes ver. La coherencia entre la dirección y todo lo demás que informa el navegador es la parte que controlas, y es la parte que vale la pena comprobar.
