Proxies, VPNs e endereços residenciais: o que um site pode e não pode saber
Todo site vê o endereço de onde uma requisição chegou. O que ele decide a respeito desse endereço é outra coisa, e as duas se confundem o tempo todo. Este artigo separa o que um servidor pode observar do que um fornecedor de detecção vende.
O que o servidor observa
O servidor vê um endereço de origem e uma porta. A partir do endereço, ele pode derivar, por consulta, uma localização aproximada, a organização dona da faixa (o ASN) e se a faixa está registrada em um ISP residencial, uma empresa de hospedagem, uma operadora móvel ou uma universidade. Ele também vê os detalhes do handshake TLS, os cabeçalhos HTTP enviados pelo cliente e o tempo da conexão. Essa é toda a evidência de primeira mão.
O que uma consulta acrescenta
Bancos de dados comerciais classificam faixas de endereços: "residencial", "datacenter", "saída de VPN conhecida", "saída Tor", "móvel". Eles são construídos a partir de dados públicos de registro, de padrões de tráfego e de listas de saídas que os provedores de VPN publicam ou que foram observadas. Os sites compram acesso a esses bancos de dados e os consultam a cada visitante. O veredito "Proxy: sim" em algumas páginas de diagnóstico é a resposta a essa consulta; não é algo que o navegador disse, e só é tão bom quanto o banco de dados por trás dele.
É por isso que um diagnóstico que não consulta um banco de dados desse tipo deveria dizer "Não testado" nas verificações de proxy, lista de bloqueio e anonimato em vez de chutar. Chutar apenas a partir de sinais do navegador estaria errado com frequência suficiente para induzir ao erro.
Proxy, VPN e residencial, do lado do servidor
Uma VPN carrega todo o tráfego de um dispositivo, então as requisições HTTP do navegador, os pacotes WebRTC e as consultas DNS saem todos do mesmo lugar. O servidor vê um único endereço consistente, geralmente em uma faixa que os bancos de dados sabem pertencer a um provedor de VPN.
Um proxy configurado no navegador carrega apenas o tráfego que o navegador envia por ele. O HTTP passa pelo proxy; o UDP do WebRTC talvez não; a resolução de DNS pode acontecer localmente ou no proxy, dependendo do tipo de proxy. O servidor pode ver o endereço do proxy na requisição e, se o WebRTC não estiver contido, um endereço diferente nos candidatos. Essa inconsistência, e não o proxy em si, é o que chama atenção.
Um endereço residencial é aquele registrado em um ISP de consumidores. Os bancos de dados o tratam como a categoria menos suspeita, porque é o que a maioria dos visitantes reais tem. As redes de proxies residenciais roteiam o tráfego por esses endereços, e é por isso que são vendidas a preço premium e que os fornecedores de detecção se esforçam para identificá-las pelo comportamento, e não pelo registro.
As verificações que não precisam de banco de dados
Três comparações funcionam sem nenhum fornecedor. O fuso horário do navegador coincide com o do endereço? O candidato WebRTC coincide com o endereço da requisição? A lista de idiomas combina com a região? Nenhuma delas prova nada, mas cada uma é gratuita, e uma divergência nas três é difícil de explicar. Um diagnóstico que mostra isso lado a lado oferece a mesma visão que um site tem antes de gastar dinheiro com uma consulta.
O que levar daqui
O endereço é um fato. A classificação é uma opinião de um banco de dados que você não vê. A consistência entre o endereço e tudo o mais que o navegador informa é a parte que você controla, e é a parte que vale a pena verificar.
