Detección de proxies residenciales: por qué es tan difícil
La detección de proxies residenciales es el intento de identificar tráfico que se encamina a través de conexiones domésticas o móviles normales alquiladas por sus propietarios, y es uno de los problemas más difíciles de la inteligencia de IP. ipto no detecta proxies residenciales. Sus indicadores cubren direcciones de VPN, Tor, abuso y centros de datos, y un proxy residencial normalmente saldrá como limpio, por lo que conviene entender el motivo antes de diseñar una defensa basada solo en datos de IP.
Cómo funcionan los proxies residenciales
Un proxy de centro de datos se ejecuta en un servidor de una red de alojamiento, por lo que su dirección pertenece a un ASN de alojamiento fácil de atribuir. Un proxy residencial es distinto: la dirección de salida pertenece a un ISP de consumo y está asignada a un hogar o a un teléfono reales. Los proveedores obtienen acceso a esas conexiones mediante software incluido en aplicaciones, extensiones de navegador o dispositivos, cuyo propietario ha aceptado (a menudo sin prestarle mucha atención) compartir ancho de banda, o mediante malware que inscribe dispositivos sin consentimiento. El tráfico de un cliente se retransmite a través del dispositivo inscrito que el proveedor seleccione.
Para el sitio web de destino, la solicitud llega desde una dirección propiedad de un ISP normal, en un rango de consumo normal, con una ciudad plausible. Nada en los datos de registro la marca como proxy, porque a nivel de red no es un servicio de proxy. Es una línea de abonado legítima que transporta tráfico que el abonado no originó.
Por qué falla la detección basada en listas
La mayor parte de la detección de proxies basada en IP funciona mediante atribución y listas: listas publicadas de nodos de salida de VPN y Tor, además de datos de ASN que muestran que una dirección está dentro de una red de alojamiento o de VPN. Ese enfoque es eficaz contra los proxies de centros de datos porque la infraestructura está concentrada y es estable. Las redes residenciales rompen cada una de esas suposiciones.
- Sin infraestructura estable. Las direcciones de salida se reparten entre miles de ISP de consumo, así que no hay un conjunto reducido de ASN que marcar. Bloquear esos ASN bloquearía a clientes normales.
- Rotación constante. Un proveedor puede asignar un dispositivo distinto, y por tanto una dirección distinta, en cada solicitud o sesión. Cualquier lista está desactualizada antes de publicarse.
- Direcciones compartidas. La misma IP puede servir a la vez a una familia real, a un grupo de NAT de nivel de operador con muchos usuarios y a una sesión de proxy, de modo que un veredicto a nivel de dirección es ambiguo incluso en principio.
- Reputación limpia al principio. Un dispositivo recién inscrito no tiene historial de abuso, así que los feeds de reputación no tienen nada que informar hasta que se haya usado mal.
La consecuencia práctica es que una consulta como el verificador de VPN, Tor y proxy de ipto que devuelve «no conocida» te dice que la dirección no está en una lista conocida de VPN o Tor ni en una red orientada al alojamiento. No te dice que el tráfico sea humano.
Qué puede seguir ayudando
Como la propia IP aporta pocas pruebas, la detección se desplaza hacia el comportamiento y el contexto. Ninguna de estas señales es concluyente por sí sola, y todas requieren datos de tu propia aplicación y no de una consulta de IP.
- Patrones de comportamiento: cadencia de las solicitudes, orden de navegación, cargas de recursos que faltan, tiempos idénticos al rellenar formularios y duraciones de sesión que no se parecen a las de las personas.
- Coherencia del cliente: un User-Agent analizado que discrepa de otras cabeceras, de los ajustes de idioma o de las características de TLS. El parser de User-Agent es una forma rápida de comprobar si el navegador y el sistema operativo declarados son coherentes entre sí.
- Velocidad entre cuentas: muchos registros, inicios de sesión o compras repartidos entre muchas direcciones distintas y discretas individualmente.
- Contexto de red: la búsqueda de ASN te dice en qué ISP está una dirección, lo que ayuda a ver que una ráfaga de tráfico está repartida de forma inusualmente amplia entre proveedores, aunque no puede demostrar un proxy.
- Riesgo combinado: las señales de IP, correo y teléfono juntas, como las que ofrece el verificador de puntuación de fraude, detectan casos en que la dirección parece normal pero los datos de identidad no.
Diseñar en torno a la laguna
Trata la inteligencia de IP como una capa más y sé explícito sobre lo que cubre. La consulta de IP de ipto devuelve is_vpn, is_tor, is_abuser e is_datacenter, y sus feeds de amenazas se actualizan cada 6 horas, lo cual es útil para la gran proporción de automatización no deseada que se ejecuta desde redes de alojamiento. Para el resto, confía en límites de frecuencia por cuenta y por acción, en verificación reforzada para operaciones sensibles y en flujos de desafío anti-bot que evalúen al cliente y no la dirección.
Desconfía de quien prometa identificar con certeza proxies residenciales solo a partir de una dirección IP. Como la dirección es una línea de abonado genuina, la postura honesta es probabilística: algunos proveedores afirman inferir el uso de proxy a partir del análisis de tráfico o de datos a nivel de dispositivo, pero ninguna lista pública de IP puede establecerlo. El contexto relacionado sobre cómo se construyen las listas de VPN está en cómo funciona la detección de VPN.