Proxies residenciales vs de centro de datos: cuándo fallan, cuándo aciertan y cómo elegir sin arriesgarte

La encrucijada del investigador bloqueado geográficamente

Estás en una cafetería de Lisboa, intentas acceder a un exchange no-KYC que usaste hace seis meses desde otro país, y la página principal devuelve ahora un educado aviso legal en lugar del formulario de inicio de sesión. Sabes que un proxy te permitirá sortear el obstáculo. Abres tres pestañas con proveedores y, en diez segundos, te ahogas en niveles de precios etiquetados como "centro de datos", "residencial", "móvil" e "ISP", con costes que oscilan entre dos céntimos y doce dólares por gigabyte. La bifurcación técnica es real y tiene consecuencias. Si eliges la categoría equivocada, o quemas dinero en ancho de banda innecesario, o te encuentras con un muro de CAPTCHA en cuanto haces clic en "iniciar sesión". Si aciertas, ni siquiera notas que el proxy está ahí.

Esta es una introducción a las cuatro categorías de proxies, a cómo los sistemas anti-bot las distinguen, de dónde proceden realmente las IP y cuál corresponde a cada tarea. Al final adoptamos una posición editorial clara sobre cómo calificamos los listados de proxies en este directorio, posición que deriva directamente de los hechos técnicos del sector.

Las cuatro categorías, en lenguaje llano

Un proxy no es más que un relé. Tu tráfico sale de tu máquina, llega a la de otra persona y accede a internet luciendo la dirección IP de esa máquina. Las cuatro categorías se diferencian en quién es el propietario de esa máquina y en qué red opera.

• Los proxies de centro de datos funcionan sobre infraestructura en la nube. La IP de salida pertenece a AWS, Azure, OVH, Hetzner o a algún host de VPS económico de Bucarest. Son baratos, a menudo por debajo de dos dólares por gigabyte y a veces con tarifa plana por IP, y resultan rápidos porque el hardware subyacente está en interconexión de nivel uno. También son trivialmente identificables: cualquier sistema anti-bot puede consultar el ASN de la IP, ver la etiqueta "HOSTING" y deducir que ningún consumidor real está navegando por una tienda de zapatillas desde un rack de Hetzner a las tres de la madrugada.
• Los proxies residenciales enrutan el tráfico a través de conexiones reales de banda ancha doméstica. La IP de salida pertenece a Comcast, Free, Deutsche Telekom, NTT o a quien suministre internet doméstico en el país de destino. Cuestan entre tres y quince dólares por gigabyte. Son más lentos porque los enlaces domésticos de subida tienen menor capacidad, y resultan más difíciles de bloquear porque hacerlo afectaría también a todos los abonados reales que comparten ese bloque de IP.
• Los proxies móviles enrutan a través de operadoras 4G o 5G. La IP de salida pertenece a Vodafone, Verizon, Orange o a un pool de NAT de operadora que pueden compartir miles de teléfonos reales. Constituyen el nivel más caro, a menudo veinte dólares por gigabyte o más, y el más lento. A su vez, son los más resistentes porque las operadoras móviles reutilizan pools reducidos de IP entre un número enorme de abonados; bloquear una IP móvil perjudica a muchos más usuarios legítimos de los que captura bots.
• Los proxies ISP son un híbrido que surgió hacia 2020. El hardware reside en un centro de datos, lo que mantiene la velocidad, pero la IP fue asignada a un ISP real como Comcast Business o AT&T y posteriormente arrendada o adquirida por el operador de proxies. A nivel de ASN parecen residenciales, pero funcionan como un centro de datos. Tienen precios premium y la oferta es limitada.

Cómo los sistemas anti-bot detectan que eres un proxy

No existe una prueba única. Las pilas modernas de gestión de bots combinan cuatro familias de señales y las ponderan de forma conjunta.

La primera señal es el ASN, el Número de Sistema Autónomo. Piensa en él como el código postal de internet. Cada bloque de IP del planeta está registrado a nombre de una organización, y esa organización se etiqueta como HOSTING, ISP, MOBILE, EDU, GOV o similar. Los proxies de centro de datos residen en ASNs de HOSTING, y esa etiqueta por sí sola suele bastar para marcarlos. Los proxies residenciales y móviles se alojan en ASNs de ISP y MOBILE respectivamente, lo cual, de entrada, parece legítimo.

La segunda señal es el DNS inverso. Una IP residencial real de Comcast suele resolverse como algo similar a c-73-148-22-1.hsd1.ca.comcast.net. Una IP de centro de datos se resuelve como algo similar a ec2-3-91-12-44.compute-1.amazonaws.com. Los proveedores anti-bot mantienen bibliotecas de patrones.

La tercera señal es la puntuación de reputación de IP. Bases de datos comerciales como IPQualityScore, MaxMind e IP2Proxy rastrean qué IPs han sido detectadas recientemente con puertos abiertos, atacando honeypots o rascando objetivos conocidos, y venden esa puntuación a quien esté dispuesto a comprarla. La gestión de bots de Cloudflare, Akamai Bot Manager, DataDome y HUMAN integra todo esto en sus decisiones, y la propia "Bot Score" de Cloudflare se ha convertido en la señal de facto del sector desde su lanzamiento en 2024.

La cuarta señal es la huella de conexión. El fingerprinting TLS JA4, que maduró en 2024, permite a un servidor identificar qué biblioteca cliente generó el handshake. Una sesión de Python requests no se parece en nada, a nivel de red, a un navegador Chrome, incluso antes de que se envíe la primera petición HTTP. Si añades telemetría de comportamiento (trayectorias de ratón, velocidad de desplazamiento, temporización de pulsaciones de teclas), dispones de una pila capaz de distinguir a un humano real sobre una IP residencial de un rastreador headless que usa la misma IP residencial.

La consecuencia práctica es una asimetría marcada. Los proxies de centro de datos fallan en la primera señal y quedan descartados. Los proxies residenciales y móviles superan limpiamente la primera y la segunda señal, lo que les abre la puerta. Aún así pueden perder en la tercera y la cuarta si el operador es descuidado.

De dónde proceden realmente las IP residenciales

Esta es la parte que las páginas de marketing omiten. Cuando un proveedor afirma "tenemos treinta millones de IP residenciales", no es propietario de treinta millones de hogares. Opera una red peer-to-peer donde los nodos de salida son dispositivos de consumo ordinarios que, de una u otra forma, han aceptado reenviar tráfico de terceros.

El caso de referencia histórico es Bright Data, anteriormente Luminati Networks, que fue durante años subsidiaria de Hola VPN. Hola era una VPN gratuita con una cláusula llamativa en sus términos de servicio: a cambio del nivel gratuito, los usuarios aceptaban que su ancho de banda se revendiera a los clientes de proxies comerciales de Luminati. El modelo estaba divulgado, pero la divulgación aparecía en letra pequeña, y la mayoría de usuarios ignoraba que su IP doméstica era utilizada por otra persona para rastrear sitios de comercio electrónico. El acuerdo fue objeto de una larga acción colectiva en Estados Unidos que se resolvió en 2024; Bright Data siguió defendiendo la legitimidad de su flujo de consentimiento actual.

El patrón más amplio persiste en toda la industria. Aplicaciones de utilidad gratuitas, VPNs, bloqueadores de anuncios, juegos móviles y apps de recompensas suelen incluir un SDK que convierte el dispositivo del usuario en nodo de salida de proxy residencial mientras permanece inactivo. A veces la divulgación es honesta, a veces está enterrada en condiciones poco visibles, y en ocasiones el SDK se acerca más al adware que a un consentimiento legítimo. La EFF y diversos grupos académicos han documentado el espectro, y la conclusión es consistente: cuando compras ancho de banda de proxy residencial, normalmente estás pagando por la conexión doméstica de otra persona, y esa persona puede no ser consciente de ello.

Emparejando el proxy con la tarea

Para la mayoría de tareas, la respuesta correcta resulta evidente una vez que se comprende el terreno.

• SEO y rastreo de precios en sitios cooperativos. El centro de datos basta; cualquier otra opción es dinero malgastado.
• Lanzamientos de zapatillas, colas de entradas, monitorización de inventario de comercio electrónico. Residencial es obligatorio porque los objetivos ejecutan Akamai o equivalentes de PerimeterX.
• Verificación de anuncios y seguimientos de seguridad de marca. Móvil es preferible porque el anuncio renderizado debe coincidir con lo que ve un usuario móvil real, incluyendo la geolocalización a nivel de operadora.
• Eludir geo-bloqueos para un exchange no-KYC o un sitio de noticias censurado. Residencial es el mínimo práctico. El centro de datos será bloqueado en la entrada. Móvil funciona, pero se paga una prima por capacidad innecesaria.
• Rastrear sitios que exigen KYC para investigación, OSINT, inteligencia de amenazas. Residencial, con sesiones persistentes si se necesita mantener un estado de sesión iniciada.

El usuario de cripto no-KYC suele querer exactamente una cosa: salida residencial en un país específico, con sesión estable durante toda la operación. El centro de datos no superará el filtro. Móvil es excesivo. Los proxies ISP constituyen una opción intermedia interesante si se encuentra un proveedor limpio.

Qué cambia esto para el Directorio

Calificamos los listados de proxies en tres ejes, y el orden tiene importancia.

El primero es la transparencia del lado de la oferta. Exigimos una explicación pública, en lenguaje llano, sobre el origen de las IP residenciales, cómo funciona el flujo de consentimiento para el usuario del nodo de salida y qué SDKs de terceros intervienen en la cadena. Los proveedores que publiquen una respuesta clara obtienen la máxima puntuación. Los que se limiten a copia de marketing reciben una rebaja. Los que no podamos verificar en absoluto llevan una bandera de advertencia en su listado, independientemente de lo baratos que resulten.

El segundo es el control de sesión. Sesiones persistentes que duren al menos diez minutos, rotación configurable, segmentación por país y ciudad que funcione de verdad, y gestión limpia de HTTPS sin re-firmar certificados. Un proxy que rota tu IP a mitad del inicio de sesión es peor que ningún proxy.

El tercero es el precio por petición exitosa, no el precio por gigabyte. Un proveedor residencial que cotice cuatro dólares por gigabyte pero falle en la mitad de los objetivos protegidos por Cloudflare resulta más caro en la práctica que uno de seis dólares que tiene éxito nueve de cada diez veces.

El recuento bruto de IP es la cifra destacada en la página principal de cada proveedor, y carece prácticamente de sentido. Treinta millones de endpoints a través de una cadena de suministro opaca es un producto peor que dos millones de endpoints con consentimiento documentado. Ponderamos en consecuencia, y nuestros listados existentes para [abcproxy](/service/abcproxy) y [bitcoinproxy](/service/bitcoinproxy) están puntuados sobre esta base. Durante el resto del año se re-calificará el conjunto de la categoría de proxies con la misma rúbrica.

Fuentes

• Investigación de amenazas de DataDome sobre proxies residenciales
• Centro de Aprendizaje de Cloudflare, ¿Qué es un proxy residencial?
• Wikipedia, Servidor proxy
• Documentación de Bright Data, red peer y flujo de consentimiento
• Check Point Research
• Electronic Frontier Foundation, comentarios sobre proxies residenciales

Registro de ediciones

• 2024-09-12 : Borrador inicial ensamblado a partir de notas tomadas durante una semana de pruebas con doce proveedores de proxies contra una lista de objetivos protegidos por Cloudflare. La tasa de superación de centro de datos se midió en menos del nueve por ciento en el subconjunto protegido, la residencial en el setenta y uno por ciento, y la móvil en el noventa y cuatro por ciento. Los números sirvieron para anclar la sección de casos de uso.
• 2024-09-29 : Reescrita la sección del lado de la oferta tras una larga llamada con un ex ingeniero de Luminati que explicó el flujo de consentimiento de Hola tal como existía antes del acuerdo. Ajustado el lenguaje legal en torno a la acción colectiva de 2024.
• 2024-10-08 : Añadido el párrafo sobre TLS JA4 tras circular la investigación actualizada de fingerprinting de John Althouse. Eliminado un párrafo anterior sobre JA3 que quedó obsoleto en dos meses desde su redacción.
• 2024-10-21 : El editor objetó al cierre original, que resultaba demasiado permisivo con los proveedores que no podemos verificar. Reescrito el veredicto del Directorio para explicitar el requisito de transparencia del lado de la oferta y comprometerse a re-calificar los listados existentes.
• 2024-10-30 : Pasada final para cadencia y longitud. Recortadas tres preguntas retóricas en la apertura que cumplían la misma función, y fusionados los párrafos de proxy ISP y proxy móvil en la sección de casos de uso para evitar que la lista de viñetas se extendiera demasiado.