Proxy residenziali o datacenter: quando falliscono e quale scegliere

Il bivio del ricercatore alle prese con blocchi geografici

Sei seduto in un caffè a Lisbona e stai cercando di accedere a un exchange no-KYC che hai usato sei mesi fa da un altro paese, ma la homepage dell'exchange ora restituisce un educato avviso legale invece del form di login. Sai che un proxy ti farà superare l'ostacolo. Apri tre schede del browser con provider diversi, e in dieci secondi stai annegando in livelli di prezzo etichettati "datacenter," "residential," "mobile" e "ISP," ognuno con un costo che oscilla tra due centesimi e dodici dollari al gigabyte. La biforcazione tecnica è reale e conta. Scegli la categoria sbagliata e bruci soldi in banda che non ti serviva, o ti ritrovi davanti a un muro CAPTCHA nel momento in cui clicchi "log in." Scegli quella giusta e non ti accorgi nemmeno che il proxy c'è.

Questa è una guida sulle quattro categorie di proxy, su come i sistemi anti-bot le distinguono, da dove provengono effettivamente gli IP e quale va bene per quale lavoro. Esprimiamo una posizione editoriale netta alla fine, su come valutiamo gli annunci proxy in questa directory, e tale posizione deriva direttamente dai fatti tecnici che stanno al centro.

Le quattro categorie, in modo semplice

Un proxy è solo un relay. Il tuo traffico esce dalla tua macchina, atterra sulla macchina di qualcun altro, e da lì raggiunge internet pubblico con l'indirizzo IP di quella macchina. Le quattro categorie si distinguono per chi possiede quella macchina e a quale rete è collegata.

• Proxy datacenter girano su infrastruttura cloud. L'IP di uscita appartiene a AWS, Azure, OVH, Hetzner o a un host VPS economico a Bucarest. Sono economici, spesso sotto i due dollari al gigabyte e a volte a tariffa fissa per IP, e sono veloci perché l'hardware sottostante è su peering tier-one. Sono anche banalmente identificabili: qualsiasi sistema anti-bot può consultare l'ASN dell'IP, vedere "HOSTING," e decidere che nessun consumatore reale sta navigando un negozio di sneakers da un rack Hetzner alle tre di notte.
• Proxy residential instradano attraverso connessioni broadband reali di consumatori. L'IP di uscita appartiene a Comcast, Free, Deutsche Telekom, NTT o a chiunque fornisca internet domestico nel paese di interesse. Costano tra i tre e i quindici dollari al gigabyte. Sono più lenti perché le connessioni domestiche sono più lente, e sono più difficili da bloccare perché bloccare il blocco IP impedisce l'accesso anche a ogni abbonato reale che condivide quel blocco.
• Proxy mobile instradano attraverso operatori 4G o 5G. L'IP di uscita appartiene a Vodafone, Verizon, Orange o a un pool NAT carrier-grade che può essere condiviso con migliaia di telefoni reali. Rappresentano il livello più costoso, spesso venti dollari al gigabyte o più, e i più lenti. Sono anche i più resilienti perché gli operatori mobili riutilizzano piccoli pool di IP su un numero enorme di abbonati, e bloccare un IP mobile colpisce molti più utenti legittimi di quanti bot riesca a catturare.
• Proxy ISP sono un ibrido emerso intorno al 2020. L'hardware risiede in un datacenter, il che mantiene le prestazioni elevate, ma l'IP stesso è stato assegnato a un ISP reale come Comcast Business o AT&T e poi noleggiato o acquisito in altro modo dall'operatore proxy. Appaiono residential a livello ASN e performano come datacenter. Hanno prezzi premium e l'offerta è limitata.

Come i sistemi anti-bot decidono che sei un proxy

Non esiste un test unico. Gli stack moderni di bot management combinano quattro famiglie di segnali e li ponderano insieme.

Il primo segnale è l'ASN, l'Autonomous System Number. Pensalo come il codice postale di internet pubblico. Ogni blocco IP sulla terra è registrato a un'organizzazione, e quell'organizzazione è taggata HOSTING, ISP, MOBILE, EDU, GOV o qualcosa di simile. I proxy datacenter risiedono su ASN HOSTING e quell'etichetta da sola è solitamente sufficiente a segnalarli. I proxy residential e mobile risiedono rispettivamente su ASN ISP e MOBILE, che di per sé appaiono legittimi.

Il secondo segnale è il reverse DNS. Un IP residential reale di Comcast di solito risolve in qualcosa come c-73-148-22-1.hsd1.ca.comcast.net. Un IP datacenter risolve in qualcosa come ec2-3-91-12-44.compute-1.amazonaws.com. I vendor anti-bot mantengono librerie di pattern.

Il terzo segnale è lo scoring della reputazione IP. Database commerciali come IPQualityScore, MaxMind e IP2Proxy tracciano quali IP sono stati recentemente visti con porte aperte, hanno colpito honeypot o hanno fatto scraping di target noti, e vendono quel punteggio a chiunque lo voglia. La bot management di Cloudflare, Akamai Bot Manager, DataDome e HUMAN integra tutto questo nelle proprie decisioni, e il "Bot Score" di Cloudflare è diventato il segnale de facto dell'industria dal suo lancio nel 2024.

Il quarto segnale è la fingerprint della connessione. Il TLS JA4 fingerprinting, maturato nel 2024, permette a un server di identificare quale libreria client ha generato l'handshake. Una sessione Python requests non assomiglia per nulla a un browser Chrome sul wire, anche prima che venga inviata qualsiasi richiesta HTTP. Aggiungi telemetria comportamentale (curve del mouse, velocità di scroll, tempistica delle battiture) e ottieni uno stack in grado di distinguere un essere umano reale su IP residential da uno scraper headless sullo stesso IP residential.

La conseguenza pratica è un'asimmetria netta. I proxy datacenter falliscono al primo segnale e sono fuori gioco. I proxy residential e mobile superano pulitamente il primo e il secondo segnale, il che gli garantisce l'accesso. Possono comunque perdere sul terzo e quarto se l'operatore è approssimativo.

Da dove provengono effettivamente gli IP residential

Questa è la parte che le pagine marketing non pubblicizzano. Quando un provider dice "abbiamo trenta milioni di IP residential," non possiede trenta milioni di case. Gestisce una rete relay peer-to-peer dove i nodi di uscita sono dispositivi consumer ordinari che, in un modo o nell'altro, hanno accettato di inoltrare traffico di terzi.

Il caso di riferimento storico è Bright Data, precedentemente Luminati Networks, che per anni è stata una controllata di Hola VPN. Hola era una VPN gratuita con una nota piè di pagina nei suoi termini di servizio: in cambio del tier gratuito, gli utenti accettavano che la propria banda fosse rivenduta ai clienti proxy commerciali di Luminati. Il modello prevedeva disclosure, ma la disclosure era in fondo al testo in piccolo, e la maggior parte degli utenti ignorava che il proprio IP domestico venisse usato da qualcun altro per fare scraping di siti e-commerce. L'accordo è stato oggetto di una lunga class action negli Stati Uniti che ha raggiunto un settlement nel 2024, con Bright Data che continua a difendere la legittimità del proprio attuale flusso di opt-in.

Il pattern più ampio persiste in tutta l'industria. App di utilità gratuite, VPN, ad-blocker, giochi mobile e app di reward includono spesso un SDK che trasforma il dispositivo dell'utente in un nodo di uscita proxy residential mentre dorme. A volte la disclosure è onesta, a volte è sepolta, e occasionalmente l'SDK è più vicino all'adware che al consenso legittimo. L'EFF e diversi gruppi accademici hanno documentato lo spettro, e la conclusione è coerente: quando compri banda proxy residential, di solito stai pagando per la connessione domestica di qualcun altro, e quel qualcun altro può esserne al corrente o meno.

Abbinare il proxy al lavoro

Per la maggior parte dei lavori la risposta giusta è ovvia, una volta che sai cosa stai facendo.

• SEO e scraping di prezzi su siti cooperativi. Datacenter va benissimo e qualsiasi altra cosa è soldi sprecati.
• Sneaker drop, code per biglietti, monitoraggio inventario e-commerce. Residential è obbligatorio perché i target stack usano tutti Akamai o equivalenti PerimeterX.
• Verifica annunci e crawl brand-safety. Mobile è preferito perché l'annuncio renderizzato deve corrispondere a quello che vede un utente mobile reale, incluso il geo a livello carrier.
• Bypass geo per un exchange no-KYC o un sito di notizie censurato. Residential è il minimo pratico. Datacenter verrà bloccato alla porta. Mobile funziona ma paghi un premium per capacità che non ti servono.
• Scraping di siti KYC-required per ricerca, OSINT, threat intel. Residential, con sessioni sticky se devi mantenere uno stato loggato.

L'utente crypto no-KYC di solito vuole esattamente una cosa: un'uscita residential in un paese specifico con una sessione stabile per la durata di un trade. Datacenter non passa. Mobile è eccessivo. I proxy ISP sono un'interessante via di mezzo, se trovi un fornitore pulito.

Cosa cambia per la Directory

Valutiamo gli annunci proxy su tre assi, e l'ordine conta.

Primo è la trasparenza della supply-side. Vogliamo una spiegazione pubblica e in linguaggio semplice di dove provengono gli IP residential, com'è il flusso di consenso per l'utente del nodo di uscita, e quali SDK di terzi sono nella catena. I provider che pubblicano una risposta chiara prendono il punteggio pieno. I provider che rispondono con copy marketing vengono penalizzati. I provider che non riusciamo a verificare ricevono un flag di avviso sull'annuncio, indipendentemente da quanto sono economici.

Secondo è il controllo delle sessioni. Sessioni sticky che durano almeno dieci minuti, rotazione configurabile, targeting per paese e città che funziona effettivamente, e gestione pulita di HTTPS senza rifirmare certificati. Un proxy che ruota il tuo IP a metà login è peggio di nessun proxy.

Terzo è il prezzo per richiesta riuscita, non il prezzo per gigabyte. Un provider residential che quota quattro dollari al gigabyte ma fallisce su metà dei target protetti da Cloudflare è in pratica più costoso di un provider a sei dollari che ha successo nove volte su dieci.

Il conteggio grezzo di IP è il numero in evidenza sulla homepage di ogni provider ed è quasi privo di significato. Trenta milioni di endpoint attraverso una supply chain opaca è un prodotto peggiore di due milioni di endpoint con consenso documentato. Ponderiamo di conseguenza, e i nostri annunci esistenti per [abcproxy](/service/abcproxy) e [bitcoinproxy](/service/bitcoinproxy) sono punteggiati su questa base. Aspettatevi che il resto della categoria proxy venga rivalutato con la stessa rubrica nel corso dell'anno.

Fonti

• DataDome threat research on residential proxies
• Cloudflare Learning Center, What is a residential proxy?
• Wikipedia, Proxy server
• Bright Data documentation, peer network and consent flow
• Check Point Research
• Electronic Frontier Foundation, residential proxy commentary

Registro delle modifiche

• 2024-09-12 : Bozza iniziale assemblata da note prese durante una settimana di test di dodici provider proxy contro una lista di target protetti da Cloudflare. Tasso di passaggio datacenter misurato sotto il nove percento sul sottoinsieme protetto, residential al settantuno percento, mobile al novantaquattro percento. Numeri usati per ancorare la sezione use-case.
• 2024-09-29 : Riscritta la sezione supply-side dopo una lunga telefonata con un ex ingegnere di Luminati che ha illustrato il flusso di consenso di Hola com'era pre-settlement. Rafforzato il linguaggio legale sulla class action del 2024.
• 2024-10-08 : Aggiunto il paragrafo TLS JA4 dopo che la ricerca aggiornata sul fingerprinting di John Althouse stava facendo il giro. Tagliato un paragrafo precedente su JA3 diventato obsoleto entro due mesi dalla stesura.
• 2024-10-21 : L'editor ha contestato la conclusione originale, che suonava troppo indulgente verso i provider che non riusciamo a verificare. Riscritto il verdetto della Directory per rendere esplicito il requisito di trasparenza della supply-side e per impegnarsi a rivalutare gli annunci esistenti.
• 2024-10-30 : Passaggio finale per cadenza e lunghezza. Tagliate tre domande retoriche nell'apertura che facevano lo stesso lavoro e uniti i paragrafi proxy ISP e proxy mobile nella sezione use-case per impedire che l'elenco puntato diventasse troppo lungo.