Насколько безопасны прокси? Как выбрать надёжный сервер
Коротко
- Прокси от проверенного платного провайдера безопасны для большинства задач. Бесплатные прокси непредсказуемы.
- В исследовании почти 65 000 открытых HTTP-прокси 38% изменяли содержимое страниц, а 5,15% делали это вредоносно: внедряли рекламу и скрипты.
- На HTTPS-сайтах владелец прокси видит домен и время запроса, но не видит пароли и содержимое страниц. На сайтах без HTTPS он видит всё.
- В 2024 году Минюст США ликвидировал ботнет 911 S5 на 19 млн IP-адресов, который продавался как резидентский прокси-сервис. Поэтому важно, откуда провайдер берёт IP.
- Проверка прокси занимает 5 минут: IP, заголовки, утечки WebRTC и DNS, сертификат сайта, репутация адреса.
- Через прокси не стоит заходить в банк, на госуслуги и в другие сервисы, где на кону деньги или документы.
Короткий ответ: прокси безопасен ровно настолько, насколько надёжен владелец сервера. Весь ваш трафик идёт через чужой компьютер, и его владелец технически может многое увидеть, а иногда и изменить. С платным провайдером, у которого есть компания, договор и репутация, риск небольшой. С бесплатным прокси из списка в интернете это лотерея: исследователи выяснили, что примерно каждый двадцатый такой сервер подменяет страницы.
Ниже разберём, что именно видит владелец прокси, какие риски реальны, а какие преувеличены, и как проверить прокси до того, как доверить ему работу.
В статье:
- Опасно ли пользоваться прокси: короткий ответ
- Что видит владелец прокси-сервера
- Главные риски прокси
- Почему бесплатные прокси похожи на лотерею
- Резидентские прокси: откуда провайдер берёт IP
- Как проверить прокси за 5 минут
- Как выбрать безопасного провайдера
- Правила безопасной работы через прокси
- Прокси или VPN: что безопаснее
- Частые вопросы
Опасно ли пользоваться прокси: короткий ответ
| Тип прокси | Риск | Для чего годится |
|---|---|---|
| Бесплатный публичный из списка | Высокий: неизвестный владелец, подмена страниц, перехват данных | Разве что разово посмотреть открытую страницу без входа в аккаунты |
| Бесплатное прокси- или VPN-расширение | Высокий: может само превратить ваш компьютер в чужой прокси | Лучше не ставить |
| Платный общий (shared) | Средний: провайдер известен, но IP делят с чужими людьми | Задачи, где не важна репутация адреса |
| Платный резидентский или мобильный от провайдера с открытой компанией | Низкий | Работа с аккаунтами, парсинг, проверка выдачи и рекламы |
| Свой сервер | Низкий, если вы умеете его настраивать | Личные задачи, где нужен один постоянный IP |
Что видит владелец прокси-сервера
Прокси работает как почтовое отделение, через которое идут все ваши письма. Что сотрудник отделения сможет прочитать, зависит от того, в конверте письмо или нет.
| Что видит владелец прокси | Сайт без HTTPS | Сайт с HTTPS | Вы установили сертификат прокси |
|---|---|---|---|
| Домен сайта и время визита | Да | Да | Да |
| Адрес конкретной страницы | Да | Нет | Да |
| Логины, пароли, данные карт | Да | Нет | Да |
| Содержимое страниц | Да, и может его изменить | Нет | Да, и может его изменить |
Получается, что HTTPS работает как конверт. Большинство сайтов сегодня работают по HTTPS, поэтому через нормальный прокси владелец сервера видит, куда вы ходите, но не видит, что вы там делаете. Конверт вскрывается в одном случае: если вы сами установили сертификат, который прислал прокси-сервис. Это даёт ему право расшифровывать всё. Нормальные провайдеры такого не просят.
HTTP, HTTPS и SOCKS5: где есть шифрование
- HTTP-прокси передаёт запросы как есть. Если сайт работает по HTTPS, данные остаются зашифрованными, но само подключение к прокси, вместе с логином и паролем от него, идёт открытым текстом.
- HTTPS-прокси шифрует ещё и соединение между вами и прокси-сервером. Соседи по Wi‑Fi не увидят даже, к каким сайтам вы обращаетесь через прокси.
- SOCKS5 работает на уровне ниже и умеет передавать любой трафик, не только веб. Сам по себе он ничего не шифрует, зато может отправлять через себя DNS-запросы, и это закрывает одну из частых утечек.
Ни один из этих протоколов не делает небезопасный сайт безопасным. Шифрование содержимого обеспечивает HTTPS на стороне сайта.
Главные риски прокси
Рисков шесть, и почти все можно исключить правильным выбором провайдера и пятиминутной проверкой.
1. Перехват данных на сайтах без HTTPS
Если сайт работает по старому протоколу HTTP, всё, что вы туда отправляете, проходит через прокси открытым текстом: логин, пароль, номер телефона. Браузеры помечают такие сайты как «Не защищено». Через чужой прокси на них лучше вообще ничего не вводить.
2. Подмена страниц и внедрение рекламы
Это не страшилка. В 2018 году исследователи на конференции NDSS два месяца следили почти за 65 000 открытых HTTP-прокси. 38% из них как-то изменяли содержимое страниц, а 5,15% делали это вредоносно или нежелательно. В другом исследовании того же года нашли внедрение рекламы, скрытый майнинг криптовалюты и перехват данных. Вредоносными оказались 2,2% всех ответов через открытые прокси.
На практике это выглядит так: вы открываете обычный сайт, а прокси подкладывает в страницу свой скрипт. Тот показывает рекламу, майнит на вашем процессоре или собирает данные.
3. Утечка логина и пароля от самого прокси
Обычный HTTP-прокси передаёт ваши учётные данные от прокси-сервиса без шифрования. В публичной сети их могут перехватить и пользоваться вашим трафиком за ваш счёт. Безопаснее, если провайдер позволяет вместо пароля привязать доступ к вашему IP-адресу — тогда украсть нечего.
4. Чужая репутация IP
На Хабре когда-то задали честный вопрос: если через тот же публичный прокси кто-то сделает что-то незаконное, не окажусь ли виноватым я?
Cам факт общего IP не делает вас виноватым, но вопросы могут появиться. На практике чаще на вас влияет другое. Общий IP с плохой историей сайты встречают капчами и блокировками, а платформы банят аккаунты, которые на нём сидят. Поэтому для работы берут адреса, которые провайдер проверяет на чистоту, например через фильтр качества IP.
5. Прокси на заражённых устройствах
В мае 2024 года Минюст США ликвидировал ботнет 911 S5. Директор ФБР назвал его вероятно, крупнейшим в истории: больше 19 млн IP-адресов. Он работал как обычный резидентский прокси-сервис, только компьютеры в нём были заражены, а их владельцы ничего не знали. По данным обвинения, организатор заработал на этом около 99 млн долларов.
Для покупателя такого «прокси» риск двойной. Во-первых, вы финансируете преступную схему. Во-вторых, ваш трафик идёт через устройства, которые контролируют злоумышленники, а адреса из таких сетей быстро попадают в чёрные списки.
6. Утечки настоящего IP
Даже хороший прокси не поможет, если браузер выдаст ваш реальный адрес в обход него. Чаще всего это делают WebRTC (технология для видеозвонков в браузере) и DNS-запросы, которые идут через провайдера, а не через прокси. Как это проверить, расскажем ниже.
Почему бесплатные прокси похожи на лотерею
Сервер, трафик и поддержка стоят денег. Если за прокси не платите вы, за него платит кто-то другой, и у него свои интересы. Варианты обычно такие:
- владелец показывает вам рекламу, встраивая её в чужие страницы;
- собирает и продаёт данные о том, куда вы ходите;
- майнит криптовалюту на вашем компьютере через внедрённый скрипт;
- просто настроил сервер плохо, и его давно использует кто-то третий.
Отдельная история с бесплатными VPN- и прокси-приложениями. Ботнет 911 S5 собирали именно так: по данным ФБР, его распространяли через бесплатные приложения MaskVPN, DewVPN, PaladinVPN, ProxyGate, ShieldVPN и ShineVPN. Люди ставили «бесплатный VPN», а их компьютер становился выходным узлом для чужого трафика.
Если бесплатный прокси нужен на пять минут, чтобы посмотреть открытую страницу из другой страны, большой беды не будет. Но не вводите через него никаких логинов и не ставьте неизвестные приложения.
Резидентские прокси: откуда провайдер берёт IP
Резидентские прокси используют адреса реальных домашних подключений. Сайты доверяют им больше, чем адресам дата-центров, и именно поэтому этот рынок интересен мошенникам: проще всего получить миллионы домашних IP, заразив миллионы компьютеров. История 911 S5 ровно об этом.
Честные провайдеры получают адреса иначе: через приложения и партнёрские программы, где владелец устройства явно соглашается делиться частью трафика и получает за это деньги или доступ к сервису, или через договоры с интернет-провайдерами. Перед покупкой стоит задать провайдеру несколько вопросов:
- Откуда берутся IP и как владельцы устройств дают согласие?
- Какая компания стоит за сервисом и где она зарегистрирована?
- Как провайдер отсекает злоупотребления: проверяет ли клиентов, какие задачи запрещены?
- Как проверяется качество адресов и что будет, если IP окажется в чёрном списке?
Если на эти вопросы нет внятных ответов, а цена сильно ниже рынка, это повод насторожиться.
Как проверить прокси за 5 минут
Прежде чем доверять прокси работу, прогоните его по короткому чек-листу. Все шаги делаются в браузере, который уже подключён к прокси.
- IP и страна. Откройте проверку IP-адреса. Там должен быть адрес прокси, а не ваш, и нужная страна. Заодно посмотрите тип подключения и признаки прокси: по ним видно, насколько адрес похож на обычного пользователя.
- Заголовки. Прозрачные прокси передают сайту ваш настоящий IP в служебных заголовках вроде X-Forwarded-For или Via. Откройте любой сервис, который показывает заголовки запроса, например httpbin.org/headers, и убедитесь, что вашего адреса там нет.
- WebRTC. Запустите тест на утечку WebRTC. В результатах не должно быть вашего настоящего IP.
- DNS. Запустите тест на утечку DNS. Если в списке DNS-серверы вашего домашнего провайдера, он видит, на какие сайты вы заходите.
- Сертификат. Откройте любой крупный сайт по HTTPS и нажмите на значок замка в адресной строке. Сертификат должен быть выдан на этот сайт известным центром сертификации. Если браузер ругается на сертификат или выдан он кем-то странным, сразу отключайте прокси.
- Скорость и стабильность. Проверьте прокси прокси-чекером: медленный и постоянно отваливающийся прокси сам по себе ничем не опасен, но говорит о том, как провайдер следит за инфраструктурой.
Как выбрать безопасного провайдера
| Критерий | Как проверить | Красный флаг |
|---|---|---|
| Открытая компания | Юрлицо, адрес, оферта и политика конфиденциальности на сайте | Нет ни компании, ни договора, только Telegram-бот |
| Источник IP | Провайдер объясняет, откуда адреса и как получено согласие | «Это коммерческая тайна» или цена резидентских IP сильно ниже рынка |
| Политика логов | Описано, какие данные хранятся и сколько | Обещание «ноль логов» без деталей и без компании за ним |
| Способы авторизации | Есть вход по логину и паролю и привязка к IP | Только открытый доступ без пароля |
| Протоколы | Поддерживаются HTTP(S) и SOCKS5 | Только HTTP без шифрования соединения |
| Качество адресов | Фильтрация IP, замена плохих адресов, гарантии | Никаких гарантий и обещаний по качеству |
| Пробный период | Можно протестировать за небольшие деньги до покупки | Сразу большой пакет без возможности проверить |
| Отзывы | Отзывы на независимых площадках: G2, Trustpilot, профильные обзоры | Отзывы только на собственном сайте |
| Требования к вам | Работа через стандартные настройки или расширение | Просят установить свой сертификат или неизвестную программу |
Правила безопасной работы через прокси
- Не заходите через прокси в банк и на госуслуги. Им прокси не нужен, а вход с непривычного IP может заблокировать доступ и потребовать дополнительную проверку.
- Ничего не вводите на сайтах без HTTPS. Через прокси такие данные видны его владельцу открытым текстом.
- Привязывайте доступ к IP, если провайдер это умеет. Тогда в настройках нет пароля, который можно перехватить.
- Не устанавливайте сертификаты и программы от прокси-сервиса. Сертификат даёт расшифровывать весь трафик, а неизвестная программа может сделать прокси из вашего компьютера.
- Разделяйте задачи. Для рабочих аккаунтов используйте отдельные профили браузера и отдельный IP на каждый профиль, а личную почту держите вне прокси.
- Повторяйте проверку на утечки после обновления браузера или смены настроек.
Прокси или VPN: что безопаснее
Зависит, от чего защищаться.
- От соседей по Wi‑Fi и любопытного провайдера лучше защищает VPN: он шифрует весь трафик устройства до своего сервера.
- Для работы с сайтами и платформами удобнее прокси: можно выбрать город и провайдера, держать отдельный IP на каждый аккаунт, а резидентские и мобильные адреса вызывают меньше подозрений, чем известные адреса VPN.
У обоих инструментов одно и то же слабое место: вы доверяете свой трафик тому, кто держит сервер. Поэтому правила выбора провайдера одинаковые. А если хотите разобраться, где заканчивается приватность браузера и начинается работа прокси, посмотрите статью про режим инкогнито и IP-адрес.
Прокси как инструмент защиты
У слова «прокси» есть и корпоративная сторона: компании сами ставят прокси, чтобы защищаться.
- Фильтрующий прокси стоит между сотрудниками и интернетом. Он блокирует вредоносные и запрещённые сайты, а иногда расшифровывает трафик для проверки. Поэтому на рабочем компьютере за вами видно больше, чем дома.
- Обратный прокси (reversed proxy) стоит перед сайтом компании. Он скрывает настоящий адрес сервера, принимает на себя часть атак, распределяет нагрузку и может фильтровать подозрительные запросы.
В этой роли прокси действительно повышает безопасность. Но это другая задача: здесь компания контролирует прокси сама, а не доверяет его чужому сервису.
Что в итоге
Прокси сам по себе не опасен и не безопасен. Это просто чужой компьютер, через который идёт ваш трафик, и всё зависит от того, кто им управляет.
С бесплатными прокси это лотерея, где каждый двадцатый билет вредоносный. С платным провайдером, у которого есть компания, договор, понятный источник адресов и пробный период, риск сводится к минимуму. Остальное закрывают простые привычки: ничего не вводить на сайтах без HTTPS, не ставить сертификаты от прокси, не ходить через него в банк и проверять утечки после каждой смены настроек.
Если нужен прокси для работы с аккаунтами, парсинга или проверки рекламы, начните с триала и прогоните его по чек-листу из этой статьи. Пять минут проверки скажут о провайдере больше, чем любые обещания на сайте.
