Por qué los proxies públicos son peligrosos: los riesgos

Un proxy público no tiene pasaporte: es una dirección de una tabla tras la que hay un servidor de alguien con intenciones desconocidas. A veces detrás hay un aficionado amable, más a menudo una configuración ajena con agujeros y, en ocasiones, una trampa puesta a propósito. El problema es que desde fuera las opciones son indistinguibles. Veamos los cinco riesgos que esto implica y cómo comprobar cada uno antes de que te cueste dinero.

Riesgo 1: ojos ajenos en tu tráfico

Todo el flujo pasa por una máquina ajena. Los sitios cifrados protegen el contenido, pero el dueño del nodo sigue viendo dominios, horas y volúmenes: suficiente para perfilar tus intereses. Y cualquier sitio sin cifrar queda abierto por completo, con sus formularios y cookies. De ahí la regla de hierro: por una dirección pública no se entra en cuentas, no se escriben códigos ni se abren páginas de pago. Esta regla no conoce excepciones de «solo un momento».

Riesgo 2: contenido alterado

Un intermediario que reescribe el tráfico puede leerlo y también cambiarlo: insertar sus anuncios o un script recolector de datos, sustituir una dirección de monedero en una página sin cifrar o responder con una página de acceso falsa. Los avisos de certificado del navegador son aquí la última línea de defensa: si un sitio se queja de repente de su certificado por el proxy, cierra la pestaña de inmediato, no es un fallo cualquiera. Para comprobarlo, abre por la línea nuestra comprobación de anonimato y compara las cabeceras con lo esperado, porque las huellas de manipulación suelen verse ya ahí.

Riesgo 3: una dirección quemada en todas partes

Las listas públicas no solo las leen los usuarios, también las plataformas, que envían sus direcciones a los filtros por lotes. Por eso el destino típico de una dirección pública es captcha en el buscador, bloqueo en el marketplace y silencio de los servicios de correo. Pasa la dirección por las listas negras RBL: decenas de entradas son normales en una dirección pública, y con esa reputación hacer tareas de trabajo en ella no tiene sentido.

La exposición también tiene un lado económico: una tarea lanzada en esas direcciones malgasta recursos. El scraper recibe captchas en lugar de páginas, el verificador da falsos rechazos y los resultados no distinguen entre problemas del sitio y de las direcciones. Cualquier analítica reunida con una lista pública exige volver a comprobarla, es decir, repetir el trabajo.

Riesgo 4: velocidad y estabilidad nulas

Cientos de personas comparten a la vez una dirección abierta, su canal es doméstico y vive horas. Para ver una página una vez es tolerable, pero en cualquier tarea regular genera tiempos de espera y errores falsos. Vemos este diagnóstico en el artículo sobre proxies gratis que no funcionan, con una tabla de síntomas.

Riesgo 5: asuntos ajenos en tu misma dirección

Junto a ti, por la misma dirección trabajan personas desconocidas con tareas desconocidas. Su spam y sus ataques se convierten en la reputación de la dirección por la que tú también sales: los sitios no investigan qué usuario del nodo se portó mal. Y si el nodo es el servidor hackeado de alguien, técnicamente usas un recurso ajeno sin que lo sepa su dueño, y el lado legal de ese ahorro es turbio en la mayoría de las jurisdicciones.

Cómo llegan las direcciones a las listas

Entender la cadena explica la calidad del producto. Los escáneres peinan sin parar los espacios de direcciones y prueban puertos típicos: lo que responde entra en una base. Los agregadores reimprimen las bases unos de otros, de modo que una dirección circula por decenas de sitios semanas después de morir. Cuanto más lejos de la fuente está una lista, mayor es su parte de líneas muertas y peligrosas. De ahí un filtro práctico: solo vale una lista con comprobación propia y marcas de tiempo recientes, y lo demás es arqueología.

Un punto aparte por si ya usaste direcciones públicas introduciendo datos: cambia las contraseñas de los servicios en los que entraste y revisa tu correo en busca de sesiones desconocidas y filtros de reenvío. Si entre lo introducido había datos de pago, reemitir la tarjeta es más fácil que vigilarla durante meses. Aquí la paranoia sale más barata que la recuperación, y detallamos el proceso completo en el artículo sobre cuentas hackeadas.

Dónde tienen sentido las direcciones públicas

Hay una sola zona: tareas puntuales impersonales. Depurar código, comprobar la disponibilidad de una página, experimentos de aprendizaje. Para ellas mantenemos una lista con ping y fecha de comprobación de cada dirección. Lo relacionado con cuentas, dinero, recogida regular de datos y resultados de los que tendrás que responder vive en direcciones con operador conocido: detrás de la línea hay un contrato y soporte, y no un servidor casual. Esta frontera va de «no tengo nada que perder» a «tengo algo que perder» más que de gratis a de pago: en cuanto aparece lo segundo, las listas públicas se cierran. Reunimos una comparación de formatos por estado, velocidad y soporte en una tabla del análisis de proxies de pago y gratis, útil para explicar esta frontera a los compañeros y al presupuesto.