Tipos de servidores proxy: cómo difiere HTTP de SOCKS5

Las palabras «HTTP», «SOCKS4» y «SOCKS5» aparecen en la descripción de todo servicio de proxy, y por ellas sabes si una línea funcionará en tu software. La diferencia entre protocolos se reduce a tres cosas: cómo explica el software al proxy adónde conectarse, quién convierte el dominio en dirección IP y qué hace luego el servidor con el tráfico. Vemos los cuatro protocolos con tablas y ejemplos, y al final mostramos cómo combina el protocolo con el origen de las direcciones: de los paquetes MIX a las líneas residenciales.

Cómo pasa una petición por un proxy

Cualquier proxy está entre tu software y un sitio. El software abre una conexión al proxy, el proxy abre la suya al sitio y luego transmite bytes en ambos sentidos, por eso el sitio ve la dirección del proxy y no la tuya. Los protocolos se diferencian en el primer paso: la forma en que el software entrega la petición al servidor.

Proxy HTTP: la petición se lee entera

El software envía al proxy HTTP una petición normal, solo que con la dirección completa: GET http://site/page. El proxy la analiza, va al sitio por su cuenta y devuelve la respuesta. Como el servidor ve la petición entera, puede añadirle las cabeceras de servicio Via y X-Forwarded-For, y en esta última está tu IP real.

Por estas cabeceras los proxies públicos se dividen en tres niveles. El transparente envía tu dirección al sitio. El anónimo la oculta, pero las cabeceras muestran que es un proxy. El élite no añade nada, y para el sitio parece un visitante normal. La lista gratis indica el nivel de cada dirección, y la columna Tipo filtra élite y anónimos. Comprueba tu línea en la página de comprobación de anonimato: muestra las cabeceras y las fugas de WebRTC.

En estado puro, el protocolo sirve para sitios sin cifrar, y casi no quedan. Por eso en la práctica «proxy HTTP» significa una combinación: texto plano para direcciones http y túnel CONNECT para todo lo demás.

Proxy HTTPS: el túnel CONNECT

Para un sitio cifrado, el software pide al proxy abrir un túnel con el comando CONNECT site:443. El proxy responde con el código 200 y luego pasa un flujo que no puede mirar: TLS va de tu software al sitio de punta a punta. Al servidor le quedan el dominio, la hora y el volumen de tráfico. No existe un protocolo «proxy HTTPS» aparte: es un proxy HTTP con el comando CONNECT permitido, y todas nuestras líneas HTTP lo admiten.

SOCKS4 y SOCKS5: transmitir un flujo

SOCKS trabaja un nivel más abajo y no mira dentro de HTTP: el software indica la dirección de destino, el proxy abre una conexión TCP y luego transmite el flujo tal cual. Al protocolo le da igual lo que haya dentro: una página, correo o tráfico de juegos. SOCKS4 solo acepta direcciones IPv4 y vive sin contraseña, y la versión 4a aprendió a usar dominios. Ambas aparecen en software viejo, y en proyectos nuevos las sustituyó SOCKS5.

SOCKS5 añadió tres cosas: autorización con usuario y contraseña, direcciones IPv6 con dominios y transmisión UDP. Para trabajar importa un detalle que se suele olvidar: el dominio puede convertirlo en IP tanto tu máquina como el proxy. Si lo hace tu máquina, la consulta DNS sale desde tu dirección, y ese rastro anula el anonimato. En curl lo decide el esquema: socks5:// resuelve el cliente, socks5h:// el proxy. Los dos comandos de abajo muestran la dirección de salida de la línea, y el segundo además oculta el DNS:

curl -x "http://LOGIN:PASSWORD@HOST:PORT" https://ifconfig.me
curl --socks5-hostname "LOGIN:PASSWORD@HOST:PORT" https://ifconfig.me

El UDP por SOCKS5 hace falta para streaming, llamadas, juegos y QUIC. De nuestros planes lo admite Resi Prime, y por los demás el proxy lleva TCP.

Una nota aparte sobre la web moderna. Cada vez más sitios hablan HTTP/3, que va sobre UDP. A través de un proxy sin UDP el navegador vuelve solo a HTTP/2 por TCP, y el sitio abre como siempre, solo que sin ganar velocidad. Aquí nada se rompe, pero si la consola del navegador muestra h2 donde esperabas h3, esta es la causa.

Comparación de protocolos

La velocidad casi no depende del protocolo: la sobrecarga de todos cabe en un intercambio de paquetes al conectar. Deciden el origen de la dirección y el canal de salida, y eso ya es propio del pool. Cómo se comporta un mismo protocolo en dos pools distintos se ve en nuestras mediciones de direcciones alemanas: la respuesta difería cuatro veces y media.

Protocolo y origen de las direcciones: dos ejes distintos

Los compradores suelen preguntar qué es «más fiable»: HTTP o SOCKS5. Para el sitio no hay diferencia: ve una conexión entrante desde la dirección del proxy y no sabe qué protocolo usaste con el servidor. La reputación de una línea la da el origen de la dirección: centro de datos, proveedor doméstico o red celular. El protocolo se elige según el software, el origen según el sitio con el que vas a trabajar.

En los planes por gigabytes el protocolo se elige en el panel cuando creas la lista, y la línea ya contiene usuario, contraseña y puerto. Si el software espera otro formato, pasa la lista por el conversor de proxies.

Formatos de las líneas

El protocolo también se ve en la propia línea. El software acepta un proxy de dos formas: dirección con puerto o enlace completo con esquema. En el enlace el protocolo va al principio, y a menudo se confunde con el del sitio: el esquema http:// de la línea indica cómo conectarse al proxy y no significa que los sitios https no se abran por él.

El verificador SLP y nuestro panel aceptan los tres formatos, y si el software se empeña en uno solo, el conversor de proxies reescribe toda la lista: pegar, elegir plantilla, descargar. Para escribir una línea a mano en Windows, macOS o un navegador sirve la guía de configuración manual de proxy.

Qué elegir según la tarea

• Scraping y verificadores. SOCKS5 con el esquema socks5h para que el DNS vaya por el proxy, o HTTP: ambos sirven a un scraper. Para miles de hilos sin contador de tráfico toma paquetes MIX, y para ubicación precisa líneas Resi Core.
• Navegadores y antidetección. Usa HTTP: Chromium no pasa usuario y contraseña a SOCKS5, y un perfil con esa línea se queda sin red. Hablamos más sobre elegir pool para cuentas en el artículo sobre proxies backconnect.
• Streaming, llamadas, juegos. Hace falta UDP, es decir, SOCKS5 en Resi Prime.
• Software viejo sin campo de contraseña. Sirven los paquetes MIX: el acceso se abre por la IP de tu servidor, así que no hay dónde ni por qué poner un usuario.

Cómo comprobar una línea

La dirección de salida y el país los muestra la página mi IP, las cabeceras y el nivel de anonimato la comprobación de anonimato. Una lista entera es más cómoda de pasar por el verificador SLP o el script para Linux de la misma página: entiende ip:port y líneas con usuario, detecta solo el protocolo del puerto y marca las líneas muertas. Los comandos curl de este artículo los probamos en líneas vivas antes de publicar.

Todos los planes se pagan de un solo saldo: los paquetes por plazo, el resto por gigabytes, y el tráfico comprado dura tres meses. Los precios de cada volumen están en la página de comparación de planes.