Types de serveurs proxy : en quoi HTTP diffère de SOCKS5

Les mots « HTTP », « SOCKS4 » et « SOCKS5 » figurent dans la description de chaque service de proxy, et ils indiquent si une ligne marchera dans votre logiciel. La différence entre protocoles tient à trois choses : comment le logiciel dit au proxy où se connecter, qui transforme le domaine en adresse IP et ce que le serveur fait ensuite du trafic. Nous passons les quatre protocoles avec tableaux et exemples, et montrons à la fin comment le protocole s'associe à la source des adresses : des packs MIX aux lignes résidentielles.

Comment une requête traverse un proxy

Tout proxy se place entre votre logiciel et un site. Le logiciel ouvre une connexion au proxy, le proxy ouvre la sienne au site puis transmet les octets dans les deux sens, si bien que l'adresse visible pour le site est celle du proxy et non la vôtre. Les protocoles diffèrent à la première étape : la forme sous laquelle le logiciel remet la requête au serveur.

Proxy HTTP : la requête est lue entière

Le logiciel envoie au proxy HTTP une requête normale, simplement avec l'adresse complète : GET http://site/page. Le proxy l'analyse, va lui-même sur le site et renvoie la réponse. Comme le serveur voit toute la requête, il peut y ajouter les en-têtes de service Via et X-Forwarded-For, et ce dernier contient votre vraie IP.

Selon ces en-têtes, les proxies publics se divisent en trois niveaux. Le transparent transmet votre adresse au site. L'anonyme la cache, mais les en-têtes montrent qu'il s'agit d'un proxy. L'élite n'ajoute rien, et pour le site il ressemble à un visiteur ordinaire. La liste gratuite indique le niveau de chaque adresse, et la colonne Type filtre les élites et les anonymes. Vérifiez votre ligne sur la page du test d'anonymat : elle montre les en-têtes et les fuites WebRTC.

À l'état pur, le protocole sert aux sites non chiffrés, et il n'en reste presque plus. En pratique, « proxy HTTP » désigne donc une association : texte clair pour les adresses http et tunnel CONNECT pour tout le reste.

Proxy HTTPS : le tunnel CONNECT

Pour un site chiffré, le logiciel demande au proxy d'ouvrir un tunnel par la commande CONNECT site:443. Le proxy répond par le code 200 puis transmet un flux qu'il ne peut pas regarder : TLS va de votre logiciel au site de bout en bout. Il reste au serveur le domaine, l'heure et le volume de trafic. Il n'existe pas de protocole « proxy HTTPS » séparé : c'est un proxy HTTP avec la commande CONNECT autorisée, et toutes nos lignes HTTP la prennent en charge.

SOCKS4 et SOCKS5 : transmission du flux

SOCKS travaille un niveau plus bas et ne regarde pas dans HTTP : le logiciel donne l'adresse de destination, le proxy ouvre une connexion TCP puis transmet le flux tel quel. Peu importe au protocole ce qu'il y a dedans : page, e-mail ou trafic de jeu. SOCKS4 n'accepte que les adresses IPv4 et vit sans mot de passe, la version 4a a appris les domaines. Les deux se rencontrent dans de vieux logiciels, et dans les nouveaux projets SOCKS5 les a remplacées.

SOCKS5 a ajouté trois choses : l'autorisation par identifiant et mot de passe, les adresses IPv6 avec domaines et la transmission UDP. Un détail souvent oublié compte pour le travail : le domaine peut être converti en IP par votre machine comme par le proxy. Si c'est votre machine, la requête DNS part de votre adresse, et cette trace annule l'anonymat. Dans curl, le schéma décide : socks5:// résout côté client, socks5h:// côté proxy. Les deux commandes ci-dessous affichent l'adresse de sortie de la ligne, et la seconde cache aussi le DNS :

curl -x "http://LOGIN:PASSWORD@HOST:PORT" https://ifconfig.me
curl --socks5-hostname "LOGIN:PASSWORD@HOST:PORT" https://ifconfig.me

L'UDP via SOCKS5 sert au streaming, aux appels, aux jeux et à QUIC. Parmi nos offres, Resi Prime le prend en charge, les autres font passer TCP par le proxy.

Une note à part sur le web moderne. De plus en plus de sites parlent HTTP/3, qui roule sur UDP. À travers un proxy sans UDP, le navigateur revient seul à HTTP/2 sur TCP, et le site s'ouvre normalement, simplement sans gain de vitesse. Rien ne casse ici, mais si la console du navigateur montre h2 là où vous attendiez h3, voilà pourquoi.

Comparaison des protocoles

La vitesse dépend à peine du protocole : le surcoût de tous tient en un échange de paquets à la connexion. La source de l'adresse et le canal de sortie décident, et cela relève du pool. Nos mesures d'adresses allemandes montrent comment un même protocole se comporte sur deux pools différents : la réponse variait de quatre fois et demie.

Protocole et source des adresses : deux axes distincts

Les acheteurs demandent souvent ce qui est « plus fiable » : HTTP ou SOCKS5. Pour le site, aucune différence : il voit une connexion entrante depuis l'adresse du proxy et ignore quel protocole vous avez parlé avec le serveur. La réputation d'une ligne vient de la source de l'adresse : centre de données, fournisseur domestique ou réseau cellulaire. Le protocole se choisit selon le logiciel, la source selon le site visé.

Sur les offres au giga, le protocole se choisit dans l'espace client quand vous créez la liste, et la ligne porte déjà identifiant, mot de passe et port. Si le logiciel attend un autre format, passez la liste au convertisseur de proxy.

Formats d'écriture des lignes

Le protocole se voit aussi dans la ligne elle-même. Le logiciel accepte un proxy sous deux formes : adresse avec port ou lien complet avec schéma. Dans le lien, le protocole vient en tête et on le confond souvent avec celui du site : le schéma http:// de la ligne indique comment se connecter au proxy et ne signifie pas que les sites https ne s'ouvriront pas par lui.

Le vérificateur SLP et notre espace client acceptent les trois écritures, et si le logiciel s'en tient à un seul format, le convertisseur de proxy réécrit toute la liste : coller, choisir un modèle, télécharger. Pour saisir une ligne à la main sous Windows, macOS ou dans un navigateur, voyez le guide de configuration manuelle du proxy.

Que choisir selon la tâche

• Scraping et vérificateurs. SOCKS5 avec le schéma socks5h pour que le DNS passe par le proxy, ou HTTP : les deux conviennent. Pour des milliers de threads sans compteur de trafic, prenez des packs MIX, pour une localisation précise des lignes Resi Core.
• Navigateurs et antidétection. Utilisez HTTP : Chromium ne transmet pas identifiant et mot de passe à SOCKS5, et un profil avec une telle ligne reste sans réseau. Nous parlons du choix du pool pour les comptes dans l'article sur les proxies backconnect.
• Streaming, appels, jeux. Il faut UDP, donc SOCKS5 sur Resi Prime.
• Vieux logiciel sans champ de mot de passe. Les packs MIX conviennent : l'accès s'ouvre par l'IP de votre serveur, nul besoin ni endroit où saisir un identifiant.

Comment vérifier une ligne

L'adresse de sortie et le pays apparaissent sur la page mon IP, les en-têtes et le niveau d'anonymat dans le test d'anonymat. Une liste entière passe plus facilement au vérificateur SLP ou au script Linux de la même page : il comprend ip:port et les lignes avec identifiant, détecte seul le protocole du port et signale les lignes mortes. Nous avons lancé les commandes curl de cet article sur des lignes vivantes avant publication.

Toutes les offres se paient d'un seul solde : packs à la durée, le reste au giga, et le trafic acheté dure trois mois. Les prix par volume sont sur la page de comparaison des offres.