Proxies residenciales: por qué tu lista negra de IP dejó de funcionar

Qué cambió, y cuándo

Durante casi toda la historia de la web, la automatización hostil era fácil de ubicar. Venía de un centro de datos. La dirección pertenecía a un hosting, el sistema autónomo se consultaba, y bloquear el rango entero no costaba nada porque allí no vivía ningún cliente.

Esa heurística está muerta, y murió comercialmente, no técnicamente. Las redes de proxies residenciales venden ahora acceso a millones de direcciones de conexiones domésticas y móviles corrientes, por gigabyte, con panel de autoservicio y rotación en cada petición.

El resultado es que el tráfico de un atacante llega ahora del mismo espacio de direcciones que el de tus clientes. No de uno parecido: del mismo, a menudo del mismo operador, a veces de la misma ciudad.

Cualquier control construido sobre «¿es sospechosa esta dirección en sí misma?» tiene ahora un problema de falsos negativos que no se arregla mejorando la lista.

De dónde salen las direcciones

Esto importa porque determina qué puedes hacer al respecto sin riesgo.

Algunas son consentidas. Alguien instala una VPN gratuita, una extensión de navegador o un juego móvil cuyos términos dicen, en algún sitio, que el ancho de banda ocioso se revende. Aceptó, en el sentido en que los abogados usan la palabra.

Algunas apenas lo son. Un SDK empaquetado dentro de una app que el usuario sí quería, con un aviso redactado para estar técnicamente presente y prácticamente sin leer.

Algunas no lo son en absoluto. Routers comprometidos, dispositivos IoT y móviles inscritos en una red de proxies por malware, cuyo dueño no tiene ni idea de que su conexión se está revendiendo.

Así que detrás de una dirección de proxy residencial suele haber una persona real que no te está atacando y que a menudo no sabe que se está usando su línea. Esa es toda la razón por la que bloquear la dirección es la jugada equivocada.

Por qué comprar una lista de proxies no lo arregla

La respuesta obvia es comprar un feed de direcciones conocidas de proxies residenciales y bloquearlas. Falla por cuatro razones que se acumulan.

Los pools rotan más rápido que las listas. Una dirección está en el pool durante una sesión y después ya no. Cuando un feed la recoge, puede haber vuelto a ser simplemente la banda ancha de una familia.

Las listas caducan en la dirección que duele. Un falso positivo sobre una dirección reciclada bloquea a una clienta real, y no te enterarás: la gente que no puede pagar no abre incidencias, se va.

La cobertura es una fracción. Las estimaciones de tamaño de pool llegan a decenas de millones de direcciones. Ningún feed las tiene todas, y las que tiene son las que era barato encontrar.

Y sigues respondiendo a la pregunta equivocada. «¿Está esta dirección en un pool de proxies?» no es «¿está automatizada esta sesión?», y solo lo segundo es lo que quieres saber. Un periodista con una VPN de privacidad y un scraper con un proxy residencial pueden compartir dirección; uno de los dos debería pasar.

Qué sobrevive al cambio

Todo lo que describe la sesión en vez de la dirección.

Huellas de transporte. El proxy retransmite bytes; no reescribe el apretón de manos TLS. El cliente que estableció la conexión sigue anunciando su propio conjunto ordenado de suites de cifrado, extensiones y curvas: el hash JA3 o JA3N. Una biblioteca de scraping detrás de una dirección residencial sigue pareciendo una biblioteca de scraping, y aquí imitar un navegador real significa reproducir toda una pila criptográfica, no editar una cabecera.

Comportamiento. Una sesión que rellena un formulario sin el ritmo de la escritura, mueve el foco de un modo que una mano no produce, o envía más rápido de lo que una persona podría haber leído la página, está automatizada da igual la banda ancha que haya tomado prestada.

Ritmo por cuentas, no por direcciones. La señal del credential stuffing nunca fue «muchos intentos desde una dirección»: eso dejó de ser cierto en cuanto la rotación se abarató. Es «un intento contra cada una de cuatrocientas cuentas», y eso solo se ve si algo puntúa al actor en vez de contar peticiones por dirección.

Coherencia. Un cliente que dice ser Safari en iOS mientras presenta una huella TLS que ninguna versión de iOS produce se ha contradicho, y el proxy no le ayuda con eso.

Una reputación que sí vale

La reputación de direcciones no se volvió inútil con este cambio: solo hay que ponderarla bien.

Pondera según lo compartida que esté la dirección. Una dirección que resuelve a un operador residencial o móvil es probablemente compartida, y una sola sesión mala debería mover su reputación mucho menos que esa misma sesión desde un host dedicado de centro de datos. Equivocarse aquí es la forma de bloquear a una empresa porque una persona de su red lanzó un scraper.

Deja que decaiga. La reputación sobre un pool rotatorio debe envejecer rápido, o estarás castigando al próximo dueño de la dirección por el inquilino del mes pasado.

Prefiere la señal entre sitios en el primer contacto. La primera vez que una dirección aparece en tu sitio no tienes historial. Si anoche pasó una lista de credenciales contra el login de otro, eso vale la pena saberlo, y es lo único que ayuda en la primerísima petición.

Conserva el veto humano. Diga lo que diga la puntuación, necesitas una lista de permitidos que la anule, y necesitas mantenerla de verdad.

Dónde encaja Karma

Karma puntúa la sesión —señales de comportamiento y huellas TLS/HTTP2— y mantiene la reputación de la dirección como una entrada ponderada, no como la respuesta. Las direcciones que parecen compartidas se tratan como compartidas, y la reputación decae.

El pool compartido opcional cubre el caso del primer contacto: una dirección que se comportó como un bot en el sitio de otra cuenta es conocida antes de llegar al tuyo, que es exactamente el momento en el que una lista negra propia de tu sitio no tiene nada que decir.

El plan gratuito Detect ejecuta todo esto con la aplicación desactivada, para que veas cuánto de tu tráfico llega del espacio residencial y qué dicen los veredictos sobre él antes de cambiar nada.