Как сайты обнаруживают прокси и VPN

Единой проверки «это VPN?» не существует. Сайты и антифрод-вендоры складывают множество независимых сигналов в общую оценку риска — часто это fraud score, — и чем больше сигналов сходится, тем увереннее блокировка. Понимать этот стек важно, потому что именно он объясняет, почему смены одного лишь IP обычно мало: вы починили один слой, а три других по-прежнему кричат «прокси». Сигналы делятся на три группы: что выдаёт IP, что выдают утечки и что выдаёт ваше клиентское программное обеспечение.

Ниже — что именно проверяет каждая группа, примерно в том порядке, в каком это делает система обнаружения.

Первые и самые дешёвые проверки — по самому адресу. ASN: каждый IP принадлежит какой-то автономной системе, и если этот ASN — известный хостинг или облачный провайдер, адрес помечают как серверный; это самый сильный отдельный сигнал прокси/VPN. Репутация IP и чёрные списки: коммерческие базы (вроде тех, что стоят за IPQS, MaxMind или фидами в духе Spamhaus) помечают миллионы адресов как известные выходы прокси или VPN, так что один запрос сразу вас классифицирует. Открытые порты: сайт может просканировать ваш IP на типичные порты прокси (1080, 3128, 8080) — запущенный прокси ответит. Расхождение GeoIP: если IP говорит про одну страну, а часовой пояс и язык браузера — про другую, это несоответствие подозрительно. Интенсивность совместного использования: много аккаунтов или огромный объём запросов с одного адреса выдают прокси-узел.

Именно поэтому дешёвые бесплатные прокси проваливаются мгновенно — они уже во всех чёрных списках, — и именно поэтому чистый выделенный IP живёт дольше.

Если IP прошёл проверку, обнаружение переходит к утечкам. Утечка DNS, которая резолвится через вашего провайдера, кандидат WebRTC с настоящим адресом или IPv6-соединение мимо туннеля — каждый из них выдаёт настоящего вас за прокси; смотрите наше руководство об утечках. Дальше идёт самый тяжёлый слой: отпечаток клиента. Ваш TLS-отпечаток (JA3/JA4) показывает, какая именно программа делает запрос, и рукопожатие, говорящее «Python», тогда как User-Agent говорит «Chrome», — очевидное противоречие. Отпечаток браузера добавляет canvas, шрифты и многое другое.

Вывод честный и полезный: прокси или VPN меняет только уровень IP. s4m прямо говорит, что его прокси серверные, поэтому они проходят проверки ASN там, где серверное происхождение приемлемо, и их можно держать чистыми с помощью выделенного IP, — но вам всё равно нужно закрыть утечки и держать клиент последовательным. Обойти весь стек — значит согласовать каждый слой, а не поменять один адрес.