Як сайти виявляють проксі та VPN

Єдиної перевірки «чи це VPN?» не існує. Сайти й антифрод-вендори складають багато незалежних сигналів у загальну оцінку ризику — часто це fraud score, — і чим більше сигналів збігається, тим упевненіше блокування. Розуміти цей стек важливо, бо саме він пояснює, чому зміни самої лише IP зазвичай замало: ви полагодили один шар, а три інші й далі кричать «проксі». Сигнали діляться на три групи: що видає IP, що видають витоки і що видає ваше клієнтське програмне забезпечення.

Нижче — що саме перевіряє кожна група, приблизно в тому порядку, у якому це робить система виявлення.

Перші й найдешевші перевірки — по самій адресі. ASN: кожна IP належить якійсь автономній системі, і якщо цей ASN — відомий хостинг чи хмарний провайдер, адресу позначають як серверну; це найсильніший окремий сигнал проксі/VPN. Репутація IP і чорні списки: комерційні бази (на кшталт тих, що стоять за IPQS, MaxMind чи фідами в дусі Spamhaus) позначають мільйони адрес як відомі виходи проксі або VPN, тож один запит одразу вас класифікує. Відкриті порти: сайт може просканувати вашу IP на типові порти проксі (1080, 3128, 8080) — запущений проксі відповість. Розбіжність GeoIP: якщо IP каже одну країну, а часовий пояс і мова браузера — іншу, ця неузгодженість підозріла. Інтенсивність спільного використання: багато акаунтів чи величезний обсяг запитів з однієї адреси видають проксі-вузол.

Саме тому дешеві безкоштовні проксі провалюються миттєво — вони вже в усіх чорних списках, — і саме тому чиста виділена IP живе довше.

Якщо IP пройшла перевірку, виявлення переходить до витоків. Витік DNS, який резолвиться через вашого провайдера, кандидат WebRTC зі справжньою адресою або IPv6-з'єднання повз тунель — кожен із них видає справжнього вас за проксі; дивіться наш посібник про витоки. Далі йде найважчий шар: відбиток клієнта. Ваш TLS-відбиток (JA3/JA4) показує, яка саме програма робить запит, і рукостискання, що каже «Python», тоді як User-Agent каже «Chrome», — очевидна суперечність. Відбиток браузера додає canvas, шрифти й багато іншого.

Висновок чесний і корисний: проксі чи VPN міняє лише рівень IP. s4m прямо каже, що його проксі серверні, тож вони проходять перевірки ASN там, де серверне походження прийнятне, і їх можна тримати чистими за допомогою виділеної IP, — але вам усе одно треба закрити витоки й тримати клієнт послідовним. Обійти весь стек означає узгодити кожен шар, а не поміняти одну адресу.