Políticas de uso aceptable

Extracción de datos: ¿qué cambia cuando una página exige iniciar sesión?

Supongamos que una empresa recopila precios del sitio de un proveedor. Algunos precios son visibles para todo el mundo; los precios mayoristas aparecen después de que la empresa inicie sesión en su cuenta de cliente. Para la empresa, es un único proyecto de seguimiento de precios. Para una AUP limitada a datos públicos, las dos partes quedan a lados opuestos del uso permitido: las credenciales válidas del propio cliente no eliminan la restricción del proveedor.

Una política que permite el acceso autorizado a datos no públicos da lugar a una evaluación diferente. La pregunta pertinente pasa a ser si el cliente tiene permiso para la propia recopilación. El permiso para ver una página de cuenta, exportar su contenido y redistribuir los datos resultantes son cuestiones independientes. Una suscripción que permite a un empleado leer material no autoriza necesariamente a un programa a copiarlo y revenderlo.

Otras cláusulas afectan a cómo se realiza la recopilación. Las AUP publicadas exigen expresamente respetar las instrucciones robots.txt del destino, los límites de su API y los límites técnicos de frecuencia de solicitudes. Bajo una cláusula así, repartir las solicitudes entre muchas IP no convierte por sí solo en aceptable una recopilación prohibida. El cliente aceptó esa condición al comprar el servicio de proxies; esto no afirma que toda instrucción robots.txt sea una ley.

El contenido de las páginas también importa. Los precios públicos de productos y los datos personales de contacto visibles públicamente son datos diferentes. Las AUP pueden exigir una base jurídica para recopilar datos personales y condiciones más estrictas para información médica, datos de menores o el seguimiento de personas identificables. Las restricciones también pueden cubrir la publicación posterior o el entrenamiento de IA. Descargar una página correctamente no resuelve ninguno de esos usos posteriores.

La automatización se juzga por lo que hace

«Extractor de datos», «bot» y «herramienta de redes sociales» describen programas, pero dicen poco sobre su comportamiento. La misma automatización del navegador puede inspeccionar un anuncio o fabricar un clic de pago. Las AUP publicadas distinguen las siguientes actividades; admitir la tarea de la columna izquierda no implica permitir la acción de la derecha.

La misma distinción explica por qué una regla antispam puede aplicarse aunque los puertos de correo estén bloqueados. Los mensajes pueden enviarse mediante formularios, comentarios o interfaces de mensajes privados de un sitio web. Cerrar un puerto SMTP impide una vía de envío de correo; no detiene todas las formas de mensajería no solicitada.

Las formas más directas de abuso incluyen la fuerza bruta, que prueba posibles contraseñas, y el credential stuffing, que comprueba pares de usuario y contraseña robados. Las políticas también prohíben el phishing, las comprobaciones de tarjetas robadas, la distribución de malware, los ataques DDoS y el contenido ilegal, incluida la explotación infantil y la infracción de derechos de autor. Estas prohibiciones afectan a la propia actividad: un número pequeño de intentos puede infringir la AUP aunque apenas se consuma tráfico.

Restricciones que van más allá de los ataques y el fraude

Las AUP también contienen exclusiones comerciales. Las listas realmente publicadas incluyen encuestas remuneradas, compraventa de objetos de videojuegos, dominios relacionados con streaming, comercio de criptomonedas, juegos de azar y contenido para adultos. Son ejemplos de reglas de distintos servicios, no una prohibición común a todo el sector. Un proveedor puede excluir una actividad empresarial sin afirmar que todos sus casos sean delictivos.

La reventa es otra restricción concreta. Vender a clientes acceso a credenciales de proxies alquilados puede requerir un acuerdo aparte o estar prohibido por el contrato habitual. La función de subusuarios de un panel no resuelve la cuestión: las credenciales separadas pueden estar destinadas al propio equipo de un cliente. Una agencia que utiliza proxies para preparar informes y una empresa que vende el propio acceso a los proxies ofrecen servicios diferentes.

Algunas condiciones protegen el propio grupo de proxies. Prohíben facilitar información obtenida sobre sus direcciones y nodos a bases de datos que detectan proxies, evalúan la reputación de IP o bloquean tráfico. Por ejemplo, alquilar acceso para catalogar las IP que utiliza el proveedor para llegar a sitios web y aportarlas a una base de detección de proxies puede incumplir esa cláusula aunque no se haya atacado ningún sitio de destino. La restricción protege el valor comercial de la red.

Estas cláusulas explican por qué la AUP no puede reducirse a una lista de delitos. Pueden determinar si un modelo de negocio legal encaja con un servicio concreto. Pasar de investigación interna a reventa, o de recopilar precios públicos a crear un conjunto de datos sobre personas, puede cambiar la evaluación contractual aunque se utilicen el mismo programa y la misma configuración del proxy.

Probar tu propio sitio web puede seguir requiriendo aprobación

Una empresa contrata a un profesional para analizar las vulnerabilidades de su sitio web. La empresa puede autorizar la prueba, pero no controla la red de proxies del contratista. Las reglas publicadas de proxies incluyen el requisito expreso del consentimiento escrito del proveedor antes de realizar análisis de vulnerabilidades o pruebas de estrés y carga. Por tanto, el permiso del propietario del sitio no siempre completa la aprobación necesaria para la tarea.

La red que transporta la prueba también afronta el tráfico y las reclamaciones resultantes. Un análisis puede llegar a sistemas fuera del objetivo acordado; una prueba de carga puede afectar a alojamiento compartido o servicios de protección. Cuando un proveedor permite estas pruebas, acordar los objetivos, los métodos y el período identifica qué tráfico ha aceptado transportar. Una descripción general como «investigación de seguridad» no define ese alcance.

Cómo se convierte una actividad a través de un proxy en un aviso de abuso

Un destino ve la IP utilizada por el proxy. Si su operador observa ataques de contraseñas o un análisis de red, las pruebas identifican inicialmente esa dirección. El aviso puede llegar al proveedor de proxies o a la empresa de alojamiento que suministra la dirección y el servidor. En el segundo caso, el vendedor de proxies recibe la incidencia de su propio proveedor.

La documentación publicada de alojamiento muestra qué pueden contener esas pruebas. Un registro de análisis de red incluye la hora, la IP de origen, la IP de destino y el puerto de destino. Las conexiones repetidas desde un origen al puerto 22 de servidores diferentes, por ejemplo, pueden notificarse como un análisis de servicios SSH. En cambio, un aviso de inundación de tráfico puede contener tasas de paquetes y un resumen del tráfico por destino. Estos registros describen incidentes diferentes y requieren explicaciones distintas.

El proveedor debe después asociar el hecho externo con la actividad del cliente. Con una dirección dedicada, la asignación puede ayudar; con IP de proxies compartidos o rotativos, la dirección por sí sola puede no bastar. Los clientes pueden utilizar la misma IP en momentos diferentes o simultáneamente. La hora exacta, su zona horaria y, cuando están disponibles y son pertinentes, los puertos de origen ayudan a distinguir las conexiones. Esto depende de los registros que realmente conserve la red.

La hora de llegada de una reclamación también difiere de la hora de la actividad que describe. Una tarea inactiva cuando el soporte escribe al cliente puede haber generado antes el tráfico notificado. Por eso, comprobar solo la lista actual de procesos o si el proxy funciona ahora no responde al aviso.

Este proceso no exige que un proveedor de proxies lea cada página HTTPS. Con TLS normal de extremo a extremo a través de un túnel proxy, las rutas de página, las contraseñas enviadas y el contenido de las respuestas están cifrados. Un destino puede aportar pruebas de su lado, mientras que un proveedor o empresa de alojamiento dispone de la información de red a su alcance. Un navegador gestionado o una API de extracción de datos que realmente procesa páginas tiene una función y una visibilidad diferentes.

Por qué puede dejar de funcionar un destino mientras otros siguen cargando

La aplicación de las reglas no siempre desactiva una cuenta. Un procedimiento publicado de gestión de reclamaciones permite restringir temporalmente solo el sitio o el host indicado en un aviso. El resto del tráfico puede continuar. En esa situación, un comprobador de proxies puede indicar una conexión operativa aunque la tarea principal del cliente no consiga llegar a su destino.

También existen reglas preventivas. Algunos servicios supervisan la frecuencia de solicitudes a destinos sensibles, como páginas de inicio de sesión bancarias, y aplican restricciones adicionales cuando la actividad se vuelve excesiva. Por tanto, una categoría puede ser accesible en un uso normal sin estar disponible para solicitudes automatizadas sin restricciones. Son controles de destino, no necesariamente un cupo mensual de tráfico.

La AUP y el uso razonable pueden coincidir aquí, pero el motivo de la intervención sigue importando. Un recopilador de precios puede sobrecargar un recurso compartido realizando una tarea permitida. Los ataques de contraseñas pueden infringir la AUP con un volumen mucho menor. Comprar más tráfico solo resuelve el primer problema si modifica la capacidad pertinente; no autoriza la segunda actividad.

Un proveedor de alojamiento superior en la cadena puede imponer una restricción más amplia. Las reglas de alojamiento describen bloqueos de una IP individual, varias direcciones o un servidor completo después de ataques y análisis. Un vendedor de proxies que utiliza esa infraestructura puede tener que resolver el incidente con la empresa de alojamiento antes de recuperar el acceso. Sustituir una IP de proxy mientras continúa la misma actividad deja la causa intacta.

Tampoco existe una secuencia universal de advertencias. Algunas políticas describen intentos de resolver un problema con el cliente y se reservan la suspensión tras la primera infracción. Los sistemas de cuenta publicados también distinguen entre un aviso de abuso, una infracción detectada de la AUP y un problema de fraude de pago. El cliente necesita conocer el motivo y el alcance indicados para la restricción; la palabra «suspendido» por sí sola no aporta esa información.

Si el tráfico lo envió un contratista u otro usuario

Las credenciales del proxy pueden estar instaladas en varias aplicaciones o haberse entregado a una agencia. Las condiciones del proveedor pueden atribuir al titular de la cuenta la responsabilidad por la actividad realizada mediante ese acceso. La relación del proveedor es con el cliente que compró el servicio, por lo que explicar que un contratista ejecutó el programa no resuelve por sí solo el incidente.

La tarea práctica consiste en identificar qué aplicación o persona utilizó las credenciales a la hora notificada y detener la actividad correspondiente. Si se filtró el acceso, las credenciales expuestas deben revocarse o cambiarse. Las credenciales separadas y los registros de tareas, cuando el servicio los admite, pueden facilitar este trabajo. No crean una excepción a la AUP.

Las restricciones de cuenta también pueden cubrir intentos de eludir las propias reglas del proveedor: abrir cuentas de sustitución tras un bloqueo, solicitar pruebas repetidas contra las condiciones indicadas o eludir la verificación de identidad. Una cuenta nueva o una IP recién asignada no convierten la misma operación prohibida en una aprobada.

Qué ocurre con el paquete pagado y su saldo

Hay varias consecuencias económicas posibles y conviene distinguirlas. Una es una tarifa por el trabajo de gestionar una reclamación. Otra es la pérdida del derecho al servicio no utilizado cuando se rescinde un contrato por incumplimiento. Una tercera es la obligación de cubrir ciertas reclamaciones o gastos de terceros causados por la conducta del cliente. El importe pagado por el paquete de proxies no limita necesariamente todas esas obligaciones.

Son diferencias contractuales reales. Las condiciones publicadas incluyen la pérdida de créditos no utilizados tras una rescisión por incumplimiento, mientras que prevén un trato diferente cuando el proveedor finaliza el servicio por decisión propia. Algunas también establecen que una suspensión por cumplimiento no amplía automáticamente la suscripción ni la validez de los créditos. Por tanto, que una cuenta esté inactiva no significa necesariamente que su plazo pagado se haya pausado.

La tarifa de gestión de reclamaciones no tiene un importe estándar para todo el sector. Pagarla cubre el cargo indicado en el acuerdo; no compra permiso para continuar una actividad prohibida ni garantiza el restablecimiento. A la inversa, la llegada de un aviso por sí sola no establece todas las consecuencias económicas. Los motivos pertinentes de restricción o rescisión y las disposiciones de pago aplicables determinan el resultado contractual, sujeto a los derechos legales obligatorios.

Qué enviar cuando te contacte el soporte

El soporte necesita una respuesta sobre la actividad descrita en el aviso. «El proxy funciona», «el paquete está pagado» y «solo hacemos scraping» no identifican qué generó las conexiones notificadas. Una respuesta útil relaciona el hecho con la tarea real del cliente y explica qué se ha hecho.

1. Pausa la tarea afectada y conserva su configuración y los registros disponibles. Utiliza la hora de la actividad notificada, incluida su zona horaria, en lugar de la hora en que recibiste el mensaje.
2. Identifica la aplicación, tarea programada, empleado o contratista que utiliza el acceso. Compara el destino y la IP del proxy con tus registros. Solicita los datos que falten por el canal de soporte del proveedor.
3. Describe la causa y el cambio realizado: por ejemplo, se detuvo la tarea, se eliminó un destino no previsto o se revocó un acceso expuesto. Para una prueba acordada previamente, incluye el permiso escrito y su alcance.
4. Confirma qué restricción sigue vigente y qué exige el proveedor antes de que pueda reanudarse el trabajo permitido. Evita reiniciar la misma operación en otra IP mientras la causa siga sin resolverse.

El proveedor puede utilizar un ticket, un formulario del panel o un procedimiento específico de respuesta. Algunos servicios muestran el texto y el estado de la reclamación mediante una API. Son formas de gestionar el incidente; ninguna establece un tiempo universal de recuperación. Un plazo para revisar la respuesta del cliente también difiere de una promesa de reactivar el servicio.