Proxies transparentes
Un proxy transparente reenvía las solicitudes a través de su servidor, pero revela al sitio la IP original del usuario. Puede hacerlo añadiendo la dirección a una cabecera HTTP, un campo que transporta información junto con la solicitud. Por tanto, conectarte a través de otra IP no oculta necesariamente tu propia dirección.
El término pertenece a la antigua clasificación de niveles de anonimato de los proxies. El comportamiento élite o de alto anonimato se ha convertido en lo habitual para los proxies comerciales modernos: el servicio no transmite la IP original del cliente ni añade cabeceras que anuncien el uso de proxy. La categoría transparente resulta útil principalmente para entender descripciones antiguas y etiquetas de listas públicas.
Cómo conoce el sitio tu IP
Supongamos que tu IP pública es 198.51.100.24 y el proxy llega al sitio desde 203.0.113.80. El proxy abre la conexión con el sitio, por lo que este ve su dirección como origen de la conexión.
Sin embargo, al reenviar una solicitud HTTP sin cifrar, el proxy puede añadir X-Forwarded-For: 198.51.100.24. El sitio recibe entonces dos direcciones: la IP del proxy desde la conexión y tu IP desde un campo de la solicitud.
Una página de consulta de IP puede mostrar solo la dirección de conexión. Verías la IP del proxy aunque tu dirección también hubiera llegado al sitio. Para comprobar esta exposición, compara el valor transmitido con la IP pública que utilizas para conectarte al proxy: la presencia de X-Forwarded-For no demuestra por sí sola que contenga tu dirección real. Un sitio no tiene por qué confiar en una cabecera de un tercero, pero si el valor es tu IP, la información ya ha llegado.
¿Por qué conservar la dirección original?
Los proxies también realizan tareas que no requieren anonimato. Dentro de la red de una organización, un proxy puede restringir el acceso a sitios, filtrar solicitudes o guardar respuestas que admitan caché para servirlas de nuevo sin obtenerlas del servidor de origen.
Cuando una solicitud pasa por varios sistemas de una organización, el siguiente puede necesitar saber qué cliente la envió. Transmitir la dirección original ayuda al registro de solicitudes y a las reglas de acceso. Es una decisión deliberada de infraestructura. No resulta adecuada para un cliente que compra un proxy para ocultar su IP ante sitios externos.
Otro significado de «transparente»
En la documentación de redes, proxy transparente también puede significar un proxy a través del que se dirige automáticamente el tráfico. El usuario no introduce una dirección de proxy en el navegador; los equipos de red establecen la ruta. Un administrador puede utilizar esta disposición para dirigir dispositivos a través de un sistema de filtrado compartido.
Aquí, la palabra describe cómo se organiza la conexión. En la clasificación de anonimato, describe la revelación de una IP a un sitio. Son propiedades independientes: configurar manualmente un proxy no garantiza que la dirección permanezca oculta, y la redirección automática por sí sola no significa que se transmita en las cabeceras HTTP.
¿Qué cambia con HTTPS?
El ejemplo de X-Forwarded-For se aplica a una solicitud que el proxy puede leer. Para una conexión HTTPS normal mediante un proxy HTTP, la aplicación abre un túnel con CONNECT. La solicitud al sitio, incluidas sus cabeceras, viaja después dentro de una conexión TLS cifrada. Un proxy que solo retransmite esos bytes cifrados no puede insertar tu IP en ella.
Una puerta de enlace corporativa que descifra HTTPS funciona de otra manera: el dispositivo del usuario debe confiar en sus certificados para que la inspección se realice sin errores de certificado. Por tanto, un resultado transparente en una prueba HTTP sin cifrar no se puede aplicar automáticamente a HTTPS transportado por un túnel.