Proxys déformants
Un proxy déformant place une fausse adresse IP du client dans un en-tête de requête HTTP. Il masque l’adresse réelle dans ce champ, mais la requête peut encore contenir des indices d’utilisation d’un proxy. Le remplacement d’un seul champ ne prouve pas que l’adresse réelle est absente du reste de la requête. Le terme « déformant » désigne cette substitution d’informations sur le client.
Ce terme vient de l’ancienne classification des niveaux d’anonymat des proxys. On attend des proxys commerciaux actuels qu’ils se comportent comme des proxys élites, ou à haut niveau d’anonymat : ils ne transmettent pas l’IP d’origine du client et n’ajoutent pas d’en-têtes signalant l’utilisation d’un proxy. La catégorie « déformant » sert surtout à comprendre les anciennes descriptions et les libellés des listes de proxys publics.
Ce qui change dans la requête
Supposons que votre IP publique soit 198.51.100.24 et que le proxy se connecte au site web depuis 203.0.113.80. Dans une requête HTTP non chiffrée, il fournit une troisième adresse dans un en-tête : X-Forwarded-For: 192.0.2.55.
Cette troisième adresse est une fausse valeur insérée par le proxy. Ce n’est ni votre IP réelle ni l’adresse utilisée pour se connecter au site web.
D’autres en-têtes peuvent encore indiquer qu’un intermédiaire a traité la requête. Par exemple, un en-tête Via indique l’intervention d’un proxy. Le remplacement de l’IP du client ne supprime pas cet indice.
Ce que voit réellement le site web
La connexion provient toujours de 203.0.113.80. Placer une autre adresse dans un en-tête ne déplace pas le proxy dans un autre pays et ne change ni le réseau ni la réputation associés à son IP. Modifier la fausse valeur entre les requêtes n’est pas une véritable rotation des IP : l’adresse de connexion reste identique.
Un outil de vérification d’IP peut afficher l’adresse de connexion ou une valeur tirée d’un en-tête. Il peut donc donner des résultats différents pour un même proxy. Voir la fausse adresse sur une page de test ne signifie pas que tous les sites web la considéreront comme votre IP.
Chaque site web décide quels en-têtes utiliser et à quelles sources faire confiance. Un serveur peut n’accepter les informations sur l’IP du client que de son propre proxy inverse. Le proxy que vous utilisez pour consulter ce site ne devient pas automatiquement une source de confiance.
Cela s’applique-t-il à HTTPS ?
Cet exemple suppose que le proxy puisse lire et modifier la requête HTTP. Avec un tunnel HTTPS ordinaire établi à l’aide de CONNECT, la requête et ses en-têtes circulent dans une connexion TLS de bout en bout. Un proxy qui se contente de relayer ce trafic chiffré ne peut pas insérer de fausse IP dans ces en-têtes. Un résultat « déformant » obtenu lors d’un test en HTTP simple ne décrit donc pas automatiquement le comportement du même proxy avec HTTPS.