Pencatatan Log Proksi dan Privasi
Situs web mungkin melihat IP proksi alih-alih IP Anda sendiri, sementara penyedia proksi mengetahui akun pelanggan yang membuka koneksi. Ini merupakan dua sudut pandang berbeda terhadap permintaan yang sama. Mengubah alamat yang terlihat situs web tidak membuat aktivitas Anda tidak terlihat oleh perusahaan yang membawanya.
Pencatatan log proksi berarti menyimpan catatan penggunaan layanan: koneksi, tujuan, volume data, kesalahan, dan pada beberapa produk, permintaan serta respons. Artikel ini menjelaskan praktik di seluruh industri. Seperti kebijakan penyedia proksi lainnya, detailnya bergantung pada layanan. Bagian akhir menjelaskan cara ProxyCompass menangani data layanan.
Apa yang dapat dilihat proksi saat terhubung ke situs HTTPS
Pertimbangkan contoh lelang: aplikasi Anda mengirim tawaran €180 ke https://bid.example/lot/218/bids. Dengan terowongan proksi biasa, HTTPS melindungi pertukaran antara aplikasi dan situs web menggunakan protokol keamanan TLS. Penyedia dapat melihat IP klien yang terhubung, tujuan bid.example:443, dan waktu koneksi; penyedia juga dapat mengukur volume data yang ditransfer. URL lengkap, lot yang dipilih, tindakan klien, jumlah tawaran, cookie, dan respons lelang tetap berada di dalam HTTPS. Dengan verifikasi sertifikat yang benar dan tanpa intersepsi, penyedia tidak dapat membacanya.
Domain dapat terungkap sebelum pertukaran terenkripsi dimulai. HTTP CONNECT biasanya menyebut host dan port tujuan. SOCKS5 dapat menerima nama domain atau alamat IP; jika aplikasi meminta proksi terhubung berdasarkan nama domain, proksi mengetahui nama itu. IP tujuan saja belum tentu mengidentifikasi situs tertentu, karena beberapa situs dapat berbagi alamat tersebut.
HTTP biasa berbeda: header, jalur halaman, dan isinya tersedia bagi proksi yang membawa permintaan. SOCKS5 tidak menambahkan enkripsi pada pertukaran aplikasi yang memang tidak terenkripsi. HTTPS melalui SOCKS5 tetap mempertahankan perlindungan HTTPS; HTTP melalui SOCKS5 tetap dapat dibaca.
Situs web sendiri menerima permintaan yang telah didekripsi. Situs dapat membaca login, cookie, dan kolom formulir yang Anda kirim, serta mengenali akun yang sudah ada setelah perubahan IP proksi. HTTPS melindungi data dalam perjalanan; HTTPS tidak menyembunyikannya dari penerima yang dituju.
Mengapa sebagian penyedia proksi meminta Anda memasang sertifikat
Sebagian penyedia mengharuskan klien memercayai sertifikat akar milik penyedia untuk layanan tertentu yang memeriksa trafik HTTPS. Persyaratan ini berasal dari penyedia, bukan situs yang dikunjungi, dan tidak berlaku untuk semua proksi. ProxyCompass tidak mengharuskan klien memasang sertifikat akarnya.
Dengan terowongan HTTPS biasa, proksi tidak dapat membaca isi permintaan dan respons. Jika layanan perlu memeriksa data yang dikirim, menerapkan aturan padanya, atau menganalisis respons situs, layanan memerlukan akses ke isinya. Pemeriksaan HTTPS memberikan akses tersebut: layanan mendekripsi trafik yang melewatinya.
Sertifikat akar adalah dokumen digital yang digunakan aplikasi sebagai dasar untuk memercayai sertifikat lain. Menambahkan sertifikat penyedia ke kumpulan tepercaya memungkinkan aplikasi menerima sertifikat situs yang diterbitkan penyedia tersebut. Dalam mode pemeriksaan, proksi menampilkan salah satu sertifikat ini sebagai pengganti sertifikat asli situs web. Tanpa kepercayaan yang sesuai, verifikasi sertifikat normal gagal.
Proksi membuat dua koneksi terenkripsi terpisah: satu dengan aplikasi Anda dan satu dengan situs web. Di antara keduanya, proksi dapat membaca permintaan dan respons. Dalam contoh lelang, hal ini mengungkap alamat lengkap https://bid.example/lot/218/bids, nomor lot, tawaran €180 yang dikirim, cookie, dan respons penerimaan tawaran. Penyedia dapat melihat tindakan klien yang sebenarnya di situs web.
Persyaratan ini bergantung pada produk, mode, dan metode akses tertentu. Persyaratan dapat muncul pada layanan yang mengotomatiskan akses situs web atau saat analisis trafik diaktifkan dalam pengelola proksi. Label “residensial” atau “pusat data” saja tidak menunjukkan apakah persyaratan berlaku. Terkadang Anda hanya perlu memberikan sertifikat kepada satu skrip; memasangnya untuk seluruh sistem tidak diperlukan.
Memasang sertifikat saja tidak mengarahkan semua trafik melalui penyedia. Akses yang dijelaskan di sini muncul ketika permintaan melewati layanan dengan pemeriksaan aktif. Sertifikat yang hanya digunakan untuk memverifikasi alamat HTTPS proksi sendiri juga tidak berarti isi koneksi ke situs tujuan didekripsi.
Kemampuan membaca data dan menyimpannya dalam log merupakan hal terpisah. Sertifikat membantu menjelaskan siapa yang dapat mengakses isi koneksi, tetapi tidak menunjukkan periode penyimpanan atau akses staf. Menonaktifkan verifikasi sertifikat juga tidak menyembunyikan data dari layanan yang mendekripsinya.
API pengambilan data dan browser jarak jauh menerima konten
Dengan API Pengambilan Data, Anda memberikan tugas kepada layanan: buka URL ini dan kembalikan halaman atau data yang diekstrak. Layanan membuat koneksinya sendiri ke situs web dan menerima respons dalam bentuk terbaca. Layanan dapat melakukannya tanpa meminta Anda memasang sertifikat, karena layanan itulah klien yang mengambil halaman.
Browser yang dihosting penyedia berjalan pada mesin penyedia. Halaman, cookie, dan sesi browser diproses di sana, meskipun koneksi yang Anda gunakan untuk mengendalikan browser terenkripsi. Bergantung pada produk, tugas Anda dapat mencakup URL lengkap, header khusus, cookie, data formulir, dan petunjuk interaksi dengan halaman.
Akses ini diperlukan untuk menjalankan tugas. Hal ini tidak memastikan bahwa setiap halaman diarsipkan atau pegawai rutin membaca hasil pelanggan. Artinya, aturan produk dalam menangani tugas dan hasil menjadi penting: janji yang mencakup terowongan proksi biasa mungkin tidak mencakup API atau browser yang dihostingnya.
Bagi bisnis, informasi sensitif mungkin berupa daftar produk yang dipantau, rangkaian pencarian, atau kumpulan sasaran riset. Meskipun semua halaman sumber bersifat publik, pengumpulan dan cara pemakaiannya dapat mengungkap proyek komersial.
Apa yang dapat muncul dalam log proksi
Penyedia dapat menyimpan beberapa jenis catatan. Catatan tidak harus disimpan bersama: koneksi dapat merujuk pada nomor akun, sementara alamat email, pesanan, dan pembayaran berada di sistem lain.
| Jenis catatan | Isi yang mungkin |
|---|---|
| Koneksi | Waktu mulai dan durasi, IP yang terhubung, IP proksi yang dipakai mengakses situs, alamat atau domain tujuan, port, dan kesalahan koneksi. |
| Penggunaan | Bita yang ditransfer, jumlah koneksi, dan total untuk satu akun atau periode penagihan. |
| Akun dan akses | Detail pendaftaran, login, IP klien yang diizinkan, perubahan kredensial, pesanan, dan referensi pembayaran. |
| Dukungan dan insiden | Tiket, lampiran, keluhan situs web, dan catatan penyelidikan. |
| Permintaan dan hasil | URL lengkap, header, isi permintaan, atau halaman yang diambil, jika produk dapat membacanya dan pengaturannya mengizinkan pencatatan. |
Ini merupakan kategori yang mungkin, bukan daftar yang pasti dikumpulkan setiap penyedia. Layanan dapat memproses suatu nilai untuk membuka koneksi tanpa menyimpannya. Layanan juga dapat menyimpan penghitung total volume data tanpa mempertahankan catatan permanen setiap tujuan.
IP klien dalam log adalah alamat perangkat atau perantara yang terhubung langsung ke proksi. Pada koneksi langsung, biasanya ini IP publik pelanggan; jika ada perantara lain di depannya, alamatnya mungkin milik perantara tersebut.
Apa yang sebenarnya dicakup klaim tanpa log
“Kami tidak menyimpan isi trafik Anda” dapat berlaku bersamaan dengan catatan domain tujuan, waktu koneksi, dan penggunaan. “Kami hanya menyimpan total penggunaan” menjelaskan pengaturan berbeda. Label singkat tanpa log tidak menunjukkan janji mana yang diberikan penyedia.
Baca klaim dengan mempertimbangkan data dan produk yang disebutkan. Apakah klaim mengecualikan isi halaman, catatan koneksi individual, riwayat tujuan, atau ketiganya? Apakah hanya mencakup operasi normal, atau juga pencatatan diagnostik? Apa yang tetap ada dalam sistem akun, pembayaran, dukungan, dan penyalahgunaan?
Klaim hanya RAM menjelaskan metode penyimpanan. Klaim itu tidak menunjukkan apakah informasi dikirim ke sistem lain sebelum memori dibersihkan. Demikian pula, penyimpanan terenkripsi melindungi catatan dari jenis akses tanpa izin tertentu; itu tidak berarti penyedia tidak dapat membacanya.
Label seperti privat, khusus, atau elite tidak menjawab pertanyaan ini. Label tersebut menjelaskan sifat proksi yang lain. Situs pemeriksa IP dapat memeriksa permintaan yang sampai ke situs itu, tetapi tidak dapat memverifikasi praktik pencatatan internal penyedia.
Bagaimana log membantu menangani gangguan, penagihan, dan laporan penyalahgunaan
Catatan koneksi dapat membedakan kegagalan autentikasi dari tujuan yang tidak merespons. Total penggunaan membantu menjelaskan kuota volume data yang terpakai. Perubahan mendadak pada pola koneksi juga dapat mengungkap skrip bermasalah atau penggunaan akun yang tidak diharapkan.
Satu perbedaan yang berguna adalah koneksi proksi berhasil dibandingkan permintaan situs web berhasil. Respons CONNECT yang berhasil memastikan terowongan terbuka. Di dalamnya, situs masih dapat mengembalikan CAPTCHA atau HTTP 403. Terowongan biasa tidak membaca respons terenkripsi itu, sehingga hasil koneksinya dan hasil situs web pada aplikasi dapat berbeda.
Situs web tujuan memiliki sudut pandang lain. Jika menerima upaya menebak kata sandi, situs dapat melaporkan permintaan, IP proksi, waktu, dan detail koneksi lain. Jika penyedia memiliki cukup catatan yang sesuai, penyedia dapat mencocokkan laporan dengan akun pelanggan yang dipakai untuk koneksi tersebut. Mengetahui jalur permintaan dari keluhan situs tidak berarti penyedia mendekripsi trafik HTTPS aslinya.
IP proksi bersama tidak menghalangi pencocokan ini. Catatan terperinci dapat menghubungkan koneksi pelanggan yang diautentikasi dengan koneksi ke situs web. Stempel waktu yang tepat, termasuk milidetik jika dicatat, port, dan tujuan membantu membedakan koneksi bersamaan. IP berotasi juga dapat tetap terhubung dengan akun yang sama. Mengganti atau berbagi alamat tidak menghapus catatan penyedia.
Berapa lama catatan disimpan
Log koneksi, faktur, tiket dukungan, dan hasil pengambilan data dapat memiliki periode penyimpanan berbeda. Kebijakan yang berguna menjelaskan periode menurut kategori, atau menyatakan kondisi untuk menentukan berapa lama setiap kategori diperlukan.
Riwayat yang terlihat di dasbor belum tentu menunjukkan seluruh periode penyimpanan. Jika antarmuka hanya menampilkan aktivitas terbaru, itu menunjukkan apa yang dapat Anda lihat di sana. Itu tidak memastikan kapan catatan internal, berkas insiden, atau cadangan dihapus.
Menutup akun belum tentu menghapus setiap catatan terkait. Catatan penagihan atau insiden dapat tetap ada jika terdapat alasan hukum untuk menyimpannya. Penghapusan dari sistem aktif dan kedaluwarsanya salinan cadangan juga dapat berlangsung pada jadwal berbeda.
Mengganti nama pelanggan dengan ID akun tidak membuat catatan menjadi anonim jika perusahaan tetap menyimpan hubungan antara ID dan pelanggan. Pertanyaan yang relevan adalah apakah informasi yang tersisa masih dapat dihubungkan dengan akun atau seseorang.
Siapa yang dapat mengakses informasi
Keberadaan log dan izin untuk membacanya merupakan hal berbeda. Dukungan mungkin memerlukan kesalahan koneksi, bagian keuangan memerlukan catatan pembayaran, dan tim keamanan mungkin memerlukan informasi insiden. Kebijakan privasi harus menjelaskan akses dan pembagian data; kendali keamanan harus membatasi akses kepada orang yang memerlukannya.
Penjual kembali dan perusahaan yang mengoperasikan jaringan proksi mungkin menyimpan bagian catatan yang berbeda. Pemroses pembayaran, perusahaan hosting, dan platform dukungan juga dapat menangani data tertentu. Periksa perusahaan yang terlibat dan informasi yang diterimanya.
Negara IP proksi tidak dengan sendirinya menentukan tempat penyimpanan catatan pelanggan atau aturan hukum yang berlaku bagi penyedia. Perusahaan yang menjadi pihak kontrak, pengaturan pemrosesannya, dan hukum yang berlaku juga penting. Penyedia mungkin wajib mengungkap informasi yang disimpan kepada pihak berwenang berdasarkan kewajiban hukum yang mengikat. Ketentuan yang berlaku perlu dibaca dalam kebijakannya; tidak ada satu aturan dunia untuk setiap layanan proksi.
Memilih ketentuan privasi untuk beban kerja Anda
Untuk proyek yang harus mempertahankan isi halaman di dalam aplikasi sendiri, perbedaan antara terowongan HTTPS normal dan layanan pengambilan terkelola sangat berarti. Terowongan dapat membuat isi tidak terbaca perantara sambil tetap mengungkap metadata koneksi. API terkelola dapat mengurangi pekerjaan pengembangan Anda sendiri, tetapi menerima tugas dan hasilnya.
Metadata tujuan juga dapat penting. Daftar domain, waktu kunjungan, dan volumenya mungkin mengungkap bisnis atau pasar yang sedang dipelajari tim. Putuskan apakah informasi itu sensitif sebelum menganggap enkripsi konten sebagai perlindungan yang cukup untuk proyek.
Terakhir, pertimbangkan apa yang Anda kirim sendiri kepada dukungan. Berkas konfigurasi atau rekaman jaringan dapat memuat kata sandi proksi, token akses, cookie, dan isi permintaan yang tidak pernah muncul dalam log trafik penyedia. Hapus rahasia yang tidak terkait sebelum membagikan bahan diagnostik.
Sebelum mulai bekerja, pastikan apa yang dapat dibaca produk pilihan, apa yang disimpan, kapan catatan dihapus, dan siapa yang dapat menerimanya. Detail itu membuat kebijakan privasi berguna untuk tugas nyata.