Politiche di utilizzo accettabile
Questa è una panoramica delle regole di utilizzo accettabile nel settore dei servizi proxy. Le restrizioni descritte di seguito appartengono a fornitori diversi; le condizioni di ProxyCompass sono indicate separatamente nella sezione finale.
Una politica di utilizzo accettabile, o AUP, descrive ciò che i clienti possono fare tramite un servizio proxy. Fa parte delle regole del servizio del fornitore e può essere pubblicata separatamente o inclusa nei Termini di servizio. Il suo scopo pratico diventa chiaro quando due servizi pubblicizzano proxy per la stessa attività, ma consentono modi diversi di svolgerla.
Per esempio, una politica pubblicata vieta la raccolta di informazioni accessibili dopo il login. Un'altra consente l'accesso autorizzato a informazioni non pubbliche. Altrove è richiesta un'approvazione scritta per un test di carico anche quando il cliente è proprietario del sito. Queste differenze possono determinare se un proxy a pagamento e tecnicamente funzionante sia adatto al lavoro.
Scraping: che cosa cambia quando una pagina richiede l'accesso?
Supponiamo che un'azienda raccolga prezzi dal sito di un fornitore. Alcuni prezzi sono visibili a tutti; i prezzi all'ingrosso appaiono dopo che l'azienda accede al proprio account cliente. Per l'azienda si tratta di un unico progetto di monitoraggio dei prezzi. Per un'AUP limitata ai dati pubblici, le due parti si trovano ai lati opposti dell'utilizzo consentito: l'accesso valido del cliente al proprio account non elimina la restrizione del fornitore.
Una politica che consente l'accesso autorizzato a dati non pubblici permette una valutazione diversa. La domanda pertinente diventa se il cliente abbia il permesso per la raccolta stessa. Il permesso di visualizzare una pagina dell'account, esportarne i contenuti e ridistribuire i dati ottenuti sono questioni separate. Un abbonamento che consente a un dipendente di leggere materiale non autorizza necessariamente un programma a copiarlo e rivenderlo.
Altre clausole riguardano il modo in cui avviene la raccolta. Le AUP pubblicate richiedono espressamente il rispetto delle istruzioni robots.txt della destinazione, dei limiti delle API e dei limiti tecnici di frequenza. In presenza di una simile clausola, distribuire le richieste su molti IP non rende, di per sé, accettabile una raccolta vietata. Il cliente ha accettato quella condizione acquistando il servizio proxy; questo non significa affermare che ogni istruzione robots.txt sia una legge.
Conta anche il contenuto delle pagine. I prezzi pubblici dei prodotti e i recapiti personali pubblicamente visibili sono dati diversi. Le AUP possono richiedere una base giuridica per la raccolta dei dati personali e condizioni più rigorose per informazioni mediche, dati di minori o il tracciamento di persone identificabili. Le restrizioni possono riguardare anche la successiva pubblicazione o l'addestramento dell'IA. Il buon esito del download di una pagina non chiarisce nessuno di questi usi successivi.
L'automazione viene valutata per ciò che fa
«Scraper», «bot» e «strumento per social media» descrivono software, ma dicono poco sul suo comportamento. La stessa automazione del browser può controllare un annuncio o generare artificialmente un clic a pagamento. Le AUP pubblicate distinguono le attività seguenti; il supporto dell'attività nella colonna di sinistra non implica il permesso di compiere l'azione a destra.
| Attività che un servizio può supportare | Attività limitata dalle AUP pubblicate |
|---|---|
| Verifica del posizionamento e della visibilità degli annunci | Generazione di visualizzazioni o clic a pagamento falsi, compresi clic finalizzati a consumare il budget di un altro inserzionista. |
| Monitoraggio dei risultati e delle posizioni nei motori di ricerca | Generazione artificiale di clic per manipolare il posizionamento o far apparire il traffico come proveniente da utenti interessati. |
| Gestione degli account social di un'azienda | Creazione di profili, recensioni, follower o interazioni falsi; può essere vietata anche la registrazione massiva di account. |
| Monitoraggio di prezzi e disponibilità dei biglietti | Acquisti automatizzati per acquisizione in massa o rivendita speculativa. Alcune politiche vietano come categoria i bot per l'acquisto di biglietti. |
La stessa distinzione spiega perché una regola antispam possa applicarsi anche quando le porte email sono bloccate. I messaggi possono essere inviati tramite moduli, commenti o interfacce di messaggi privati di un sito. Chiudere una porta SMTP impedisce un modo di inviare email; non blocca ogni forma di messaggistica indesiderata.
Forme più dirette di abuso comprendono il brute force, che tenta password possibili, e il credential stuffing, che verifica coppie rubate di nome utente e password. Le politiche vietano anche phishing, verifica di carte rubate, distribuzione di malware, attacchi DDoS e contenuti illegali, compresi lo sfruttamento dei minori e la violazione del diritto d'autore. Questi divieti riguardano l'attività stessa: un piccolo numero di tentativi può violare l'AUP anche consumando pochissimo traffico.
Restrizioni che vanno oltre attacchi e frodi
Le AUP contengono anche esclusioni commerciali. Gli elenchi effettivamente pubblicati comprendono sondaggi retribuiti, compravendita di oggetti nei videogiochi, domini legati allo streaming, trading di criptovalute, gioco d'azzardo e contenuti per adulti. Sono esempi tratti dalle regole di servizi diversi, non un divieto comune a tutto il settore. Un fornitore può escludere un'attività commerciale senza affermare che ogni sua forma sia criminale.
La rivendita è un'altra restrizione concreta. Vendere ai clienti l'accesso a credenziali proxy noleggiate può richiedere un accordo separato oppure essere vietato dal contratto standard. La funzione per sottoutenti di un pannello non risolve la questione: credenziali separate possono essere destinate al team del cliente. Un'agenzia che usa proxy per preparare rapporti e un'azienda che vende l'accesso ai proxy stessi offrono servizi diversi.
Alcune condizioni proteggono il pool di proxy stesso. Vietano di fornire informazioni ottenute sui suoi indirizzi e nodi a database che rilevano proxy, valutano la reputazione degli IP o bloccano il traffico. Per esempio, noleggiare l'accesso per catalogare gli IP utilizzati dal fornitore per raggiungere i siti e inserirli in un database di rilevamento dei proxy può violare una simile clausola anche senza aver attaccato alcun sito di destinazione. La restrizione protegge il valore commerciale della rete.
Queste clausole spiegano perché l'AUP non possa essere ridotta a un elenco di reati. Possono determinare se un modello aziendale lecito sia compatibile con un servizio specifico. Passare dalla ricerca interna alla rivendita, o dalla raccolta di prezzi pubblici alla costruzione di un insieme di dati sulle persone, può cambiare la valutazione contrattuale anche usando lo stesso programma e le stesse impostazioni proxy.
Anche testare il proprio sito può richiedere approvazione
Un'azienda incarica un collaboratore di eseguire una scansione del proprio sito alla ricerca di vulnerabilità. L'azienda può autorizzare il test, ma non controlla la rete proxy del collaboratore. Le regole pubblicate sui proxy comprendono il requisito esplicito del consenso scritto del fornitore prima di scansioni delle vulnerabilità o test di stress e carico. Il permesso del proprietario del sito, quindi, non completa sempre l'approvazione necessaria per il lavoro.
Anche la rete che trasporta il test affronta il traffico e i reclami che ne derivano. Una scansione può raggiungere sistemi fuori dalla destinazione concordata; un test di carico può incidere sull'hosting condiviso o sui servizi di protezione. Quando un fornitore consente questi test, l'accordo su destinazioni, metodi e periodo identifica quale traffico ha accettato di trasportare. Una descrizione generale come «ricerca sulla sicurezza» non definisce tale ambito.
Come un'attività tramite proxy diventa una segnalazione di abuso
Una destinazione vede l'IP utilizzato dal proxy. Se il suo gestore osserva attacchi alle password o una scansione di rete, le prove identificano inizialmente quell'indirizzo. La segnalazione può arrivare al fornitore di proxy oppure all'azienda di hosting che fornisce indirizzo e server. Nel secondo caso, il venditore di proxy riceve il problema dal proprio fornitore.
La documentazione di hosting pubblicata mostra che cosa possono contenere queste prove. Un registro di scansione di rete elenca ora, IP di origine, IP di destinazione e porta di destinazione. Connessioni ripetute da un'origine alla porta 22 su server diversi, per esempio, possono essere segnalate come una scansione dei servizi SSH. Una segnalazione di inondazione di traffico può invece contenere frequenze di pacchetti e un riepilogo del traffico per destinazione. Questi registri descrivono incidenti diversi e richiedono spiegazioni differenti.
Il fornitore deve poi associare l'evento esterno all'attività del cliente. Con un indirizzo dedicato, l'assegnazione può aiutare; con IP proxy condivisi o a rotazione, il solo indirizzo può essere insufficiente. I clienti possono usare lo stesso IP in momenti diversi o contemporaneamente. L'ora esatta, il fuso orario e, quando disponibili e pertinenti, le porte di origine aiutano a distinguere le connessioni. Questo dipende dai registri effettivamente conservati dalla rete.
Anche l'ora di arrivo di un reclamo è diversa dall'ora dell'attività descritta. Un'attività inattiva quando l'assistenza scrive al cliente potrebbe aver generato prima il traffico segnalato. Ecco perché controllare soltanto l'elenco attuale dei processi o se il proxy funzioni ora non risponde alla segnalazione.
Questo processo non richiede a un fornitore di proxy di leggere ogni pagina HTTPS. Con il normale TLS end-to-end attraverso un tunnel proxy, percorsi delle pagine, password inviate e contenuti delle risposte sono cifrati. Una destinazione può fornire prove dal proprio lato, mentre un fornitore o un host dispone delle informazioni di rete a esso accessibili. Un browser gestito o un'API di scraping che elabora effettivamente le pagine ha un ruolo e una visibilità diversi.
Perché una destinazione può smettere di funzionare mentre le altre continuano a caricarsi
L'applicazione delle regole non disabilita sempre un account. Una procedura pubblicata di gestione dei reclami consente di limitare temporaneamente soltanto il sito o l'host indicato in una segnalazione. Il resto del traffico può continuare. In quella situazione uno strumento di verifica dei proxy può indicare una connessione funzionante anche se l'attività principale del cliente non riesce a raggiungere la destinazione.
Esistono anche regole preventive. Alcuni servizi monitorano la frequenza delle richieste verso destinazioni sensibili, come le pagine di accesso delle banche, e applicano restrizioni aggiuntive quando l'attività diventa eccessiva. Una categoria può quindi essere raggiungibile durante l'uso normale senza essere disponibile per richieste automatizzate senza limiti. Sono controlli sulle destinazioni, non necessariamente una quota mensile di traffico.
AUP e uso corretto possono sovrapporsi in questo caso, ma il motivo dell'intervento conta comunque. Un programma che raccoglie prezzi può sovraccaricare una risorsa condivisa mentre svolge un'attività consentita. Gli attacchi alle password possono violare l'AUP con un volume molto inferiore. Acquistare altro traffico risolve il primo problema solo se modifica la capacità pertinente; non autorizza la seconda attività.
Un host a monte può imporre una restrizione più ampia. Le regole di hosting descrivono blocchi su un singolo IP, più indirizzi o un intero server dopo attacchi e scansioni. Un venditore di proxy che utilizza quell'infrastruttura potrebbe dover risolvere l'incidente con l'host prima del ripristino dell'accesso. Sostituire un IP proxy continuando la stessa attività lascia irrisolta la causa.
Non esiste nemmeno una sequenza universale di avvisi. Alcune politiche descrivono tentativi di risolvere un problema con il cliente, riservandosi la sospensione dopo una prima violazione. I sistemi di account pubblicati distinguono inoltre tra una segnalazione di abuso, una violazione dell'AUP rilevata e un problema di frode nei pagamenti. Il cliente deve conoscere il motivo dichiarato e l'ambito della restrizione; la sola parola «sospeso» non fornisce queste informazioni.
Se il traffico è stato inviato da un collaboratore o da un altro utente
Le credenziali proxy possono essere installate in più applicazioni o consegnate a un'agenzia. Le condizioni del fornitore possono rendere il titolare dell'account responsabile dell'attività svolta tramite quell'accesso. Il rapporto del fornitore è con il cliente che ha acquistato il servizio, quindi spiegare che un collaboratore ha eseguito il programma non risolve, di per sé, l'incidente.
Il compito pratico è identificare quale applicazione o persona abbia usato le credenziali all'ora segnalata e interrompere l'attività pertinente. Se l'accesso è trapelato, le credenziali esposte devono essere revocate o cambiate. Credenziali separate e registrazioni delle attività, quando il servizio le supporta, possono facilitare questo lavoro. Non creano un'eccezione all'AUP.
Le restrizioni degli account possono riguardare anche tentativi di aggirare le regole del fornitore: aprire account sostitutivi dopo un divieto, ottenere prove ripetute contro le condizioni dichiarate o eludere la verifica dell'identità. Un nuovo account o un IP appena assegnato non trasforma la stessa operazione vietata in un'attività approvata.
Che cosa succede al pacchetto pagato e al suo saldo
Esistono diverse possibili conseguenze economiche e vanno tenute distinte. Una è una commissione per il lavoro necessario a gestire un reclamo. Un'altra è la perdita del diritto al servizio inutilizzato quando un contratto viene risolto per una violazione. Una terza è l'obbligo di coprire determinate pretese di terzi o spese causate dalla condotta del cliente. L'importo pagato per il pacchetto proxy non limita necessariamente tutti questi obblighi.
Si tratta di differenze contrattuali reali. Le condizioni pubblicate comprendono la perdita dei crediti inutilizzati dopo una risoluzione per violazione, prevedendo invece un trattamento diverso quando il fornitore interrompe il servizio per propria scelta. Alcune specificano anche che una sospensione per verifiche di conformità non prolunga automaticamente l'abbonamento o la validità dei crediti. Un account inattivo, quindi, non significa necessariamente che il periodo pagato sia in pausa.
Una commissione di gestione dei reclami non ha un importo standard per tutto il settore. Pagarla copre l'addebito indicato nell'accordo; non compra il permesso di continuare un'attività vietata e non garantisce il ripristino. Viceversa, il solo arrivo di una segnalazione non stabilisce ogni conseguenza economica. I motivi pertinenti di limitazione o risoluzione e le disposizioni di pagamento applicabili determinano l'esito contrattuale, fatti salvi i diritti inderogabili previsti dalla legge.
Che cosa inviare quando l'assistenza ti contatta
L'assistenza ha bisogno di una risposta sull'attività descritta nella segnalazione. «Il proxy funziona», «il pacchetto è pagato» e «facciamo solo scraping» non identificano che cosa abbia generato le connessioni segnalate. Una risposta utile collega l'evento al lavoro reale del cliente e spiega che cosa è stato fatto.
- Metti in pausa l'attività interessata e conserva le impostazioni e i log disponibili. Usa l'ora dell'attività segnalata, compreso il fuso orario, anziché l'ora in cui hai ricevuto il messaggio.
- Identifica l'applicazione, l'attività pianificata, il dipendente o il collaboratore che usa l'accesso. Confronta la destinazione e l'IP proxy con i tuoi registri. Richiedi gli eventuali dettagli mancanti tramite il canale di assistenza del fornitore.
- Descrivi la causa e la modifica apportata: per esempio, l'attività è stata fermata, una destinazione non prevista è stata rimossa oppure l'accesso esposto è stato revocato. Per un test concordato in precedenza, includi il permesso scritto e il suo ambito.
- Conferma quale restrizione rimane e che cosa richiede il fornitore prima che il lavoro consentito possa riprendere. Evita di riavviare la stessa operazione su un altro IP finché la causa rimane irrisolta.
Il fornitore può usare un ticket, un modulo nel pannello o una procedura dedicata di risposta. Alcuni servizi espongono il testo del reclamo e il relativo stato tramite un'API. Sono modi di gestire l'incidente; nessuno stabilisce un tempo universale di ripristino. Anche una scadenza per esaminare la risposta del cliente è diversa da una promessa di riattivare il servizio.