Før du sender en adgangskode gennem en gratis proxy

Brug ikke en rigtig adgangskode til at finde ud af, om en ukendt proxy virker. En forbindelsestest med en harmløs side kan fastslå forbindelsen uden at udsætte en konto. Om du vil betro ruten privat trafik, kræver en særskilt vurdering af forbindelsen.

Ved almindelig, ukrypteret HTTP håndterer proxyen læsbare forespørgsler og svar. Det kan afsløre adgangskoder, cookies, API-nøgler, private forespørgselsparametre og svarindhold. Et stjålet sessionstoken kan være lige så værdifuldt som den adgangskode, der oprettede det.

Ved verificeret HTTPS gennem en almindelig CONNECT-tunnel kører TLS mellem din klient og webstedet. En proxy, der blot videresender forbindelsen, kan normalt ikke læse disse applikationsdata. Det forudsætter det tilsigtede værtsnavn, certifikatkontrol og tillid til et passende CA-lager. Installation af en ukendt proxys rodcertifikat kan give operatøren mulighed for at opfange TLS; at ignorere certifikatfejl fjerner også den beskyttelse, du regnede med.

Selv når indholdet er beskyttet, modtager operatøren forbindelsen og kan se destinationsoplysninger, der er tilgængelige på proxyvejen, samt tidspunkter og mængde. Operatøren kan forstyrre trafikken og kan muligvis sammenkæde den. En anden udgangs-IP fortæller ikke, hvilke oplysninger der gemmes, eller hvad dine andre applikationer sender.

Proxylogin foregår på en anden del af ruten

Proxygodkendelse kan ske før TLS med destinationen. Webstedets HTTPS kan ikke beskytte en tidligere udveksling i klartekst med proxyen. SOCKS5-forhandling med brugernavn og adgangskode krypterer heller ikke i sig selv legitimationsoplysningerne. Vurder transporten mellem klient og proxy samt godkendelsesmetoden, før du angiver en proxykonto.

Test forbindelsen uden en privat session

Brug en særskilt kommando frem for at omdirigere en browser med indloggede konti. Fjern standard-API-nøgler, bearer-tokens, cookies og private data fra klienten. For et HTTP-lyttepunkt:

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 https://example.com/

Erstat det lokale endpoint med din tjeneste. Behold certifikatkontrollen og de afgrænsede timeouts, og undersøg uventede omdirigeringer eller opfordringer til at installere tillidsmateriale. En tilladt direkte sammenligning kan hjælpe med at isolere en fejl hos destinationen. Fjern følsomme oplysninger fra endpoints og logge, før du deler dem.

Til private konti eller produktionsintegrationer bør du bruge en operatør, hvis ejerskab, support og tillidsforhold du kan vurdere, eller en tjeneste du selv administrerer. Betaling alene giver ingen sikkerhed. En liste over gratis proxyer giver kandidater; en vellykket sideindlæsning siger noget om tilgængeligheden for netop den forespørgsel, ikke om tillid til operatøren.