Bevor Sie ein Passwort über einen kostenlosen Proxy senden

Prüfen Sie einen unbekannten Proxy nicht mit einem tatsächlich verwendeten Passwort. Ein Verbindungstest mit einer unbedenklichen Seite kann die Erreichbarkeit feststellen, ohne ein Konto offenzulegen. Ob Sie der Route private Daten anvertrauen sollten, erfordert einen gesonderten Blick auf die Verbindung.

Bei unverschlüsseltem HTTP verarbeitet der Proxy lesbare Anfragen und Antworten. Dadurch können Passwörter, Cookies, API-Schlüssel, private Abfrageparameter und Antwortinhalte offenliegen. Ein gestohlenes Sitzungstoken kann so wertvoll sein wie das Passwort, mit dem es erzeugt wurde.

Bei geprüftem HTTPS durch einen gewöhnlichen CONNECT-Tunnel läuft TLS zwischen Ihrem Client und der Website. Ein Proxy, der die Verbindung nur weiterleitet, kann diese Anwendungsdaten normalerweise nicht lesen. Voraussetzung sind der vorgesehene Hostname, die Zertifikatsprüfung und ein geeigneter vertrauenswürdiger CA-Speicher. Installieren Sie das Stammzertifikat eines unbekannten Proxys, kann dessen Betreiber TLS abfangen; auch das Ignorieren von Zertifikatsfehlern hebt den Schutz auf, auf den Sie sich verlassen haben.

Auch bei geschütztem Inhalt nimmt der Betreiber Ihre Verbindung entgegen und kann Zielinformationen, die auf dem Proxyweg verfügbar sind, sowie Zeitpunkte und Datenmenge beobachten. Er kann den Verkehr stören und möglicherweise miteinander in Beziehung setzen. Eine andere Ausgangs-IP sagt nichts darüber aus, welche Aufzeichnungen er behält oder was Ihre anderen Anwendungen senden.

Die Proxyanmeldung läuft auf einem anderen Teil der Route

Die Proxyauthentifizierung kann vor TLS mit dem Ziel stattfinden. Das HTTPS der Website kann einen früheren Klartextaustausch mit dem Proxy nicht schützen. Auch die SOCKS5-Aushandlung mit Benutzername und Passwort verschlüsselt die Zugangsdaten nicht selbst. Beurteilen Sie Transport und Authentifizierung zwischen Client und Proxy, bevor Sie ein Proxykonto angeben.

Erreichbarkeit ohne private Sitzung prüfen

Verwenden Sie einen eigenen Befehl, statt einen Browser mit angemeldeten Konten umzuleiten. Entfernen Sie voreingestellte API-Schlüssel, Bearer-Token, Cookies und private Nutzdaten aus dem Client. Für einen HTTP-Listener:

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 https://example.com/

Ersetzen Sie den lokalen Endpunkt durch Ihren Dienst. Lassen Sie die Zertifikatsprüfung eingeschaltet, behalten Sie die begrenzten Zeitlimits bei und prüfen Sie unerwartete Weiterleitungen oder Aufforderungen zur Installation von Vertrauensmaterial. Ein erlaubter direkter Vergleich kann helfen, einen Zielfehler einzugrenzen. Bereinigen Sie Endpunkte und Protokolle vor dem Weitergeben von vertraulichen Angaben.

Nutzen Sie für private Konten oder Produktionsintegrationen einen Betreiber, dessen Eigentümerschaft, Support und Vertrauensregelungen Sie beurteilen können, oder einen Dienst, den Sie selbst verwalten. Zahlung allein gibt keine Sicherheit. Eine Liste kostenloser Proxys liefert Kandidaten; eine erfolgreich geladene Seite beantwortet die Frage nach der Verfügbarkeit für diese Anfrage, nicht nach der Vertrauenswürdigkeit des Betreibers.