Avant d'envoyer un mot de passe par un proxy gratuit

N'utilisez pas un vrai mot de passe pour savoir si un proxy inconnu fonctionne. Un test de connexion vers une page sans risque permet d'établir la connectivité sans exposer de compte. Décider de confier du trafic privé à ce trajet demande un examen distinct de la connexion.

Avec du HTTP en clair, le proxy traite des requêtes et des réponses lisibles. Mots de passe, cookies, clés d'API, paramètres de requête privés et corps des réponses peuvent ainsi être exposés. Un jeton de session volé peut valoir autant que le mot de passe qui a permis de le créer.

Avec du HTTPS vérifié dans un tunnel CONNECT ordinaire, TLS relie votre client au site web. Un proxy qui ne fait que relayer la connexion ne peut normalement pas lire ces données applicatives. Cela suppose le bon nom d'hôte, la vérification des certificats et un magasin d'autorités de certification approprié. Installer le certificat racine d'un proxy inconnu peut permettre à son opérateur d'intercepter TLS ; ignorer les erreurs de certificat supprime aussi la protection sur laquelle vous comptiez.

Même si le contenu est protégé, l'opérateur reçoit votre connexion et peut observer les informations de destination accessibles sur le trajet du proxy, les horaires et le volume. Il peut perturber le trafic et éventuellement le corréler. Une autre IP de sortie ne dit ni quelles traces il conserve ni ce que vos autres applications envoient.

L'identification auprès du proxy emprunte une autre partie du trajet

L'authentification du proxy peut avoir lieu avant le TLS avec la destination. Le HTTPS du site ne protège pas un échange antérieur en clair avec le proxy. La négociation SOCKS5 par nom d'utilisateur et mot de passe ne chiffre pas non plus les identifiants à elle seule. Évaluez le transport entre client et proxy ainsi que l'authentification avant de fournir un compte de proxy.

Tester la connexion sans session privée

Utilisez une commande dédiée plutôt que de faire passer par le proxy un navigateur contenant des comptes connectés. Retirez du client les clés d'API par défaut, jetons porteurs, cookies et données privées. Pour un point d'écoute HTTP :

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 https://example.com/

Remplacez le point de terminaison local par celui de votre service. Gardez la vérification des certificats et les délais limités, et examinez les redirections inattendues ou les demandes d'installation d'éléments de confiance. Une comparaison directe autorisée peut aider à isoler une panne de la destination. Expurgez les points de terminaison et les journaux avant de les partager.

Pour les comptes privés ou les intégrations en production, choisissez un opérateur dont vous pouvez évaluer le propriétaire, l'assistance et les garanties de confiance, ou un service que vous administrez. Payer ne constitue pas une garantie en soi. Une liste de proxies gratuits fournit des candidats ; le chargement réussi d'une page renseigne sur la disponibilité pour cette requête, pas sur la confiance à accorder à l'opérateur.