Un site peut-il distinguer le NAT d'un proxy mandataire ?
Évaluez ce qu'une IP publique partagée, des en-têtes de transfert et le résultat d'un test de proxy peuvent établir sur le chemin vers un site.
Plusieurs visiteurs arrivent depuis une seule adresse publique. Cela correspond à une passerelle NAT de bureau. Cela correspond aussi à un proxy mandataire partagé. L'adresse seule ne tranche pas entre les deux.
Le NAT modifie les informations d'adresse le long du chemin. Un proxy mandataire accepte une connexion et en établit une autre plus loin. Ce sont des mécanismes différents, mais une destination voit les connexions qui l'atteignent, non un inventaire complet de l'équipement réseau du client.
Un champ Via HTTP peut apporter la preuve d'intermédiaires HTTP. Son absence doit se lire plus étroitement : cette requête n'a pas exposé cet indicateur à cet observateur. Les en-têtes peuvent être non fiables, supprimés ou indisponibles dans un tunnel TLS ordinaire de bout en bout. Les bases de réputation d'IP fournissent un autre type de preuve, avec leur propre couverture et leur propre ancienneté.
C'est pourquoi « aucun proxy détecté » sur un vérificateur n'est pas un schéma de réseau. Il ne peut pas non plus certifier que tous les autres sites parviendront à la même conclusion.
Si vous exploitez le client ou le réseau, combinez les observations du point terminal avec les réglages réels de l'application, la configuration de la passerelle et les journaux de connexion pertinents. Si vous n'exploitez que le site, décrivez ce que vos signaux étayent et laissez une place à l'incertitude.
Pour les contrôles d'accès, décidez ce que vous devez protéger. Une adresse partagée peut servir à une limite de débit grossière, mais elle remplace mal une personne unique. La qualifier de NAT ou de proxy ne résout pas ce problème d'identité.