無料プロキシにパスワードを通す前に

見知らぬプロキシが動くかを調べるために、実際に使っているパスワードを送らないでください。無害なページでの接続テストなら、アカウントをさらさずに接続を確認できます。私的な通信をその経路に任せてよいかは、接続を別途評価する必要があります。

暗号化されていないHTTPでは、プロキシは読み取れるリクエストとレスポンスを扱います。パスワード、Cookie、APIキー、非公開のクエリパラメーター、レスポンス本文が見える可能性があります。盗まれたセッショントークンは、それを作成したパスワードと同じほど価値を持つことがあります。

通常のCONNECTトンネルを通る、検証済みのHTTPSでは、TLSはクライアントとWebサイトの間で動作します。接続を中継するだけのプロキシは、通常、そのアプリケーションデータを読めません。これは、意図したホスト名を使い、証明書を確認し、適切なCAストアを信頼することが前提です。不明なプロキシのルート証明書をインストールすると、運営者によるTLS傍受を可能にする場合があります。証明書エラーを無視することも、頼りにしていた保護を失わせます。

内容が保護されていても、運営者は接続を受け取り、プロキシ経路で得られる宛先情報、タイミング、通信量を観察できます。通信を妨害したり、関連付けたりする可能性もあります。出口IPが違うだけでは、どの記録を残すのか、ほかのアプリが何を送るのかは分かりません。

プロキシへのログインは経路の別の区間を通る

プロキシ認証は宛先とのTLSより前に行われる場合があります。WebサイトのHTTPSは、それ以前のプロキシとの平文通信を保護できません。SOCKS5のユーザー名・パスワード交渉も、それ自体では認証情報を暗号化しません。プロキシのアカウントを渡す前に、クライアントからプロキシまでの通信と認証方式を評価してください。

私的なセッションを使わずに接続を確認する

アカウントにログイン済みのブラウザーを迂回させる代わりに、専用のコマンドを使います。クライアントから既定のAPIキー、Bearerトークン、Cookie、非公開の送信データを取り除いてください。HTTPの待ち受けなら、次のようにします。

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 https://example.com/

ローカルのエンドポイントを利用するサービスに置き換えます。証明書検証を有効にしたまま、有限のタイムアウトを保ち、予想外のリダイレクトや信頼情報のインストール要求を調べてください。許可された直接接続との比較は、宛先の障害を切り分ける助けになります。エンドポイントやログを共有する前に機密情報を除去します。

私的なアカウントや本番連携には、所有者、サポート、信頼関係の仕組みを評価できる運営者か、自分で管理するサービスを使ってください。有料というだけでは保証になりません。無料プロキシリストが提供するのは候補です。ページが正常に読み込めても、それが答えるのはそのリクエストの可用性であり、運営者の信頼性ではありません。