Glossaire
En-têtes de proxy
Les en-têtes de proxy comme Via et X-Forwarded-For sont ajoutés par certains proxys et révèlent aux sites qu’une requête n’est pas venue directement de vous.
Ce que sont les en-têtes de proxy
Quand un proxy HTTP relaie une requête, il peut ajouter des en-têtes qui décrivent ce qu’il a fait. Les en-têtes standard sont Via, qui nomme le logiciel de proxy et la version du protocole, et Forwarded, qui enregistre l’adresse du client d’origine. Des en-têtes plus anciens et non standard portent la même information : X-Forwarded-For avec l’IP du client, X-Real-IP, Client-IP, X-Proxy-ID et Proxy-Connection. Les passerelles d’entreprise, les proxys de cache, certains opérateurs mobiles et les proxys publics mal configurés les ajoutent tous.
Un proxy qui ajoute ces en-têtes tout en montrant sa propre adresse est dit non anonyme ou transparent. Un proxy qui relaie la requête sans eux est dit anonyme. Aucun de ces termes ne dit quoi que ce soit sur la qualité de l’adresse IP ; ils décrivent seulement les en-têtes.
Pourquoi c’est important
N’importe quel site peut lire ces en-têtes. Si X-Forwarded-For contient votre vraie adresse, le proxy la livre à chaque requête, et aucun réglage du navigateur n’y changera rien. Même un en-tête Via sans adresse est une divulgation : il dit qu’un proxy est présent, ce qui déclenche des vérifications supplémentaires. Notre score d’anonymat retire 10 points quand la requête porte l’un des en-têtes listés ci-dessus.
Notez que les reverse proxys et les réseaux de diffusion de contenu placés devant un site ajoutent aussi X-Forwarded-For, mais côté serveur ; nous ne lisons que les en-têtes qui arrivent de votre côté de la connexion.
Comment vérifier
L’outil en-têtes HTTP affiche chaque en-tête porté par la requête de votre navigateur, exactement tel que notre serveur l’a reçu, avec les en-têtes liés aux proxys mis en évidence. Le détecteur de proxy combine cette vérification avec la classification réseau de votre adresse. Lancez-les avec le proxy actif et, pour comparer, sans lui.
Comment corriger
Passez à un proxy qui n’ajoute pas d’en-têtes de relais ; les proxys SOCKS5 n’ajoutent jamais d’en-têtes HTTP parce qu’ils ne regardent pas à l’intérieur du flux HTTP. Si vous exploitez votre propre serveur proxy, désactivez les options Via et X-Forwarded-For dans sa configuration. Pour les connexions VPN, ce signal ne s’applique pas, puisque le tunnel transporte vos paquets sans modification et que le serveur VPN ne réécrit pas le HTTP.
Une idée fausse courante
L’absence d’en-têtes de proxy ne rend pas une adresse anonyme. L’adresse elle-même peut toujours être classée comme espace de centre de données ou de fournisseur VPN, et les fuites du navigateur peuvent toujours révéler la vraie adresse. Les en-têtes sont un signal sur les douze de notre page de score.