Як працює цей тест
У детектора два режими. З порожнім полем він досліджує ваше власне підключення: адресу запиту, заголовки від браузера або проксі та значення, які збирає скрипт сторінки. З адресою в полі він досліджує лише цю адресу за сигналами, що описують мережу, а не людину.
Оцінюється дванадцять сигналів. Кожен має статус («пройдено», «переглянути», «провал», «примітка»), штраф у балах і речення з поясненням. Оцінка починається зі 100, штрафи віднімаються. Три групи сигналів:
| Група | Сигнали | Джерело доказів |
|---|---|---|
| Мережа | Дата-центр або хостинг, вихідний вузол Tor, відома мережа VPN чи проксі, Spamhaus DROP, чорні списки | Публічні дані маршрутизації, щоденні списки, 8 запитів до DNSBL |
| Запит | Проксі-заголовки, ознаки автоматизації, мова браузера проти країни | Сам HTTP-запит: заголовки та user agent |
| Браузер | Часовий пояс проти IP, публічний IP WebRTC, розташування DNS-резолвера, IPv6-адреса | Збирає скрипт сторінки й надсилає на порівняння з даними IP |
Групи «мережа» і «запит» відомі одразу; група «браузер» заповнюється трохи пізніше, а до того її рядки позначені «не виконано». Оцінка анонімності показує той самий рушій у вигляді кільця зі списком виправлень; ця сторінка відповідає на одне запитання: чи схоже підключення на проксі або VPN?
Порівняльні значення — наші власні: країна й часовий пояс IP із бази DB-IP Lite (оновлення щомісяця), тип мережі — з публічної таблиці маршрутизації. Дані браузера третім сторонам не передаються: порівняння відбувається на нашому сервері.
Як читати результат
Заголовок — діапазон оцінки: чисто від 80, обережно 50–79, ризиковано нижче 50. Корисніший порядковий огляд, бо проксі зазвичай провалюється на одному-двох конкретних рядках.
| Сигнал | Бали | Провал, коли |
|---|---|---|
| Дата-центр або хостинг | -25 | Адреса в діапазоні дата-центру або назва мережі читається як хостинг чи хмара |
| Вихідний вузол Tor | -40 | Адреса в сьогоднішньому списку виходів Tor |
| Відома мережа VPN чи проксі | -20 | Назва мережі вказує на комерційний VPN- або проксі-сервіс |
| Діапазон Spamhaus DROP | -20 | Адреса входить у діапазон зі списку DROP |
| Чорні списки | -5 за список, до -20 | Адреса в 1 чи більше з 8 DNS-блоклистів |
| Часовий пояс проти IP | -10 | Пояс браузера не використовується в країні IP і має інший зсув |
| Мова браузера проти країни | -5 | Перша мова браузера незвична для країни IP і це не англійська |
| Публічний IP WebRTC | -15 | WebRTC розкриває публічну адресу, відмінну від адреси підключення |
| Розташування DNS-резолвера | -15 | На DNS-запити відповідають з іншої країни, ніж IP |
| IPv6-адреса | -15 | IPv4 іде через тунель, а досяжна IPv6-адреса — в іншій країні |
| Проксі-заголовки | -10 | Запит містив Via, X-Forwarded-For, Forwarded або подібний заголовок |
| Ознаки автоматизації | -20 | Браузер повідомляє webdriver чи headless-режим, або user agent — інструмент, а не браузер |
Добре налаштований VPN чи проксі не провалює жодного рядка, крім, неминуче, рядка мережі, коли вихід — дата-центр. Саме тому вибір виходу важить більше за будь-яке налаштування браузера: дата-центровий вихід коштує 25 балів ще до решти перевірок, а впізнавана мережа VPN — ще 20.
Чи користуюся я VPN? Читаємо верх сторінки
Якщо мережа під оцінкою — ваш провайдер, а місто — ваше, тунель для цього браузера не активний, хоч що показує іконка VPN-застосунку: система іноді маршрутизує повз нього. Якщо мережа — хостинг або VPN-бренд, а країна — та, де ви обрали сервер, VPN несе ваш вебтрафік. Далі читайте браузерні рядки: WebRTC, DNS та IPv6 — три способи, якими підключений VPN усе одно розкриває вашу справжню мережу.
Чи працює мій VPN? Три рядки витоків
- Публічний IP WebRTC має бути пройдений або показувати адресу підключення. Інша публічна адреса тут — ваша справжня: стек WebRTC обійшов тунель.
- Розташування DNS-резолвера має називати країну VPN або виходу. Резолвер домашнього провайдера означає, що DNS-запити оминають тунель: кожна назва сайту видна провайдеру, а сайт бачить розбіжність країн.
- IPv6-адреса має показувати «IPv6 не виявлено» або адресу в країні виходу. IPv6 у вашій справжній країні означає, що тунель несе лише IPv4.
Як це виправити
Проходьте рядки по порядку. Перший стосується адреси й у браузері не виправляється; решта — налаштування.
- Дата-центр, мережа VPN, Tor, DROP або чорні списки. Змініть вихід: резидентний чи мобільний проксі або VPN-сервер у споживчій мережі. Перевіряйте в перевірці IP, доки рядок мережі не буде пройдено. Для Tor або DROP обхідних шляхів немає — суворі сайти відкидають їх ще до завантаження сторінки.
- Часовий пояс проти IP. Установіть годинник на пояс виходу. Windows: Параметри → Час і мова → Дата й час, вимкніть автоматичний пояс. macOS: Системні параметри → Основні → Дата й час, вимкніть автоматичний режим. Android: Налаштування → Система → Дата й час. iOS: Параметри → Основні → Дата й час, вимкніть «Автоматично». В антидетект-браузерах установіть пояс профілю на пояс проксі або ввімкніть автовизначення від проксі.
- Публічний IP WebRTC. Увімкніть захист WebRTC у VPN-клієнті чи розширенні або вимкніть WebRTC у браузері; кроки — на сторінці тесту витоку WebRTC. В антидетект-браузерах ставте WebRTC у режим «replace» або «altered», а не «disabled», яке само по собі рідкісне й помітне.
- Розташування DNS-резолвера. У VPN-клієнті ввімкніть DNS через тунель або резолвери провайдера. Для проксі переконайтеся, що браузер проксіює і DNS (remote DNS у налаштуваннях SOCKS5), і не лишайте зашифрований DNS, що вказує на резолвер у вашій країні. Тест витоку DNS показує резолвери, що використовуються.
- IPv6-адреса. Увімкніть IPv6 у VPN-клієнті, щоб він теж тунелювався, або вимкніть IPv6 на адаптері на час тунелю. Кроки — у тесті IPv6.
- Проксі-заголовки. Їх додає проксі, а не браузер. Переведіть проксі в елітний режим або виберіть провайдера без Via чи X-Forwarded-For. Перевірте на сторінці HTTP-заголовків.
- Мова браузера проти країни. Додайте місцеву мову країни виходу до списку мов або залиште англійську першою — вона завжди проходить.
- Ознаки автоматизації. Входьте зі звичайного профілю, а не керованого автоматизацією чи headless. Якщо ви законно користуєтеся автоматизацією, цей рядок не пройде — і суворі сайти його теж не пропустять.
Якщо обліковий запис використовує двофакторну автентифікацію, майте код напоготові в тому ж профілі; код TOTP із 2fagen.com працює як будь-який автентифікатор.
Обмеження цього тесту
- Класифікація мережі заснована на правилах: список дата-центрів, ключові слова в назві мережі, списки Tor і DROP. Хостинг із невиразною назвою може пройти, провайдер із невдалою назвою — провалитися. Докази показано в кожному рядку.
- Ми виявляємо категорії, щодо яких маємо дані. Комерційні антифрод-бази містять непублічні списки резидентних проксі-пулів, анонімайзерів і адрес з історією зловживань. Прохід тут не означає, що там немає запису.
- Браузерні рядки потребують JavaScript. Без нього оцінюються лише мережа й запит.
- Правило часового поясу навмисно поблажливе: проходить будь-який пояс країни IP або з тим самим зсувом. Сайт може бути суворішим.
- Правило мови слабке. Багато людей переглядають сайти англійською; ми знімаємо лише 5 балів.
- Перевірки чужої адреси охоплюють лише мережеві сигнали. Решта описує сесію браузера, якої для введеної адреси немає.
- Жоден тест не доводить анонімність. Оцінка описує підключення за 12 відомими перевірками й нічого не каже про облікові записи, cookie чи платіжні дані, які ідентифікують вас незалежно від адреси.
Як сайти виявляють проксі та VPN
Більшість виявлення ґрунтується на тих самих публічних фактах, що й ця сторінка: мережа, що анонсує адресу, списки дата-центрів, виходів Tor і блоків VPN-провайдерів. Адреса в хостинг-мережі за замовчуванням вважається сервером, бо справжні відвідувачі рідко сидять у дата-центрі. Далі заголовки: прозорий проксі додає X-Forwarded-For, багато проксі додають Via, і сайт читає їх у тому ж запиті, що несе ваш логін.
Потім — перевірки узгодженості між адресою та браузером: часовий пояс і список мов читає будь-який скрипт і порівнює з країною IP; WebRTC може розкрити адресу поза тунелем; витік DNS видно сайтам із власними авторитетними DNS-серверами, як це робить наш тест витоку DNS. Деякі сайти йдуть далі сигналами, яких ми не відтворюємо: затримка порівняно з відстанню IP, характеристики TCP і TLS, що різняться в телефона й VPN-шлюзу, та кількість облікових записів з однієї адреси. Стаття про виявлення VPN розбирає кожен метод.
Резидентні, мобільні та дата-центрові виходи
Рядок мережі залежить від типу вашого виходу. IP дата-центру належить хостинг-компанії: дешево, швидко, стабільно — і найлегше позначити, бо мережа існує для серверів. Резидентну IP-адресу споживчий провайдер видає домашній лінії; резидентний проксі успадковує її репутацію, добру, доки її не ділять надто багато клієнтів. Мобільна IP-адреса належить оператору й спільна для багатьох телефонів за CGNAT, тому сайти неохоче її блокують. Для входу в суворі сервіси лише мобільні й резидентні виходи в країні облікового запису проходять рядок мережі; решта сторінки — про те, як не змарнувати цю перевагу витоком.
Прозорі, анонімні та елітні проксі
Це старі мітки, але описана ними поведінка заголовків — саме те, що читають сайти. Прозорий проксі передає вашу адресу в X-Forwarded-For або Forwarded: призначення бачить і проксі, і вас. Анонімний прибирає адресу, але додає Via, тож призначення знає про проксі, не знаючи, хто за ним. Елітний нічого не додає, і призначення бачить звичайний запит з адреси проксі. Рядок проксі-заголовків розрізняє три випадки, а сторінка HTTP-заголовків показує сирі значення. Зауважте: резидентний проксі теж може бути прозорим — тип мережі й поведінка заголовків незалежні, і правильними мають бути обидва.
Перевірка проксі перед купівлею чи використанням
Введіть адресу виходу проксі в поле, щоб побачити 5 мережевих сигналів, нічого через нього не пропускаючи. Потім пустіть браузер через проксі й перезавантажте сторінку з порожнім полем, щоб оцінити й рядки запиту та браузера. Разом два результати скажуть, чи прийнятна адреса і чи чиста ваша конфігурація. Повторюйте другу перевірку щоразу, коли міняєте профіль, порт проксі чи VPN-сервер — це триває кілька секунд.