Al comprar un proxy residencial, en realidad estás alquilando la conexión a Internet de otra persona. De quién se trata y con el consentimiento de quién, es una pregunta que en 2026 dejó de ser filosófica. En enero, Google junto con sus socios desmanteló la red IPIDEA, donde las direcciones se recopilaban, entre otras cosas, a través de programas troyanizados y dispositivos con un código proxy oculto. Y desde septiembre, la empresa AppEsteem, que lleva una lista pública de software "engañoso", verifica mensualmente a los propios operadores de proxy: qué puede hacer el cliente a través de ellos con una verificación mínima y si el propietario de la IP doméstica sufre por ello.
A continuación, se presenta una comparación de cuatro modelos que utilizan los operadores para obtener direcciones residenciales y un análisis de diez requisitos de la prueba de AppEsteem: qué de ellos concierne al comprador común y en qué se diferenciará un operador "responsable" de uno "omnivoro" en tus tareas.
Qué sucedió: los operadores de proxy comenzaron a ser evaluados como antivirus
AppEsteem registró en AMTSO (la organización que establece los estándares de prueba para antivirus) una serie llamada "Serie de Pruebas de Responsabilidades de Operadores de Proxy Residenciales AppEsteem 2026". El aviso sobre la prueba se publicó el 21 de septiembre de 2026, y la fecha de publicación de los resultados en la tarjeta AMTSO es el 19 de noviembre de 2026.
Del plan de prueba publicado (versión 1.1 del 11 de septiembre):
- La prueba es continua y mensual. Los primeros tres martes del mes son ensayos de entrenamiento, cuyos resultados solo ven los operadores que han pagado por este servicio. El cuarto martes es un ensayo de calificación para todos, cuyos resultados se publican de forma gratuita. El primer ensayo de calificación está programado para el cuarto martes de septiembre de 2026.
- Se prueba en nombre del "cliente menos verificado" — una cuenta registrada con el umbral más bajo que permite el operador. Para algunos, esto es un correo electrónico y una tarjeta, para otros ya es KYC.
- Se verifica cada entrada por separado: proxies HTTP(S), puerto SOCKS5, y con el tiempo también interfaces "agentes"/MCP. La razón se menciona directamente en el plan: un operador que bloquea un sitio por HTTP a veces lo permite a través de su propio SOCKS5.
- Consecuencias: a un operador certificado que viole sus promesas se le puede revisar o revocar el certificado; a un no certificado que publicite direcciones "éticas", pero las deje disponibles para abusos, se le incluirá en la lista Deceptor. AppEsteem transmite los resultados y esta lista a los proveedores de antivirus y a aquellos que protegen redes corporativas.
Un detalle importante: la propia cuestión del consentimiento (RPR-001, "recopilación ética") no está incluida en esta prueba — AppEsteem la verifica por separado, en el marco de la certificación. La nueva prueba trata sobre otra cosa: incluso una dirección obtenida de manera honesta no debe convertirse en una herramienta de ataque.
Cuatro modelos de recopilación de IP residenciales: comparación
Según el informe del Grupo de Inteligencia de Amenazas de Google sobre la red IPIDEA y revisiones de la industria, las direcciones en los grupos residenciales llegan por cuatro caminos principales. Se diferencian no solo en ética, sino también en la estabilidad del grupo y cuán "sucias" resultan ser las direcciones.
1. Aplicaciones "gana dinero con el tráfico" (opt-in consciente)
La persona instala por sí misma un programa que paga o otorga bonificaciones por compartir su ancho de banda. El consentimiento es muy claro: el usuario entiende por qué instaló el software. Pero aquí también es importante si la persona ve qué tráfico pasará a través de su canal y si puede desactivar la compartición en cualquier momento: el consentimiento explícito al instalar no garantiza un uso honesto después.
2. SDK en aplicaciones comunes
El desarrollador de un juego, utilidad o aplicación de contenido integra un SDK de monetización, y el dispositivo se convierte en un nodo de salida. El operador del SDK paga al desarrollador — según datos de GTIG, normalmente por instalación. La calidad del consentimiento depende de cómo se presenta la pantalla de consentimiento: Infoblox en su investigación de junio señala que el consentimiento a menudo se oculta en el acuerdo de usuario, que nadie lee. Esta es la fuente más grande y vulnerable: el grupo puede desaparecer en un día. En el caso de IPIDEA, Google Play Protect comenzó a advertir sobre aplicaciones con su SDK, eliminarlas y bloquear nuevas instalaciones en dispositivos Android certificados.
3. VPN gratuitas y dispositivos con preinstalación
Una clase aparte son las VPN gratuitas que realmente funcionan como VPN, pero además incluyen el dispositivo en la red de proxy, así como los dispositivos de TV no certificados y gadgets Android baratos con código proxy oculto "de fábrica". En el informe sobre IPIDEA se mencionan aplicaciones VPN como Galleon VPN, Radish VPN y Aman VPN. Aquí no hay realmente consentimiento, y el grupo vive hasta la primera limpieza de la plataforma o actualización.
4. Troyanos y botnets
La opción más oscura: el dispositivo está infectado, el propietario no sabe nada. GTIG encontró 3,075 hashes únicos de archivos de Windows que se comunicaban con dominios de control de IPIDEA, incluidos binarios que se disfrazaban como OneDriveSync y Windows Update. Estas direcciones generalmente ya están expuestas en bases de datos de amenazas — y, lo que es más importante para el comprador, junto a ti en la misma red operan delincuentes: según datos de Google, en una semana de enero de 2026, los nodos de salida de IPIDEA fueron utilizados por más de 550 grupos criminales.
Tabla resumen
| Modelo | Consentimiento del propietario de IP | Estabilidad del grupo | Riesgo de reputación "sucia" de la dirección | Riesgo de limpieza repentina |
|---|---|---|---|---|
| Opt-in "gana dinero con el tráfico" | Explícito | Promedio | Por debajo del promedio | Bajo |
| SDK en aplicaciones | De explícito a formal | Alta, mientras el SDK no sea prohibido | Promedio | Promedio-alto |
| VPN gratuitas, dispositivos con preinstalación | Formal o ausente | Baja | Alta | Alta |
| Troyanos, botnets | No | Impredecible | Muy alta | Muy alta |
Las calificaciones en las últimas tres columnas son nuestra interpretación cualitativa basada en los casos descritos, no mediciones. Hemos analizado en detalle cómo la prohibición del SDK en la plataforma afecta al grupo, en un artículo sobre la prohibición del proxy-SDK en Smart TV de LG.
Diez requisitos de AppEsteem y lo que significan para el comprador
La prueba mide el comportamiento del operador en diez puntos del documento técnico de AppEsteem (RPR-002 — RPR-011). Para el cliente, se dividen en tres grupos.
Protegen tanto a ti como al propietario de la dirección
- RPR-002 — dirección limpia. El operador no debe permitir el uso de la IP para spam, fraude y manipulaciones, y no debe resolverlo después del hecho. Para ti, esto significa menos direcciones ya marcadas en bases de datos antifraude.
- RPR-003 — ningún tráfico ilegal, dominios de malware, plataformas criminales y foros con datos robados.
- RPR-005 — tráfico solo hacia afuera. No se puede dirigir la salida a la red doméstica, al enrutador, al loopback, ni abrir puertos de correo y escritorio remoto o relés UDP.
- RPR-010 — el programa está aislado del dispositivo. No lee contraseñas, cookies y archivos del propietario, y tus credenciales no se leen en el camino.
- RPR-011 — el software está actualizado y protegido de manera uniforme en todas las entradas.
Bloqueos que notará el cliente
- RPR-006 — categorías peligrosas cerradas por defecto para cualquier registro anónimo. En el plan de prueba, se incluyen como ejemplos categorías como contenido para adultos, juegos de azar, sitios gubernamentales, bancos, criptomonedas, streaming, juegos, boletos y correo.
- RPR-007 — los bloqueos no se eluden con pequeñas modificaciones de la dirección, "reflejos" o el propio puerto SOCKS5 del operador.
- RPR-004 — solo páginas públicas. Para el cliente no verificado, la conexión debe leer lo que el sitio muestra a todos y no transmitir inicios de sesión, cookies y tokens a secciones cerradas. La prueba verifica en un sitio de control los inicios de sesión, registros, publicaciones y sustituciones de credenciales.
Transparencia de las reglas
- RPR-008 y RPR-009 — reglas publicadas (AUP) y lista de excepciones con razones. El operador puede abrir el acceso a categorías cerradas a clientes verificados, pero solo si la excepción está publicada, el cliente ha pasado la verificación y el propietario de la dirección puede ver cómo se utiliza su conexión. El plan establece claramente: sin la tercera condición, la verificación de identidad protege "los documentos del operador, no del consumidor".
El test también capta un error inverso — la sobreprotección. Si el operador bloquea sitios comunes como noticias o enciclopedias, se considera un fracaso: significa que sus bloqueos no dicen nada sobre la calidad de la protección.
Qué cambiará en tus tareas
Si la industria comienza a adaptarse a esta prueba, los operadores "responsables" y "omnivoros" se comportarán de manera diferente según el escenario.
- Extracción de datos públicos (precios, resultados, catálogos, reseñas). No hay problemas: RPR-004 permite explícitamente leer lo que el sitio muestra a todos. La ventaja es direcciones más limpias y menos captchas debido a los vecinos en el grupo.
- Múltiples cuentas, SMM, trabajo en paneles. La zona más sensible. Iniciar sesión, publicar y cookies de sesión son precisamente lo que RPR-004 prohíbe al "cliente menos verificado". Esto significa que en operadores responsables, tales escenarios irán a tarifas verificadas con KYC y descripción de la tarea. Comparamos quién de los grandes proveedores ya ha endurecido el acceso en la revisión KYC y reglas de uso de los proveedores de proxy.
- Correo, mensajeros con puertos no estándar, UDP. Los puertos de correo y los relés UDP de la red doméstica se consideran una violación por la prueba. Para tales tareas, es más sensato optar directamente por proxies de centros de datos o una opción de servidor, donde no hay un dispositivo doméstico que se pueda comprometer.
- Bancos, sitios gubernamentales, boletos, streaming. Estas categorías están en los ejemplos de bloqueo por defecto. Si tu tarea es una verificación legal de localización o precios en estos nichos, prepárate para solicitar una descripción del caso.
Cómo verificar al proveedor ya ahora
Los resultados de AppEsteem sobre operadores específicos aún no se han publicado, pero las preguntas de su metodología se pueden hacer a cualquier vendedor:
- ¿De dónde provienen las direcciones? ¿Aplicación opt-in, SDK, asociación con proveedores? ¿Hay una página pública sobre el consentimiento de los propietarios y cómo pueden desactivarse?
- ¿Hay un AUP publicado y una lista de categorías bloqueadas? Si no hay reglas en absoluto, no es "libertad", sino una señal de que cualquiera está operando en tu grupo.
- ¿Funcionan igual HTTP y SOCKS5? Verifica el mismo sitio a través de ambos protocolos: la diferencia en disponibilidad es un signo de protección parcheada.
- ¿Qué tan limpias son las direcciones? Ejecuta 10-20 IPs emitidas a través de verificadores de reputación y compáralas con una conexión confiable. Una alta proporción de direcciones con marcas de "proxy/bot/fraude" indica cómo se llena el grupo.
- ¿Qué pasará en caso de limpieza masiva? Pregunta de cuántas fuentes se ha formado el grupo. Un solo SDK puede significar un día hasta perder una parte significativa de las direcciones.
Para escenarios donde es importante una dirección doméstica "viva" — emisión local, verificación de publicidad, precios geográficos — elige proxies residenciales con reglas claras y rotación según la tarea, y para trabajar en cuentas con inicio de sesión, consulta de antemano con el proveedor si tal escenario está permitido.
Conclusión
La prueba de AppEsteem es el primer intento de medir a los operadores de proxy de la misma manera que a los antivirus: mediante una metodología pública, mensualmente, con evaluaciones separadas para el propietario de la dirección y para el cliente. Para la extracción honesta de datos públicos, es una buena noticia: menos direcciones sucias y vecinos delincuentes. Para el uso de múltiples cuentas y trabajo con inicios de sesión — una señal para prepararse para KYC y descripción de tareas. Se esperan los primeros resultados públicos en noviembre; hasta entonces, el mejor filtro son las mismas preguntas sobre el origen de las direcciones y las reglas que plantea la prueba misma.