Proxy avec mot de passe sans authentification : passerelle locale

Vous avez acheté un proxy, reçu une chaîne de type login:password@host:port, et le programme demande seulement « adresse et port ». Une situation familière : Chrome avec le drapeau --proxy-server, les paramètres système de Windows et Android, un ancien parseur, Selenium Grid, un utilitaire sans champ pour le mot de passe. La solution est la même depuis des années — un passerelle locale : un petit proxy sur votre propre machine, qui accepte les connexions sans mot de passe et insère lui-même le login lors de la connexion au vrai proxy. Nous examinons quatre outils éprouvés, les commandes pour chacun et les erreurs sur lesquelles on perd souvent du temps et de l'argent.

Pourquoi les programmes « ne comprennent pas » les proxies avec mot de passe

Il existe deux façons de s'authentifier auprès du fournisseur de proxy : par login et mot de passe (Basic Auth) ou par liste blanche d'IP. La deuxième option élimine le problème, mais ne fonctionne que si vous avez une IP externe fixe — l'internet domestique et le réseau mobile n'en ont souvent pas, et pour les fonctions cloud, elle change à chaque lancement. Nous avons comparé en détail les deux méthodes dans un guide sur l'authentification des proxies.

Avec un login et un mot de passe, nous rencontrons les limitations des programmes eux-mêmes :

Chrome et Chromium. Le drapeau --proxy-server selon la documentation de Chromium accepte le schéma, l'hôte et le port (par exemple, --proxy-server="foopy:8080") — il n'y a pas de champ pour les identifiants dans cette syntaxe. Dans une fenêtre de navigateur normale, une boîte de dialogue avec le mot de passe s'affichera, mais en mode headless et dans les tests automatisés, personne ne peut la remplir.
Paramètres système. Dans la configuration manuelle du proxy de Windows et dans les paramètres Wi-Fi de la plupart des firmwares Android, il n'y a que l'hôte et le port. Le mot de passe sera demandé par une application spécifique, ou il n'y a nulle part où le saisir.
Logiciels anciens et faits maison. De nombreux utilitaires et bibliothèques prennent en charge les proxies, mais sans authentification, ou échouent sur des caractères spéciaux dans le mot de passe.
Programmes sans support de proxy du tout. Des utilitaires en ligne de commande qui ne lisent ni les variables d'environnement, ni les paramètres.

Le passerelle locale couvre tous les quatre cas : le programme voit le proxy 127.0.0.1:8080 sans mot de passe, et le passerelle redirige le trafic vers le fournisseur avec le login.

Comment fonctionne le schéma

Sur votre machine (ou VPS où fonctionne le parseur), un léger serveur proxy est lancé et écoute un port local, par exemple 127.0.0.1:8080.
Dans la configuration du passerelle, le proxy « parent » (upstream) est spécifié — l'adresse du fournisseur, le login et le mot de passe.
Le programme se connecte au port local sans authentification.
Le passerelle ouvre une connexion au fournisseur, passe l'authentification et redirige le trafic. Pour le site, vous apparaissez avec l'adresse IP du fournisseur, et non la vôtre.

HTTPS n'est pas déchiffré : via un proxy HTTP, le navigateur établit un tunnel par la méthode CONNECT, et le passerelle transmet simplement les octets chiffrés.

Option 1 : gost — une commande, sans configurations

gost (GO Simple Tunnel) — un fichier exécutable en Go pour Windows, macOS et Linux. C'est le moyen le plus rapide de mettre en place un passerelle. Dans gost, le drapeau -L définit le service local, -F — le nœud par lequel le trafic sera redirigé. Les identifiants sont spécifiés directement dans l'adresse du nœud :

gost -L http://127.0.0.1:8080 -F socks5://LOGIN:PASSWORD@HOST:PORT

Maintenant, n'importe quel programme peut utiliser le proxy HTTP 127.0.0.1:8080 sans mot de passe. Si le mot de passe contient des caractères spéciaux (@, :, #), la documentation de gost propose de les transmettre via le paramètre auth en base64 :

echo -n LOGIN:PASSWORD | base64
gost -L http://127.0.0.1:8080 -F socks5://HOST:PORT?auth=<résultat_base64>

Notez : si auth est spécifié, le login et le mot de passe écrits directement dans l'adresse seront ignorés par gost. Plusieurs drapeaux -F consécutifs forment une chaîne de plusieurs proxies.

Quand l'utiliser : lorsque vous devez rapidement « accorder » un navigateur ou un script avec un proxy, sans installer de paquets ni modifier des configurations.

Option 2 : 3proxy — plusieurs ports sur une seule machine

3proxy — un serveur proxy compact avec une configuration dans un seul fichier. La directive clé est parent ; selon la documentation, sa syntaxe est : parent <weight> <type> <ip> <port> <username> <password>, et elle doit être placée après la règle allow. La configuration minimale du passerelle :

auth iponly
allow * 127.0.0.1
parent 1000 http HOST PORT LOGIN PASSWORD
proxy -p8080 -i127.0.0.1

Ce qui est important ici :

auth iponly — sans mot de passe, mais avec vérification par ACL ; la règle allow * 127.0.0.1 n'autorise que les connexions locales.
Le poids 1000 signifie « toujours passer par ce parent ». Les poids inférieurs à 1000 sont utilisés par 3proxy pour rassembler des chaînes aléatoires.
Type de parent : http, connect, socks4, socks5 et autres — choisissez le protocole que vous a donné le fournisseur.
-i127.0.0.1 lie le service à l'interface locale. Par défaut, 3proxy accepte les connexions sur toutes les interfaces.

Une astuce pratique : répétez le bloc allow / parent / proxy plusieurs fois avec différents ports et différents comptes fournisseurs. Cela donne « port = proxy séparé » : 127.0.0.1:8081 — États-Unis, :8082 — Allemagne, et ainsi de suite. Ce format est compris par presque tous les logiciels, y compris ceux où les proxies sont saisis sous forme de liste « hôte:port ».

Quand l'utiliser : pour des dizaines de profils ou de flux, chacun ayant besoin de sa propre sortie.

Option 3 : Squid — si vous avez besoin de cache et de journal

Squid est plus lourd, mais offre la mise en cache, des journaux détaillés et des ACL flexibles. Le fournisseur est spécifié comme nœud parent via cache_peer, et la directive never_direct allow all interdit à Squid d'accéder à Internet directement en contournant le parent :

http_port 127.0.0.1:3128
cache_peer HOST parent PORT 0 no-query default login=LOGIN:PASSWORD
never_direct allow all

Nuances de la documentation de Squid :

Le port ICP est mis à 0 si le parent ne le supporte pas — les proxies commerciaux n'ont pas cela.
Dans login=, les séquences d'échappement d'URL sont autorisées (par exemple, %20 pour un espace), donc le caractère % dans le mot de passe doit être écrit comme %%.
Sans never_direct, Squid peut décider qu'il est plus avantageux d'accéder directement au site — et la requête partira avec votre véritable IP. Pour le parsing et le multi-comptes, c'est le pire scénario.

Quand l'utiliser : pour un bureau ou une équipe où un journal est nécessaire, qui va où, ou pour des requêtes répétées vers les mêmes ressources.

Option 4 : proxychains-ng — pour des programmes sans support de proxy

Si un programme ne sait pas gérer les proxies, proxychains-ng (Linux et macOS) peut aider. Il intercepte les appels réseau du programme et encapsule ses connexions TCP dans un proxy. Les protocoles SOCKS4a, SOCKS5 et HTTP sont pris en charge, l'authentification — login et mot de passe pour SOCKS et Basic pour HTTP. La ligne dans la section [ProxyList] a le format type ip port [login password] :

strict_chain
proxy_dns
tcp_read_time_out 15000
tcp_connect_time_out 8000

[ProxyList]
http HOST PORT LOGIN PASSWORD

Lancement : proxychains4 curl https://api.ipify.org — dans la réponse, l'IP sera celle du fournisseur, et non la vôtre.

strict_chain — tous les proxies de la liste sont utilisés dans l'ordre, et si l'un d'eux est indisponible, il n'y aura pas de connexion. Plus sûr que dynamic_chain, qui ignore les nœuds morts.
proxy_dns — les requêtes DNS passent également par le proxy. Sans cela, votre fournisseur d'accès Internet peut voir quels domaines vous demandez, et le site peut remarquer une incohérence entre la géolocalisation DNS et l'IP.
La configuration est recherchée dans l'ordre : fichier de -f ou variable PROXYCHAINS_CONF_FILE, puis ./proxychains.conf, ~/.proxychains/proxychains.conf et /etc/proxychains.conf.

Limitations mentionnées par les auteurs eux-mêmes : uniquement TCP (UDP et ICMP ne sont pas proxyés), des échecs peuvent survenir avec des programmes générant de nombreux processus, et sur macOS, la protection SIP ne permet pas d'intercepter les programmes système.

Quel outil choisir : une courte fiche

Un seul navigateur ou script, besoin « tout de suite » — gost.
Beaucoup de profils, chacun avec sa propre IP ou pays — 3proxy avec un port séparé par compte.
Équipe, journal des requêtes, cache — Squid.
Programme sans paramètres de proxy — proxychains-ng.

Cinq erreurs qui coûtent le plus cher

Le passerelle écoute toutes les interfaces. Vous avez lancé gost avec -L http://:8080 sur un VPS — et vous avez obtenu un proxy ouvert pour tout Internet sur vos gigaoctets. Les scanners de proxies ouverts les trouvent rapidement. Indiquez toujours 127.0.0.1, et si d'autres machines utilisent le passerelle — fermez le port avec un pare-feu. Nous avons écrit sur la rapidité avec laquelle les botnets trouvent des ports ouverts sur les serveurs avec des parseurs dans l'analyse du ver CARBONATO.
Fuite en dehors du passerelle. Squid sans never_direct, proxychains sans proxy_dns, un navigateur qui se connecte directement via WebRTC/UDP — tout cela révèle votre véritable IP. Vérifiez le résultat sur un service de détection d'IP et lors du test de fuites DNS.
Un seul passerelle pour tous les comptes. Si 30 profils anti-détection regardent dans un seul port avec une seule session sticky, tous auront la même IP — c'est un chemin direct vers le lien des comptes. Répartissez les profils par ports ou utilisez les paramètres de session du fournisseur.
Caractères spéciaux dans le mot de passe. @ et : perturbent l'analyse des adresses de type login:pass@host. Utilisez le paramètre base64 dans gost, l'échappement dans Squid ou générez un mot de passe sans caractères spéciaux.
Le passerelle — un saut supplémentaire et un point de défaillance. Sur la machine locale, le délai est presque nul, mais si le passerelle est situé dans un autre centre de données, chaque requête ajoute un délai réseau. Gardez le passerelle près du programme et configurez le démarrage automatique (systemd, service Windows), sinon après le redémarrage du serveur, le parseur ira silencieusement nulle part.

Quels proxies mettre derrière le passerelle

Le passerelle ne se soucie pas du type de proxy qui se trouve derrière lui, — le choix dépend de la tâche :

Proxies résidentiels — pour le parsing de sites protégés, de places de marché et de profils anti-détection : les IP des utilisateurs domestiques suscitent moins de soupçons chez les anti-bots.
Proxies mobiles — pour les réseaux sociaux et les applications, où la vérification est la plus stricte : derrière une seule IP d'un opérateur mobile (via CGNAT), de nombreux abonnés réels accèdent généralement à Internet, et le bloquer est risqué pour la plateforme elle-même.
Proxies de centres de données — pour des tâches volumineuses sans protection stricte : vérifications de disponibilité, API, tests. Moins cher par gigaoctet.

Si le proxy est avec rotation, la logique de changement d'IP est généralement définie par le fournisseur — via des paramètres dans le login ou des réglages dans le cabinet. Le passerelle ne la casse pas : il transmet le login tel quel. Il est donc pratique de mettre en place plusieurs ports avec différents paramètres de session — un avec une nouvelle IP pour chaque requête, un autre avec une IP fixe pendant 30 minutes.

Conclusion

Un proxy avec login et mot de passe convient à n'importe quel programme, si l'on place un passerelle local entre eux. gost résout la tâche avec une seule commande, 3proxy est pratique pour « port = profil », Squid — pour les équipes avec un journal, et proxychains-ng connecte même des logiciels qui ne savent rien des proxies. Les règles principales : écouter uniquement 127.0.0.1, interdire les connexions directes en contournant le parent et vérifier que le site voit l'IP du fournisseur, et non la vôtre.