En achetant un proxy résidentiel, vous louez en réalité une connexion domestique d'autrui. De qui exactement et avec quel consentement — c'est une question qui, en 2026, a cessé d'être philosophique. En janvier, Google, avec ses partenaires, a démantelé le réseau IPIDEA, où les adresses étaient collectées notamment via des programmes trojanisés et des décodeurs avec un code proxy caché. Et depuis septembre, la société AppEsteem, qui tient une liste publique de logiciels « trompeurs », vérifie chaque mois les opérateurs de proxy eux-mêmes : ce que le client peut faire à travers eux avec un minimum de vérification et si le propriétaire de l'IP domestique en souffre.
Ci-dessous se trouve une comparaison de quatre modèles par lesquels les opérateurs collectent des adresses résidentielles, ainsi qu'une analyse de dix exigences du test AppEsteem : ce qui concerne l'acheteur ordinaire et en quoi un opérateur « responsable » se distinguera d'un « omnivore » dans vos tâches.
Ce qui s'est passé : les opérateurs de proxy ont commencé à être testés comme des antivirus
AppEsteem a enregistré auprès de l'AMTSO (organisation qui établit les normes de test des antivirus) une série intitulée « AppEsteem 2026 Residential Proxy Operator Responsibilities Test Series ». L'avis concernant le test a été publié le 21 septembre 2026, la date de publication des résultats dans la carte AMTSO étant le 19 novembre 2026.
Dans le plan de test publié (version 1.1 du 11 septembre) :
- Le test est permanent et mensuel. Les trois premiers mardis du mois sont des essais d'entraînement, dont les résultats ne sont visibles que par les opérateurs ayant payé pour ce service. Le quatrième mardi est un essai officiel pour tous, dont les résultats sont publiés gratuitement. Le premier essai officiel prévu est le quatrième mardi de septembre 2026.
- Testé au nom du « client le moins vérifié » — un compte enregistré avec le seuil le plus bas autorisé par l'opérateur. Pour certains, cela signifie un e-mail et une carte, pour d'autres, déjà un KYC.
- Chaque entrée est vérifiée séparément : proxy HTTP(S), port SOCKS5, et avec le temps, les interfaces « agent »/MCP. La raison est clairement indiquée dans le plan : un opérateur qui bloque un site via HTTP laisse parfois passer le même site via son propre SOCKS5.
- Conséquences : un opérateur certifié qui viole ses promesses risque un réexamen ou un retrait de son certificat ; un non-certifié qui fait la publicité d'adresses « éthiques », mais les rend disponibles pour des abus, risque d'entrer dans la liste Deceptor. AppEsteem transmet les résultats et cette liste aux fournisseurs d'antivirus et à ceux qui protègent les réseaux d'entreprise.
Un détail important : la question même du consentement (RPR-001, « collecte éthique ») n'est pas incluse dans ce test — AppEsteem la vérifie séparément, dans le cadre de la certification. Le nouveau test porte sur autre chose : même une adresse obtenue honnêtement ne doit pas devenir un outil d'attaque.
Quatre modèles de collecte d'IP résidentielles : comparaison
Selon le rapport du Google Threat Intelligence Group sur le réseau IPIDEA et les revues de l'industrie, les adresses dans les pools résidentiels sont collectées de quatre manières principales. Elles diffèrent non seulement par l'éthique, mais aussi par la stabilité du pool et par la « saleté » des adresses.
1. Applications « gagnez de l'argent avec le trafic » (opt-in conscient)
Une personne installe elle-même un programme qui paie ou attribue des bonus pour le partage de la bande passante. Le consentement est le plus explicite : l'utilisateur comprend pourquoi il a installé le logiciel. Mais ici aussi, il est important de savoir si la personne voit quel trafic passera par sa connexion et si elle peut désactiver le partage à tout moment : un consentement explicite lors de l'installation ne garantit pas une utilisation honnête par la suite.
2. SDK dans des applications ordinaires
Le développeur d'un jeu, d'un utilitaire ou d'une application de contenu intègre un SDK de monétisation, et l'appareil devient un nœud de sortie. L'opérateur du SDK paie le développeur — selon les données du GTIG, généralement pour l'installation. La qualité du consentement dépend de la manière dont l'écran de consentement est présenté : Infoblox, dans une étude de juin, note que le consentement est souvent caché dans les conditions d'utilisation, que personne ne lit. C'est la source la plus importante et la plus vulnérable : le pool peut disparaître en un jour. Dans le cas d'IPIDEA, Google Play Protect a commencé à avertir au sujet des applications avec son SDK, à les supprimer et à bloquer de nouvelles installations sur des appareils Android certifiés.
3. VPN gratuits et appareils avec préinstallation
Une catégorie à part — les VPN gratuits qui fonctionnent réellement comme des VPN, mais qui intègrent également l'appareil dans un réseau proxy, ainsi que des décodeurs non certifiés et des gadgets Android bon marché avec un code proxy caché « d'origine ». Dans le rapport sur IPIDEA, les applications VPN Galleon VPN, Radish VPN et Aman VPN sont mentionnées. Il n'y a essentiellement pas de consentement ici, et le pool vit jusqu'à la première purge de la plateforme ou du firmware.
4. Trojans et botnets
La variante la plus sombre : l'appareil est infecté, le propriétaire n'en sait rien. Le GTIG a trouvé 3 075 hachages uniques de fichiers Windows se connectant à des domaines de contrôle IPIDEA, y compris des binaires déguisés en OneDriveSync et Windows Update. Ces adresses sont généralement déjà exposées dans les bases de données de menaces — et, ce qui est plus important pour l'acheteur, des malfaiteurs travaillent à proximité via le même réseau : selon Google, au cours d'une semaine de janvier 2026, les nœuds de sortie d'IPIDEA ont été utilisés par plus de 550 groupes criminels.
Tableau récapitulatif
| Modèle | Consentement du propriétaire de l'IP | Stabilité du pool | Risque de réputation « sale » de l'adresse | Risque de purge soudaine |
|---|---|---|---|---|
| Opt-in « gagnez de l'argent avec le trafic » | Explicite | Moyenne | Inférieure à la moyenne | Faible |
| SDK dans des applications | De l'explicite au formel | Élevée, tant que le SDK n'est pas banni | Moyenne | Moyenne à élevée |
| VPN gratuits, décodeurs avec préinstallation | Formel ou absent | Faible | Élevé | Élevé |
| Trojans, botnets | Non | Imprévisible | Très élevé | Très élevé |
Les évaluations dans les trois dernières colonnes sont notre interprétation qualitative basée sur les cas décrits, et non des mesures. Nous avons examiné en détail comment l'interdiction d'un SDK sur la plateforme impacte le pool, dans un article sur l'interdiction du proxy-SDK dans les Smart TV de LG.
Dix exigences d'AppEsteem et ce qu'elles signifient pour l'acheteur
Le test mesure le comportement de l'opérateur selon dix points du livre blanc d'AppEsteem (RPR-002 — RPR-011). Pour le client, elles se divisent en trois groupes.
Protègent à la fois vous et le propriétaire de l'adresse
- RPR-002 — adresse propre. L'opérateur doit empêcher à l'avance l'utilisation de l'IP pour le spam, la fraude et les manipulations, et ne pas s'en occuper a posteriori. Pour vous, cela signifie moins d'adresses déjà marquées dans les bases de données anti-fraude.
- RPR-003 — aucun trafic illégal, domaines malveillants, plateformes criminelles et forums avec des données volées.
- RPR-005 — trafic uniquement vers l'extérieur. Il est interdit de diriger la sortie vers le réseau domestique, le routeur, le loopback, ainsi que d'ouvrir des ports de messagerie et de bureau à distance ou des relais UDP.
- RPR-010 — le programme est isolé de l'appareil. Il ne lit pas les mots de passe, les cookies et les fichiers du propriétaire, et vos identifiants ne sont pas lisibles en cours de route.
- RPR-011 — le logiciel est à jour et également protégé sur toutes les entrées.
Blocages que le client remarquera
- RPR-006 — catégories dangereuses fermées par défaut pour toute inscription anonyme. Dans le plan de test, les catégories d'exemple incluent le contenu pour adultes, les jeux d'argent, les sites gouvernementaux, les banques, la crypto, le streaming, les jeux, les billets et les e-mails.
- RPR-007 — les blocages ne peuvent pas être contournés par de petites modifications de l'adresse, un « miroir » ou le propre port SOCKS5 de l'opérateur.
- RPR-004 — uniquement des pages publiques. Pour un client non vérifié, la connexion doit lire ce que le site montre à tout le monde et ne pas transmettre des identifiants, des cookies et des jetons vers des sections privées. Le test vérifie sur un site de contrôle les connexions, les inscriptions, la publication et la substitution d'identifiants.
Transparence des règles
- RPR-008 et RPR-009 — règles publiées (AUP) et liste des exceptions avec raisons. L'opérateur peut ouvrir l'accès à des catégories fermées aux clients vérifiés, mais seulement si l'exception est publiée, que le client a passé la vérification et que le propriétaire de l'adresse peut voir comment sa connexion est utilisée. Le plan stipule clairement : sans cette troisième condition, la vérification d'identité protège « les papiers de l'opérateur, et non du consommateur ».
Le test détecte également une erreur inverse — la surprotection. Si l'opérateur bloque des sites ordinaires comme des nouvelles ou des encyclopédies, cela est considéré comme un échec : cela signifie que ses blocages ne disent rien sur la qualité de la protection.
Ce qui changera dans vos tâches
Si l'industrie commence à s'adapter à ce test, les opérateurs « responsables » et « omnivores » se comporteront différemment selon le scénario.
- Extraction de données publiques (prix, résultats, catalogues, avis). Rien ne se casse : RPR-004 autorise explicitement à lire ce que le site montre à tout le monde. Le gain — des adresses plus propres et moins de CAPTCHA à cause des voisins du pool.
- Multi-comptes, SMM, travail dans des tableaux de bord. La zone la plus sensible. Connexion, publication et cookies de session — exactement ce que RPR-004 interdit au « client le moins vérifié ». Cela signifie que chez les opérateurs responsables, de tels scénarios passeront à des tarifs vérifiés avec KYC et description de la tâche. Nous avons comparé qui parmi les grands fournisseurs a déjà durci l'accès, dans un aperçu KYC et règles d'utilisation chez les fournisseurs de proxy.
- Emails, messageries avec des ports non standards, UDP. Les ports de messagerie et les relais UDP depuis le réseau domestique sont considérés comme une violation par le test. Pour de telles tâches, il est plus raisonnable de prendre directement des proxies de datacenter ou une option serveur, où il n'y a pas d'appareil domestique qui pourrait être compromis.
- Banques, sites gouvernementaux, billets, streaming. Ces catégories figurent dans les exemples de blocage par défaut. Si votre tâche est une vérification légale de la localisation ou des prix dans ces niches, préparez-vous à demander une description de cas.
Comment vérifier un fournisseur dès maintenant
Les résultats d'AppEsteem concernant des opérateurs spécifiques n'ont pas encore été publiés, mais les questions de sa méthodologie peuvent être posées à tout vendeur :
- D'où viennent les adresses ? Application opt-in, SDK, partenariat avec des fournisseurs ? Existe-t-il une page publique sur le consentement des propriétaires et sur la façon dont ils peuvent se désactiver ?
- Y a-t-il une AUP publiée et une liste des catégories bloquées ? S'il n'y a pas de règles du tout, ce n'est pas « la liberté », mais un signal que n'importe qui peut travailler avec vous dans le pool.
- HTTP et SOCKS5 fonctionnent-ils de la même manière ? Vérifiez le même site via les deux protocoles : une différence d'accessibilité est un signe de protection bricolée.
- Quelle est la propreté des adresses ? Faites passer 10 à 20 IP fournies à travers des vérificateurs de réputation et comparez avec une connexion de confiance. Une forte proportion d'adresses marquées « proxy/bot/fraude » indique comment le pool est rempli.
- Que se passera-t-il lors d'une purge massive ? Demandez de combien de sources le pool est constitué. Un seul SDK — un jour avant de perdre une partie significative des adresses.
Pour les scénarios où une adresse domestique « vivante » est importante — délivrance locale, vérification de la publicité, prix géo — choisissez des proxies résidentiels avec des règles claires et une rotation adaptée à la tâche, et pour le travail dans des comptes avec connexion, demandez à l'avance au fournisseur si un tel scénario est autorisé.
Conclusion
Le test AppEsteem est la première tentative de mesurer les opérateurs de proxy comme des antivirus : selon une méthodologie publique, mensuellement, avec des évaluations distinctes pour le propriétaire de l'adresse et pour le client. Pour un parsing honnête de données publiques, c'est une bonne nouvelle : moins d'adresses sales et de voisins malveillants. Pour le multi-comptage et le travail avec des identifiants — un signal pour se préparer au KYC et à la description des tâches. Les premiers résultats publics sont attendus en novembre ; d'ici là, le meilleur filtre reste les mêmes questions sur l'origine des adresses et les règles que pose le test lui-même.