Acquistando un proxy residenziale, in realtà stai affittando una connessione domestica di qualcun altro. Di chi esattamente e con il consenso di chi — è una domanda che nel 2026 ha smesso di essere filosofica. A gennaio, Google insieme ai partner ha smantellato la rete IPIDEA, dove gli indirizzi venivano raccolti anche attraverso programmi trojanizzati e set-top box con codice proxy nascosto. E da settembre, la società AppEsteem, che gestisce un elenco pubblico di software "ingannevoli", verifica mensilmente gli stessi operatori proxy: cosa può fare il cliente attraverso di essi con una verifica minima e se il proprietario dell'IP domestico ne soffre.
Di seguito è riportato un confronto di quattro modelli con cui gli operatori raccolgono indirizzi residenziali e un'analisi di dieci requisiti del test di AppEsteem: cosa di essi riguarda l'acquirente comune e come un operatore "responsabile" si differenzierà da uno "onnivoro" nelle tue attività.
Cosa è successo: gli operatori proxy hanno iniziato a essere testati come antivirus
AppEsteem ha registrato presso l'AMTSO (l'organizzazione che stabilisce gli standard di test per gli antivirus) una serie di test chiamata "AppEsteem 2026 Residential Proxy Operator Responsibilities Test Series". L'avviso del test è stato pubblicato il 21 settembre 2026, la data di pubblicazione dei risultati nella scheda AMTSO è il 19 novembre 2026.
Dal piano di test pubblicato (versione 1.1 dell'11 settembre):
- Il test è permanente e mensile. I primi tre martedì del mese sono prove di allenamento, i cui risultati sono visibili solo agli operatori che hanno pagato per questo servizio. Il quarto martedì è una prova ufficiale per tutti, i cui risultati vengono pubblicati gratuitamente. La prima prova ufficiale secondo il piano è il quarto martedì di settembre 2026.
- Si testa a nome del "cliente meno verificato" — un account registrato con il più basso livello di verifica consentito dall'operatore. Per alcuni è una mail e una carta, per altri già KYC.
- Si verifica ogni accesso separatamente: proxy HTTP(S), porta SOCKS5, e nel tempo anche interfacce "agent" / MCP. La ragione è esplicitamente menzionata nel piano: un operatore che blocca un sito via HTTP a volte lo consente tramite il proprio SOCKS5.
- Conseguenze: un operatore certificato che viola le promesse rischia la revisione o la revoca della certificazione; un non certificato che pubblicizza indirizzi "etici", ma li rende disponibili per abusi, rischia di finire nella lista Deceptor. I risultati e questa lista vengono trasmessi da AppEsteem ai fornitori di antivirus e a coloro che proteggono le reti aziendali.
Un dettaglio importante: la questione del consenso stesso (RPR-001, "raccolta etica") non è inclusa in questo test — AppEsteem la verifica separatamente, nell'ambito della certificazione. Il nuovo test riguarda altro: anche un indirizzo ottenuto onestamente non deve diventare uno strumento di attacco.
Quattro modelli di raccolta di IP residenziali: confronto
Secondo il rapporto del Google Threat Intelligence Group sulla rete IPIDEA e le revisioni del settore, gli indirizzi nei pool residenziali arrivano attraverso quattro principali modalità. Queste si differenziano non solo per etica, ma anche per quanto sia stabile il pool e quanto "sporchi" possano risultare gli indirizzi.
1. Applicazioni "guadagna sul traffico" (opt-in consapevole)
Una persona installa un programma che paga o accredita bonus per la condivisione della banda. Il consenso è molto chiaro: l'utente capisce perché ha installato il software. Ma è importante anche se la persona vede quale traffico passerà attraverso la sua connessione e se può disattivare la condivisione in qualsiasi momento: un consenso esplicito al momento dell'installazione non garantisce un uso onesto in seguito.
2. SDK in applicazioni comuni
Lo sviluppatore di un gioco, un'utilità o un'applicazione con contenuti integra un SDK di monetizzazione, e il dispositivo diventa un nodo di uscita. L'operatore dell'SDK paga lo sviluppatore — secondo i dati del GTIG, di solito per installazione. La qualità del consenso dipende da come viene mostrato il pannello di consenso: Infoblox nella ricerca di giugno sottolinea che il consenso è spesso nascosto nei termini di servizio, che nessuno legge. Questa è la fonte più grande e vulnerabile: il pool può scomparire in un giorno. Nel caso di IPIDEA, Google Play Protect ha iniziato a segnalare applicazioni con il suo SDK, rimuovendole e bloccando nuove installazioni su dispositivi Android certificati.
3. VPN gratuite e dispositivi con preinstallazione
Una classe separata è quella delle VPN gratuite, che funzionano effettivamente come VPN, ma includono anche il dispositivo nella rete proxy, così come set-top box non certificati e gadget Android economici con codice proxy nascosto "di fabbrica". Nel rapporto su IPIDEA sono state menzionate le applicazioni VPN Galleon VPN, Radish VPN e Aman VPN. Qui non c'è sostanzialmente consenso, e il pool vive fino alla prima pulizia della piattaforma o del firmware.
4. Trojan e botnet
La variante più oscura: il dispositivo è infettato, il proprietario non sa nulla. GTIG ha trovato 3.075 hash unici di file Windows che si collegavano ai domini di gestione di IPIDEA, inclusi binari mascherati da OneDriveSync e Windows Update. Questi indirizzi sono generalmente già esposti nelle banche dati delle minacce — e, cosa più importante per l'acquirente, accanto a te nella stessa rete operano criminali: secondo Google, in una settimana di gennaio 2026, i nodi di uscita di IPIDEA sono stati utilizzati da oltre 550 gruppi.
Tabella riassuntiva
| Modello | Consenso del proprietario IP | Stabilità del pool | Rischio di reputazione "sporca" dell'indirizzo | Rischio di pulizia improvvisa |
|---|---|---|---|---|
| Opt-in "guadagna sul traffico" | Esplicito | Medio | Sotto la media | Basso |
| SDK in applicazioni | Da esplicito a formale | Alta, finché l'SDK non viene bloccato | Medio | Medio-alto |
| VPN gratuite, set-top box con preinstallazione | Formale o assente | Bassa | Alta | Alta |
| Trojan, botnet | No | Imprevedibile | Molto alta | Molto alta |
Le valutazioni nelle ultime tre colonne sono la nostra interpretazione qualitativa basata sui casi descritti, non misurazioni. Abbiamo analizzato in dettaglio come il divieto dell'SDK sulla piattaforma colpisca il pool, nell'articolo su il divieto del proxy-SDK nei Smart TV LG.
Dieci requisiti di AppEsteem e cosa significano per l'acquirente
Il test misura il comportamento dell'operatore su dieci punti del whitepaper di AppEsteem (RPR-002 — RPR-011). Per il cliente, questi si dividono in tre gruppi.
Proteggono sia te che il proprietario dell'indirizzo
- RPR-002 — indirizzo pulito. L'operatore deve impedire in anticipo l'uso dell'IP per spam, frodi e manipolazioni, e non risolvere il problema a posteriori. Per te, questo significa meno indirizzi già contrassegnati nelle banche dati antifrode.
- RPR-003 — nessun traffico illegale, domini di malware, mercati criminali e forum con dati rubati.
- RPR-005 — traffico solo in uscita. Non è possibile indirizzare l'uscita verso la rete domestica, verso il router, verso il loopback, né aprire porte di posta e remote-desktop o UDP relay.
- RPR-010 — il programma è isolato dal dispositivo. Non legge le password, i cookie e i file del proprietario, e le tue credenziali non vengono lette durante il transito.
- RPR-011 — il software è aggiornato e protetto allo stesso modo su tutti gli ingressi.
Blocchi che il cliente noterà
- RPR-006 — categorie pericolose chiuse per impostazione predefinita per qualsiasi registrazione anonima. Nel piano del test, tra le categorie ci sono contenuti per adulti, giochi d'azzardo, siti governativi, banche, criptovalute, streaming, giochi, biglietti e posta.
- RPR-007 — i blocchi non possono essere aggirati con piccole modifiche all'indirizzo, "riflettori" o il proprio port SOCKS5 dell'operatore.
- RPR-004 — solo pagine pubbliche. Per un cliente non verificato, la connessione deve leggere ciò che il sito mostra a tutti e non trasmettere login, cookie e token per sezioni chiuse. Il test verifica su un sito di controllo gli accessi, le registrazioni, la pubblicazione e la sostituzione delle credenziali.
Trasparenza delle regole
- RPR-008 e RPR-009 — regole pubblicate (AUP) e elenco delle eccezioni con motivazioni. L'operatore può aprire l'accesso a categorie chiuse a clienti verificati, ma solo se l'eccezione è pubblicata, il cliente ha superato la verifica e il proprietario dell'indirizzo può vedere come viene utilizzata la sua connessione. Nel piano è scritto chiaramente: senza la terza condizione, la verifica dell'identità protegge "i documenti dell'operatore, non del consumatore".
Separatamente, il test rileva un errore inverso — la sovra-protezione. Se l'operatore blocca siti normali come notizie o enciclopedie, questo è considerato un fallimento: significa che i suoi blocchi non dicono nulla sulla qualità della protezione.
Cosa cambierà nelle tue attività
Se il settore inizia ad adattarsi a questo test, gli operatori "responsabili" e "onnivori" si comporteranno in modo diverso a seconda dello scenario.
- Parsing di dati pubblici (prezzi, risultati, cataloghi, recensioni). Nulla si rompe: RPR-004 consente esplicitamente di leggere ciò che il sito mostra a tutti. Il vantaggio è indirizzi più puliti e meno captcha a causa dei vicini nel pool.
- Multi-accounting, SMM, lavoro negli account. La zona più sensibile. Login, pubblicazione e cookie di sessione — esattamente ciò che RPR-004 vieta al "cliente meno verificato". Quindi, per gli operatori responsabili, tali scenari andranno in tariffe verificate con KYC e descrizione del compito. Abbiamo confrontato chi tra i grandi fornitori ha già inasprito l'accesso, nella revisione KYC e regole d'uso presso i fornitori di proxy.
- Email, messaggeri con porte non standard, UDP. Le porte di posta e UDP relay dalla rete domestica sono considerate una violazione dal test. Per tali attività, è più ragionevole prendere subito proxy di data center o una soluzione server, dove non c'è un dispositivo domestico che può essere compromesso.
- Banche, siti governativi, biglietti, streaming. Queste categorie sono negli esempi di blocco predefinito. Se il tuo obiettivo è una verifica legale della localizzazione o dei prezzi in queste nicchie, preparati a richiedere una descrizione del caso.
Come controllare il fornitore già ora
I risultati di AppEsteem per operatori specifici non sono ancora stati pubblicati, ma puoi porre domande dalla sua metodologia a qualsiasi venditore:
- Da dove provengono gli indirizzi? Applicazione opt-in, SDK, partnership con fornitori? Esiste una pagina pubblica sul consenso dei proprietari e su come possono disattivarsi?
- Esiste un AUP pubblicato e un elenco delle categorie bloccate? Se non ci sono regole, non è "libertà", ma un segnale che chiunque possa operare nel tuo pool.
- Funzionano allo stesso modo HTTP e SOCKS5? Controlla lo stesso sito attraverso entrambi i protocolli: una differenza nella disponibilità è un segno di protezione latente.
- Quanto sono puliti gli indirizzi? Esegui 10-20 IP forniti attraverso i controlli di reputazione e confrontali con una connessione fidata. Una alta percentuale di indirizzi con etichette "proxy/bot/frode" indica come si riempie il pool.
- Cosa succederà in caso di pulizia di massa? Chiedi da quanti fonti è stato raccolto il pool. Un solo SDK — un giorno fino alla perdita di una parte significativa degli indirizzi.
Per scenari in cui è importante avere un indirizzo domestico "vivo" — distribuzione locale, verifica pubblicitaria, prezzi geo-specifici — scegli proxy residenziali con regole chiare e rotazione adatta all'attività, e per il lavoro negli account con login verifica in anticipo con il fornitore se tale scenario è consentito.
Conclusione
Il test di AppEsteem è il primo tentativo di misurare gli operatori proxy allo stesso modo degli antivirus: secondo una metodologia pubblica, mensilmente, con valutazioni separate per il proprietario dell'indirizzo e per il cliente. Per un parsing onesto di dati pubblici, è una buona notizia: meno indirizzi sporchi e vicini malintenzionati. Per il multi-accounting e il lavoro con i login — un segnale di prepararsi a KYC e alla descrizione dei compiti. I primi risultati pubblici sono attesi per novembre; fino ad allora, il miglior filtro sono le stesse domande sull'origine degli indirizzi e sulle regole che pone il test stesso.