Ao comprar um proxy residencial, você está, na verdade, alugando a conexão doméstica de outra pessoa. De quem exatamente e com o consentimento de quem — é uma questão que, em 2026, deixou de ser filosófica. Em janeiro, o Google, junto com parceiros, desmantelou a rede IPIDEA, onde os endereços eram coletados, entre outras formas, através de programas trojanizados e dispositivos com código proxy oculto. E desde setembro, a empresa AppEsteem, que mantém uma lista pública de softwares "enganosos", verifica mensalmente os próprios operadores de proxy: o que o cliente pode fazer através deles com verificação mínima e se o proprietário do IP doméstico sofre consequências por isso.
Abaixo está uma comparação de quatro modelos que os operadores usam para coletar endereços residenciais, além de uma análise de dez requisitos do teste da AppEsteem: o que deles diz respeito ao comprador comum e como um operador "responsável" se diferenciará de um "onivoro" em suas tarefas.
O que aconteceu: operadores de proxy começaram a ser testados como antivírus
A AppEsteem registrou na AMTSO (organização que define padrões de teste para antivírus) a série "AppEsteem 2026 Residential Proxy Operator Responsibilities Test Series". O aviso sobre o teste foi publicado em 21 de setembro de 2026, e a data de publicação dos resultados no cartão AMTSO é 19 de novembro de 2026.
Do plano de teste publicado (versão 1.1 de 11 de setembro):
- O teste é contínuo e mensal. As três primeiras terças-feiras do mês são corridas de treinamento, cujos resultados são visíveis apenas para os operadores que pagaram por esse serviço. A quarta terça-feira é uma corrida de avaliação para todos, e seus resultados são publicados gratuitamente. A primeira corrida de avaliação, segundo o plano, será na quarta terça-feira de setembro de 2026.
- Testam em nome do "cliente menos verificado" — uma conta registrada com o menor nível de verificação permitido pelo operador. Para alguns, isso é apenas um e-mail e um cartão, enquanto para outros já é necessário KYC.
- Verificam cada entrada separadamente: proxies HTTP(S), porta SOCKS5, e com o tempo, interfaces "agentes"/MCP. A razão é claramente mencionada no plano: um operador que bloqueia um site via HTTP às vezes o permite através de seu próprio SOCKS5.
- Consequências: um operador certificado que violar promessas pode ter seu certificado revisto ou revogado; um não certificado que promove endereços "éticos", mas os deixa disponíveis para abusos, pode ser incluído na lista Deceptor. A AppEsteem envia os resultados e essa lista para fornecedores de antivírus e para aqueles que protegem redes corporativas.
Um detalhe importante: a própria questão do consentimento (RPR-001, "coleta ética") não está incluída neste teste — a AppEsteem verifica isso separadamente, no âmbito da certificação. O novo teste é sobre outra coisa: mesmo um endereço obtido de forma honesta não deve se tornar uma ferramenta de ataque.
Quatro modelos de coleta de IPs residenciais: comparação
De acordo com o relatório do Google Threat Intelligence Group sobre a rede IPIDEA e análises do setor, os endereços nos pools residenciais entram de quatro maneiras principais. Elas diferem não apenas em ética, mas também na estabilidade do pool e na "sujidade" dos endereços.
1. Aplicativos "ganhe com o tráfego" (opt-in consciente)
A pessoa instala um programa que paga ou credita bônus por compartilhar a conexão. O consentimento é o mais claro: o usuário entende por que instalou o software. Mas aqui também é importante saber se a pessoa vê qual tráfego passará pela sua conexão e se pode desligar o compartilhamento a qualquer momento: o consentimento explícito na instalação não garante o uso honesto depois.
2. SDK em aplicativos comuns
O desenvolvedor de um jogo, utilitário ou aplicativo de conteúdo integra um SDK de monetização, e o dispositivo se torna um nó de saída. O operador do SDK paga ao desenvolvedor — segundo dados do GTIG, geralmente por instalação. A qualidade do consentimento depende de como a tela de consentimento é apresentada: a Infoblox, em uma pesquisa de junho, observa que o consentimento muitas vezes está escondido nos termos de uso, que ninguém lê. Esta é a maior e mais vulnerável fonte: o pool pode desaparecer em um dia. No caso da IPIDEA, o Google Play Protect começou a alertar sobre aplicativos com seu SDK, removê-los e bloquear novas instalações em dispositivos Android certificados.
3. VPNs gratuitas e dispositivos com pré-instalação
Uma classe separada — VPNs gratuitas que realmente funcionam como VPN, mas também incluem o dispositivo na rede de proxy, além de dispositivos de TV não certificados e gadgets Android baratos com código proxy oculto "de fábrica". No relatório sobre a IPIDEA, foram mencionados aplicativos VPN Galleon VPN, Radish VPN e Aman VPN. Aqui, o consentimento, na verdade, não existe, e o pool vive até a primeira limpeza da plataforma ou atualização de firmware.
4. Trojans e botnets
A opção mais obscura: o dispositivo está infectado, e o proprietário não sabe de nada. O GTIG encontrou 3.075 hashes únicos de arquivos do Windows que se conectavam a domínios de controle da IPIDEA, incluindo binários que se disfarçavam como OneDriveSync e Windows Update. Esses endereços geralmente já estão expostos em bancos de ameaças — e, mais importante para o comprador, ao seu lado, na mesma rede, operam criminosos: segundo dados do Google, em uma semana de janeiro de 2026, nós de saída da IPIDEA foram usados por mais de 550 grupos.
Tabela resumida
| Modelo | Consentimento do proprietário do IP | Estabilidade do pool | Risco de reputação "suja" do endereço | Risco de limpeza repentina |
|---|---|---|---|---|
| Opt-in "ganhe com o tráfego" | Explícito | Média | Abaixo da média | Baixo |
| SDK em aplicativos | De explícito a formal | Alta, enquanto o SDK não for banido | Média | Média-alta |
| VPNs gratuitas, dispositivos com pré-instalação | Formal ou ausente | Baixa | Alta | Alta |
| Trojans, botnets | Não | Imprevisível | Muito alta | Muito alta |
As avaliações nas últimas três colunas são nossa interpretação qualitativa com base nos casos descritos, e não medições. Analisamos detalhadamente como a proibição de SDK na plataforma afeta o pool, em um artigo sobre a proibição de proxy-SDK em Smart TVs da LG.
Dez requisitos da AppEsteem e o que eles significam para o comprador
O teste mede o comportamento do operador em dez pontos do whitepaper da AppEsteem (RPR-002 — RPR-011). Para o cliente, eles se dividem em três grupos.
Protegem tanto você quanto o proprietário do endereço
- RPR-002 — endereço limpo. O operador deve evitar previamente o uso do IP para spam, fraude e manipulações, e não resolver isso posteriormente. Para você, isso significa menos endereços já marcados em bancos de antifraude.
- RPR-003 — nenhum tráfego ilegal, domínios de malware, plataformas criminosas e fóruns com dados roubados.
- RPR-005 — tráfego apenas para fora. Não é permitido direcionar a saída para a rede doméstica, para o roteador, para loopback, nem abrir portas de e-mail e de desktop remoto ou relés UDP.
- RPR-010 — o programa está isolado do dispositivo. Ele não lê senhas, cookies e arquivos do proprietário, e suas credenciais não são lidas durante o processo.
- RPR-011 — o software está atualizado e igualmente protegido em todas as entradas.
Bloqueios que o cliente notará
- RPR-006 — categorias perigosas estão fechadas por padrão para qualquer registro anônimo. No plano do teste, exemplos de categorias incluem conteúdo adulto, jogos de azar, sites governamentais, bancos, criptomoedas, streaming, jogos, ingressos e e-mail.
- RPR-007 — bloqueios não são contornados com pequenas alterações no endereço, "refletores" ou com o próprio SOCKS5 do operador.
- RPR-004 — apenas páginas públicas. Para um cliente não verificado, a conexão deve ler o que o site mostra a todos e não transmitir logins, cookies e tokens para seções fechadas. O teste verifica em um site de controle entradas, registros, publicações e substituições de credenciais.
Transparência das regras
- RPR-008 e RPR-009 — regras publicadas (AUP) e lista de exceções com razões. O operador pode abrir acesso a categorias fechadas para clientes verificados, mas somente se a exceção for publicada, o cliente tiver passado pela verificação e o proprietário do endereço puder ver como sua conexão está sendo usada. O plano menciona claramente: sem a terceira condição, a verificação de identidade protege "os documentos do operador, e não do consumidor".
Separadamente, o teste captura um erro inverso — a supercautela. Se o operador bloqueia sites comuns como notícias ou enciclopédias, isso é considerado uma falha: significa que seus bloqueios não dizem nada sobre a qualidade da proteção.
O que mudará em suas tarefas
Se a indústria começar a se adaptar a este teste, operadores "responsáveis" e "onívoros" se comportarão de maneira diferente dependendo do cenário.
- Extração de dados públicos (preços, resultados, catálogos, avaliações). Nada quebra: o RPR-004 permite explicitamente ler o que o site mostra a todos. A vantagem — endereços mais limpos e menos CAPTCHAs devido a vizinhos no pool.
- Múltiplas contas, SMM, trabalho em painéis. A área mais sensível. Login, publicação e cookies de sessão — exatamente o que o RPR-004 proíbe para o "cliente menos verificado". Portanto, para operadores responsáveis, esses cenários serão transferidos para tarifas verificadas com KYC e descrição da tarefa. Comparamos quem dos grandes provedores já endureceu o acesso, no relatório KYC e regras de uso de provedores de proxy.
- E-mail, mensageiros com portas não padrão, UDP. Portas de e-mail e relés UDP da rede doméstica são considerados uma violação pelo teste. Para essas tarefas, é mais sensato optar por proxies de datacenter ou uma versão de servidor, onde não há dispositivo doméstico que possa ser comprometido.
- Bancos, sites governamentais, ingressos, streaming. Essas categorias estão entre os exemplos de bloqueio padrão. Se sua tarefa é uma verificação legal de localização ou preços nesses nichos, prepare-se para solicitar uma descrição do caso.
Como verificar o provedor já agora
Os resultados da AppEsteem para operadores específicos ainda não foram publicados, mas você pode fazer as perguntas de sua metodologia a qualquer vendedor:
- De onde vêm os endereços? Aplicativo opt-in, SDK, parceria com provedores? Existe uma página pública sobre o consentimento dos proprietários e como eles podem se desconectar?
- Há um AUP publicado e uma lista de categorias bloqueadas? Se não houver regras, isso não é "liberdade", mas um sinal de que qualquer um pode estar operando ao seu lado no pool.
- HTTP e SOCKS5 funcionam igualmente? Verifique o mesmo site através de ambos os protocolos: a diferença na disponibilidade é um sinal de proteção improvisada.
- Quão limpos são os endereços? Passe 10–20 IPs fornecidos por verificadores de reputação e compare com uma conexão confiável. Uma alta proporção de endereços com marcas de "proxy/bot/fraude" indica como o pool está sendo preenchido.
- O que acontecerá em uma limpeza em massa? Pergunte de quantas fontes o pool foi formado. Um único SDK pode significar um dia até a perda de uma parte significativa dos endereços.
Para cenários onde um endereço doméstico "vivo" é importante — entrega local, verificação de anúncios, preços geográficos — escolha proxies residenciais com regras claras e rotação adequada para a tarefa, e para trabalho em contas com login, verifique com o provedor se tal cenário é permitido.
Conclusão
O teste da AppEsteem é a primeira tentativa de medir operadores de proxy da mesma forma que os antivírus: com uma metodologia pública, mensalmente, com avaliações separadas para o proprietário do endereço e para o cliente. Para a extração honesta de dados públicos, isso é uma boa notícia: menos endereços sujos e vizinhos criminosos. Para múltiplas contas e trabalho com logins — um sinal para se preparar para KYC e descrição das tarefas. Os primeiros resultados públicos são esperados em novembro; até lá, o melhor filtro são as mesmas perguntas sobre a origem dos endereços e as regras que o teste propõe.