如何检查代理是否拦截您的HTTPS流量和账户数据

您已连接代理，一切正常——账户可以打开，广告可以播放。但是，您怎么知道提供商现在没有读取您的登录、Cookie和广告账户数据呢？一些不诚实的代理服务器使用“中间人攻击”（MITM）——它们替换SSL证书并悄悄解密您所有的HTTPS流量。在本文中，我们将讨论如何在5-10分钟内检查任何代理，而无需编写一行代码。

什么是通过代理的MITM攻击及其危险性

MITM是“中间人”（Man-in-the-Middle）的缩写。这是一种情况，在您和您打开的网站之间出现第三方，并读取您发送和接收的所有内容。在正常情况下，HTTPS加密可以防止这种情况：即使有人拦截数据包，他们也只能看到加密的乱码。

但代理服务器正是“中间人”。您的所有流量无论如何都会经过它。问题在于，提供商是否诚实：是简单地转发加密数据，还是解密、读取并在发送给您之前重新加密。

第二种情况称为SSL检查或SSL拦截。从技术上讲，这是可能的：代理服务器为您访问的每个网站生成伪造证书，并将其提供给您的浏览器，而不是实际的证书。浏览器“认为”它与Facebook或Wildberries直接对话——而实际上是与代理对话。

最糟糕的是——这一切都是悄无声息地发生的。没有任何警告，没有任何工作故障。账户继续正常工作，广告继续播放。只是有人在旁边悄悄读取您所做的一切。

谁在风险区：套利者、SMM和卖家

看起来，流量拦截是企业和银行的问题。但实际上，套利、SMM和电子商务的专家成为不诚实提供商的美味目标。原因很简单：他们通过代理服务器传递非常有价值的数据。

套利者和媒体买家

套利者处理数十个Facebook Ads、TikTok Ads和Google Ads账户。每个账户都可能是数千美元的广告预算。如果代理拦截会话Cookie，攻击者可以同时访问所有账户。通过被攻陷的代理窃取广告账户在黑市上是一个真实的现象。

SMM专家和代理机构

如果您通过像Dolphin Anty或AdsPower这样的反检测浏览器管理20-50个Instagram、TikTok或VK客户账户，每个配置文件的所有流量都会通过指定的代理。失去对客户账户的访问将造成声誉和财务损失，这很难弥补。

市场卖家

那些通过代理与Wildberries、Ozon或Avito合作的人，常常直接通过代理连接登录卖家个人账户。这意味着，如果提供商不诚实，登录、密码和商店数据可能会被泄露。

代理如何替换HTTPS证书——用简单的语言

当您通过HTTPS打开网站时，会发生以下情况：您的浏览器请求网站显示“身份证明”——SSL证书。证书由受信任的证书颁发机构（例如，Let's Encrypt、DigiCert、Comodo）签发。浏览器检查签名，如果一切正常，则直接与网站服务器建立加密连接。

在通过代理的MITM攻击中，方案发生变化：

1. 您的浏览器通过代理发送请求。
2. 代理服务器自己连接到facebook.com并获取真实证书。
3. 代理生成伪造的证书并将其发送给您。
4. 您的浏览器看到证书并检查其签名者。
5. 如果是未知的颁发机构——浏览器将显示警告。如果攻击者以某种方式在您的系统中安装了自己的根证书——则不会有警告。

这就是为什么重要的是永远不要安装提供商要求安装的“根证书”。这是主要的红旗——合法的代理服务永远不会要求您这样做。

通过浏览器检查：3种无工具的方法

好消息是：要检查代理是否拦截流量，不需要成为程序员。以下是三种可以直接在浏览器中使用的方法。

方法1：手动检查证书

连接到代理并打开任何大型网站——例如，facebook.com或google.com。单击地址栏左侧的锁图标。在Chrome中，点击“连接已加密”→“证书信息”。将打开一个包含证书信息的窗口。

查看“颁发者”字段。对于facebook.com，应该是类似“DigiCert SHA2 High Assurance Server CA”或类似的知名证书颁发机构。如果您看到不熟悉的名称——尤其是像“ProxyCA”、“NetFilter”、“Squid”或任何其他非标准名称——这就是拦截的迹象。

方法2：比较证书指纹

每个SSL证书都有一个唯一的“指纹”（fingerprint）——一个字符字符串，唯一标识特定证书。打开google.com而不使用代理，并记录证书的指纹（在证书窗口中——“详细信息”选项卡，“SHA-256指纹”字段）。然后启用代理并检查同一网站。指纹应该匹配。如果不同——代理正在替换证书。

方法3：检查证书链

在证书窗口中有一个“认证路径”或“Certification Path”选项卡。那里显示了链：根证书颁发机构→中间证书→网站证书。对于大型网站，根证书颁发机构通常是DigiCert、Comodo、GlobalSign、Let's Encrypt、Sectigo。如果链中出现不熟悉的根证书颁发机构——这是一个严重的警告。

通过在线服务和工具检查

除了在浏览器中手动检查外，还有一些专门的服务可以自动分析SSL连接并识别拦截迹象。以下是其中一些最方便的服务。

SSL Labs (ssllabs.com/ssltest)

Qualys SSL Labs服务允许您检查任何域的SSL证书。但对于我们的任务，更重要的是：通过代理访问badssl.com。该网站专门用于测试SSL安全性。那里有一些故意“坏”证书的页面——例如，自签名证书或主机名错误的证书。浏览器应该在这些页面上显示错误。如果您看到正常加载的页面而不是错误——代理正在干预SSL。

howsmyssl.com服务

通过代理打开howsmyssl.com。该服务将显示有关您的TLS连接的详细信息：协议版本、使用的加密算法、是否存在漏洞。如果连接通过带有SSL检查的代理，TLS会话的参数将与您浏览器的标准参数不同。

browserleaks.com服务

Browserleaks.com是一个综合的泄漏检查工具。“SSL/TLS”部分将显示您的浏览器在当前连接中使用的加密参数。将代理和不使用代理的结果进行比较。加密套件（cipher suites）之间的显著差异可能表明您与网站之间存在中介。

表格：检查工具及其显示内容

如何在Dolphin Anty、AdsPower和GoLogin中检查代理

如果您使用反检测浏览器，则检查必须在浏览器配置文件内部进行——因为每个配置文件使用自己的代理，所有账户的流量都是通过它进行的。

Dolphin Anty

在Dolphin Anty中打开所需的配置文件。启动配置文件后，在打开的浏览器中访问badssl.com/dashboard。单击“self-signed”链接——浏览器应显示证书错误警告。如果页面在没有警告的情况下打开并显示绿色锁图标——代理正在拦截流量并“修复”证书。同样，在任何网站上打开锁图标并检查证书的发布者，如上所述。

AdsPower

在AdsPower中，过程类似。启动所需代理的配置文件，打开内置浏览器并访问howsmyssl.com。注意“给定的加密套件”部分——加密套件应与您的浏览器引擎（通常是Chrome）相匹配。如果您看到不标准或过时的加密算法——这表明连接正在被代理服务器解密和重新创建。

GoLogin和Multilogin

在GoLogin和Multilogin中，添加代理时有内置的检查——但它只检查可用性和地理位置，而不检查SSL安全性。因此，在启动配置文件后，进行手动检查：访问browserleaks.com/ssl并将浏览器的JA3指纹与Chrome/Firefox的基准值进行比较。如果JA3与您浏览器的标准值不同——则您与网站之间存在中介，正在干预TLS握手。

红旗：危险代理提供商的迹象

有时不需要等待技术检查——危险提供商可以在研究服务的阶段就被识别出来。以下是一些应该引起您警惕的迹象。

🚩 要求安装根证书

这是主要的红旗。如果提供商在设置说明中要求您在系统或浏览器中安装他们的“根证书”或“CA证书”——请立即离开。企业代理（例如，在办公室）有时会这样做以监控员工，但商业代理提供商没有任何合法理由这样做。

🚩 价格过低且没有解释

住宅和移动代理是有成本的——提供商为真实的IP地址付费。如果有人以市场价格的十分之一提供住宅代理，就会产生疑问：他们是如何盈利的？其中一个答案是通过拦截流量来实现用户数据的货币化。

🚩 没有公司和司法管辖区的信息

可靠的提供商总是会提供法律实体、注册国家、联系信息。没有任何法律信息的匿名服务是一个风险。在发生事故时，您将没有人可以提出索赔。

🚩 没有明确的隐私政策（Privacy Policy）

隐私政策应明确描述：收集哪些数据，如何存储，是否传递给第三方。如果没有政策或政策模糊不清——这是一个值得考虑的理由。

🚩 要求安装第三方软件

使用代理不需要安装任何额外的软件——只需在浏览器或反检测工具的设置中输入数据（主机、端口、登录、密码）。如果提供商坚持要求安装客户端应用程序——请非常仔细地检查其声誉。

哪些类型的代理更安全以及原因

流量拦截的风险存在于任何类型的代理中——这取决于提供商，而不是技术。然而，某些类型的代理在本质上更难被攻陷。

住宅代理

住宅代理使用真实家庭用户的IP地址。流量通过真实用户的设备进行路由，这在技术上使得集中拦截变得复杂——提供商无法像控制自己的服务器那样完全控制终端节点。然而，这并不意味着完全安全：部分流量仍然通过提供商的基础设施。

移动代理

移动代理通过移动运营商的真实SIM卡工作。这些是从平台的角度来看最“活跃”的IP地址——Facebook、Instagram和TikTok对它们的信任度最高。从流量安全的角度来看，情况与住宅代理类似：一切都取决于提供商的诚实。

数据中心代理

数据中心代理是完全由提供商控制的服务器IP地址。一方面，这意味着提供商在技术上对流量拥有完全控制权。另一方面，大型数据中心提供商珍视声誉，不会进行拦截。对于不需要授权的任务（解析、价格监控），这是性价比最高的选择。

特别要提到的是，免费公共代理——用于任何有授权的账户的使用是绝对不推荐的。大多数这样的服务器是专门用于收集数据的：运营商通过拦截登录、Cookie和支付数据来获利。

使用代理的安全一般规则

• 仅使用来自信誉良好的付费提供商的代理
• 绝不要根据提供商的要求安装根证书
• 根据任务分开使用代理：一些用于授权，其他用于解析
• 在使用新代理之前检查其安全性
• 定期更改广告账户的密码并启用双因素认证
• 不要通过您不完全信任的代理登录账户
• 在SMM代理机构中为不同客户使用不同的代理

结论和安全检查清单

代理的安全性不是偏执，而是所有处理有价值账户的人的工作流程中必不可少的一部分：Facebook Ads和TikTok Ads的广告账户、Instagram的客户资料、Wildberries和Ozon的个人账户。检查SSL证书只需5分钟，但可以节省数月的工作和数千美元的广告预算。

如果您计划处理广告账户、管理社交媒体中的客户资料或在市场平台上登录——请选择具有透明政策和良好声誉的提供商。对于这些任务，住宅代理是最理想的选择——它们提供高水平的平台信任和最低的封锁风险，而可靠提供商的SSL流量永远不会被检查。