Inteligencia IPTipos de proxies: de centro de datos, ISP, residenciales y móviles comparados
Los cuatro tipos de proxies, lo que le cuesta cada uno a un atacante, lo que una consulta de IP puede y no puede mostrar de cada uno y la salida real de la API que obtuvimos el 20 de octubre de 2026.
"Proxy" es una sola palabra que hace el trabajo de al menos cuatro. Un servidor alquilado en la nube que retransmite tráfico de scraping y la smart TV de un desconocido que retransmite intentos de credential stuffing son ambos proxies, pero le cuestan cantidades distintas a un atacante, se esconden detrás de distintos niveles de daño colateral y requieren respuestas distintas por tu parte. Esta es la taxonomía práctica en los dos ejes que importan, con las consultas reales que hicimos el 20 de octubre de 2026.
Eje uno: de dónde procede la IP de salida
El eje del origen cambia tu decisión, porque determina cómo se ve la dirección en el registro y a cuántas personas inocentes afectaría un bloqueo.
Proxies de centro de datos
La salida es un servidor en un proveedor de nube o de hosting. La dirección está en un espacio cuyo ASN está clasificado como hosting, y la red nunca se diseñó para transportar tráfico de consumo.
Los proxies de centro de datos son baratos, rápidos y se venden en grandes bloques, y por eso son los más fáciles de ver. Un inicio de sesión o un checkout de consumo que llega desde un rango de centro de datos o de hosting merece una segunda mirada, porque los clientes reales rara vez compran desde un servidor en la nube. Nuestra comprobación de hosting se basa en 853 ASN de hosting seleccionados más los rangos publicados de 10 proveedores de nube, entre ellos AWS, Google Cloud y Azure.
La excepción honesta es el tráfico empresarial. La salida de VPN corporativas, las pasarelas de seguridad y los productos SASE empresariales salen legítimamente desde espacio de hosting. Es una categoría real de falsos positivos en productos B2B, y es la razón por la que una dirección de hosting por sí sola puntúa en la banda allow y no en block, como muestra la consulta de más abajo.
Proxies ISP (residenciales estáticos)
Los proxies ISP son el híbrido del que la mayoría de la gente nunca ha oído hablar. La dirección IP está registrada a nombre de un ISP de consumo, pero la máquina que responde en ella está en un centro de datos. Los operadores adquieren o alquilan espacio de direcciones de ISP de consumo y lo anuncian desde infraestructura de hosting.
El resultado es una contradicción deliberada: la velocidad y la disponibilidad de un centro de datos con los registros WHOIS de un ISP de consumo. Una comprobación que solo lee el registro ve una compañía de cable y pasa de largo. La evidencia que sí ayuda es de comportamiento: un protocolo de proxy o de VPN que responde en la dirección, o un rango en el que todos los hosts se comportan como servidores. Por eso la detección de proxies combina varias señales independientes en lugar de fiarse de un único campo del registro. El límite es que un proxy ISP discreto sin ningún servicio abierto parece lo que dice su registro.
Proxies residenciales
La salida es una conexión de consumo real en un hogar real. La dirección pertenece a un ISP legítimo, se geolocaliza en un barrio verosímil y parece exactamente la de un cliente, porque lo es. De otra persona.
Los proxies residenciales son caros, normalmente se venden por ancho de banda y no por dirección, y son la herramienta por defecto para el abuso serio porque derrotan la señal de hosting. GeoIPHub no detecta proxies residenciales. Desde la capa de IP, una línea doméstica que retransmite tráfico de proxy y esa misma línea reproduciendo una película se ven igual. Lo que ayuda es todo lo que rodea a la IP, que se explica en por qué aparecen tantos proxies residenciales en tu tráfico y en la guía desde el lado del fraude.
Proxies móviles
La salida es una conexión celular real en un operador real. Es el caso más difícil, y la dificultad tiene más que ver con el daño colateral que con la invisibilidad.
Las redes móviles están detrás de NAT a nivel de operador (RFC 6888, abril de 2013), así que una sola dirección pública puede representar a la vez a muchos abonados sin relación entre sí. Si bloqueas la dirección, los bloqueas a todos. Una consulta de IP puede decirte que la dirección pertenece a un operador móvil. No puede decirte si uno de los teléfonos que hay detrás está vendiendo su conexión. La respuesta correcta es la verificación, no el rechazo, y el detalle a nivel de campo está en cómo detectar proxies móviles.
Los cuatro comparados
| Tipo | La salida está en | Coste para el atacante | Lo que puede mostrar una consulta de IP | Daño colateral si se bloquea |
|---|---|---|---|---|
| Centro de datos | Servidor de hosting o de nube alquilado | Muy bajo | ASN de hosting y rangos de nube, claramente | Bajo (alguna salida corporativa) |
| ISP / residencial estático | Espacio de ISP de consumo, hardware de centro de datos | De bajo a moderado | Solo una contradicción, como un puerto de proxy abierto | Bajo |
| Residencial | Conexión doméstica real | Alto (se factura por GB) | Una dirección de ISP doméstico, nada más | Moderado (un hogar real) |
| Móvil | Conexión celular real detrás de CGNAT | El más alto | Una dirección de operador compartida por muchos usuarios | Grave (muchos abonados a la vez) |
Lee las dos últimas columnas juntas. Los proxies de centro de datos son fáciles de ver y seguros de bloquear. Las direcciones móviles son fáciles de asociar a un operador y peligrosas de bloquear. Las salidas residenciales son difíciles de ver e incómodas de bloquear. Un único booleano "is_proxy" lo reduce todo a una cosa, y por eso el tipo de proxy debería guiar tu respuesta.
Un servidor alquilado puntúa allow, una VPN sondeada puntúa block
Una dirección de hosting por sí sola no llega a block, y un handshake de VPN confirmado sí. Consultamos 45.33.32.156 el 20 de octubre de 2026 a las 04:34 UTC y 185.213.155.73 a las 04:35 UTC, sin clave, con curl. La primera es scanme.nmap.org, el servidor de pruebas público de Nmap en Linode, y no es un proxy: es el aspecto que tiene cualquier servidor alquilado antes de hacer nada. La segunda es un servidor VPN de Mullvad en Fráncfort. Recortado, con los valores intactos:
[
{
"ip": "45.33.32.156",
"asn": {
"asn": 63949,
"org": "AKAMAI-LINODE-AP - Akamai Connected Cloud",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"geo": { "country_code": "US", "region": "California", "city": "Fremont" },
"detection": {
"is_proxy": false,
"is_vpn": false,
"is_hosting": true,
"proxy_type": "none",
"vpn_provider": "none"
},
"scoring": {
"fraud_score": 10,
"confidence": 0.25,
"recommended_action": "allow",
"detection_methods": ["datacenter_ip"]
},
"meta": { "last_classified_at": "2026-10-20T04:34:58.422Z" }
},
{
"ip": "185.213.155.73",
"asn": {
"asn": 39351,
"org": "ESAB-AS - 31173 Services AB",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"geo": { "country_code": "DE", "region": "Hesse", "city": "Frankfurt am Main (Innenstadt I)" },
"detection": {
"is_proxy": false,
"is_vpn": true,
"is_hosting": true,
"is_anonymous": true,
"vpn_provider": "Mullvad",
"vpn_confidence": 95
},
"scoring": {
"fraud_score": 100,
"confidence": 0.7075,
"recommended_action": "block",
"detection_methods": [
"known_vpn_server",
"wireguard_open",
"datacenter_with_vpn_proxy",
"no_ptr_datacenter"
]
},
"meta": { "last_classified_at": "2026-10-20T04:35:05.699Z" }
}
]
Ambas direcciones son servidores alquilados en ASN de hosting, y ambas devuelven is_hosting: true. El servidor de Linode se queda ahí: un método, datacenter_ip, una puntuación de 10 y allow, porque alquilar un servidor no es fraude. El servidor de Mullvad añade tres motivos más. Está en la lista de servidores que publica la propia Mullvad (known_vpn_server, con vpn_confidence: 95, el valor que corresponde a una coincidencia en la lista del propio proveedor), esa lista lo marca como servidor WireGuard (wireguard_open) y las señales de hosting y de VPN se combinan (datacenter_with_vpn_proxy). La puntuación llega a 100 y block.
Las cuatro acciones corresponden a bandas fijas, así que puedes leer cualquier puntuación de la misma forma:
recommended_action | Banda de puntuación |
|---|---|
allow | De 0 a 25 |
review | De 26 a 50 |
step_up | De 51 a 75 |
block | De 76 a 100 |
Dos direcciones más que ocultan al usuario pero no son de los cuatro tipos
Las salidas de Tor y el iCloud Private Relay de Apple también ocultan a la persona que hay detrás, y ambas aparecen en los debates sobre proxies. Las consultamos en la misma sesión:
| Dirección | Qué es | Hora (UTC) | fraud_score | Acción | detection_methods |
|---|---|---|---|---|---|
104.28.46.99 | Salida de iCloud Private Relay | 04:35 | 9 | allow | relay_ip |
185.220.101.1 | Salida de Tor, Hamburgo | 04:35 | 100 | block | tor_exit, datacenter_blocklisted, no_ptr_datacenter, known_spammer |
El relay da servicio a clientes de pago de Apple, y la puntuación de las direcciones de relay tiene un tope de 60, así que nunca llegan a block. La salida de Tor procede de la lista de salidas publicada por el Tor Project, que cargamos a diario. Una salvedad sobre esa fila: no_ptr_datacenter se activó aunque el DNS inverso en vivo de la dirección resuelve hoy, una carencia en nuestros registros PTR almacenados que hemos anotado. Tor tiene su propia guía sobre cómo detectar tráfico de Tor por IP.
Eje dos: cómo se comunica el proxy
El eje del protocolo determina qué tráfico puede transportar un proxy, y es independiente de dónde esté la salida. Muchos artículos sobre "tipos de proxies" presentan "proxy HTTP" y "proxy residencial" como si fueran alternativas. Responden a preguntas distintas: un proxy residencial habla un protocolo, y SOCKS5 es un protocolo que puede funcionar en cualquiera de los cuatro.
Los proxies HTTP entienden HTTP. El cliente envía una petición completa al proxy, que puede leerla, cachearla, reescribir cabeceras y filtrarla. Uno descuidado añade cabeceras Via y X-Forwarded-For que lo delatan.
Los túneles HTTPS usan el método CONNECT (RFC 9110), que pide al proxy que abra un túnel TCP sin procesar y deje de interpretar. El proxy se convierte en una tubería, TLS va de extremo a extremo a través de él y el proxy ve los destinos, pero no el contenido.
SOCKS5 (RFC 1928, marzo de 1996) se sitúa por debajo de la capa de aplicación. Retransmite TCP y, a diferencia de sus predecesores, UDP, con soporte para autenticación, nombres de dominio e IPv6. Nunca inspecciona la carga útil ni añade cabeceras.
A los atacantes les gusta SOCKS5 porque es discreto. Los defensores pueden comprobarlo. Nuestro escáner sondea 25 puertos con handshakes de protocolo reales en 8 protocolos de VPN y proxy, entre ellos SOCKS5, SOCKS4, HTTP CONNECT y OpenVPN. El paso de sondeo se ejecuta como máximo cada 12 horas y vuelve a comprobar los aciertos anteriores cuando tienen 7 días. No tiene sondeo de WireGuard: el wireguard_open de la consulta de Mullvad procede de la propia lista de servidores de Mullvad, que etiqueta ese servidor como WireGuard. El barrido recorre redes de hosting y los rangos de servidores de proveedores de VPN, y también comprueba las direcciones que listan los feeds públicos de proxies. No recorre el espacio de ISP de consumo, así que un proxy ISP en direcciones registradas como domésticas solo obtiene un resultado de sondeo si antes lo ha nombrado un feed público.
El límite es físico. Un sondeo solo puede confirmar un proxy que acepte conexiones entrantes. Un teléfono o un TV box incorporado a una red residencial mediante una app está detrás del router del hogar, así que un sondeo desde fuera no tiene con qué hablar.
Directo, inverso y transparente
Los proxies directos (forward) actúan en nombre del cliente, y son de los que trata este artículo. Los proxies inversos actúan en nombre del servidor, como hace cualquier CDN o balanceador de carga. Los proxies transparentes interceptan el tráfico sin configuración en el cliente, como hace el portal cautivo de un hotel. Solo el tipo directo importa para el fraude.
De dónde procede realmente la oferta residencial
Las redes de proxies residenciales necesitan hogares reales, y los hogares reales rara vez se ofrecen voluntarios. Esa es la razón por la que "simplemente bloquea los proxies residenciales" es una instrucción ingenua.
El primer estudio académico serio, Resident Evil (IEEE Symposium on Security and Privacy, 2019), se infiltró en estos servicios y detectó unos 6 millones de IP de proxies residenciales en más de 230 países y más de 52.000 ISP. A pesar de que los proveedores afirmaban contar con participantes voluntarios, muchas funcionaban en hosts probablemente comprometidos, incluidos dispositivos IoT.
El FBI expuso los canales de captación en un aviso de servicio público del 12 de marzo de 2026. Nombra cinco: SDK que los servicios de proxy pagan a los desarrolladores de apps por integrar, VPN gratuitas con la incorporación enterrada en los términos, dispositivos IoT comprometidos, malware oculto en juegos gratuitos y contenido pirata, y apps de ingresos pasivos que pagan a los usuarios por su ancho de banda. Vale la pena leer dos veces la lista de dispositivos. Incluye dispositivos de streaming de TV, sticks de streaming, TV boxes Android, marcos de fotos digitales, smartphones, tablets, routers, proyectores digitales y sistemas de infoentretenimiento para vehículos instalados a posteriori.
La escala que alcanza está documentada. La botnet 911 S5, desmantelada en una operación que el Departamento de Justicia de EE. UU. anunció el 29 de mayo de 2024, estaba asociada a más de 19 millones de direcciones IP únicas, de ellas 613.841 en Estados Unidos.
Así que, cuando un proxy residencial llega a tu página de inicio de sesión, la dirección suele pertenecer a alguien que no tiene ni idea. Ese es el argumento contra los bloqueos permanentes de direcciones domésticas, y a favor de gestionar el tráfico anonimizado sin bloquear a clientes reales.
Por qué una lista de direcciones malas pierde frente a la oferta residencial
Una lista de bloqueo supone que una dirección mala vuelve, y la oferta residencial rota antes de que lo haga. Dos mediciones recientes lo muestran.
GreyNoise analizó unos 4.000 millones de sesiones entre el 29 de noviembre de 2025 y el 27 de febrero de 2026 e informó de que el 39 % de las IP únicas que atacaban el perímetro de la red procedían de conexiones domésticas a internet, mientras que esas direcciones generaron el 22 % de las sesiones. La diferencia es el hallazgo: el 78 % de las IP residenciales aparecieron solo en una o dos sesiones a lo largo de los 90 días. Una lista de reputación no puede marcar una dirección que desaparece antes de su segunda petición.
El volumen apunta en la misma dirección. Infoblox informó el 9 de junio de 2026 de que las consultas DNS mensuales a dominios de proxies residenciales pasaron de casi 400.000 millones a más de 500.000 millones, un aumento de alrededor del 25 %. También observó que más del 65 % de los clientes de su Threat Defense Cloud habían consultado dominios vinculados a redes de proxies residenciales.
La inteligencia de IP sigue funcionando sobre lo que es una dirección: hosting, VPN, Tor, relay, operador. Una lista estática de direcciones domésticas malas, no.
Lo que la capa de IP puede y no puede mostrar sobre los proxies residenciales y móviles
La capa de IP puede asociar una dirección a un tipo de red. No puede ver lo que hace un dispositivo en esa red. Para los dos tipos más difíciles, eso deja una lista corta de hechos que puedes usar:
- Las direcciones de ISP domésticos reciben el beneficio de la duda, hasta que presentan evidencias de proxy. Una línea doméstica que reconocemos por su DNS inverso residencial resta 17 puntos por el ISP y 16 por el DNS inverso. En cuanto esa misma dirección presenta evidencias de proxy, VPN o Tor, el descuento del ISP se sustituye por un motivo
residential_with_threatque suma 21,25 puntos. - Las direcciones de operadores móviles reciben un descuento menor. Una dirección de operador móvil resta 12 puntos, y un DNS inverso con aspecto de pool móvil resta 7.
- Las direcciones compartidas tienen un tope. Las direcciones de NAT a nivel de operador sin evidencias propias de proxy, VPN, Tor, botnet o abuso no pueden puntuar por encima de 50, así que, solo con la IP, como mucho llegan a
review. - Un puerto de proxy abierto es una evidencia, pero aquí rara vez está disponible. Nuestros sondeos cubren SOCKS5, SOCKS4 y HTTP CONNECT, pero solo llegan a una dirección registrada como doméstica cuando la lista un feed público de proxies. Un servicio a la escucha en esa dirección no dice nada sobre ninguna red de proxies residenciales.
Todo lo demás tiene que venir de tu lado: la velocidad por cuenta, un dispositivo nuevo en una cuenta antigua, un país de facturación que no coincide con la sesión. Para rastrear de principio a fin una dirección sospechosa, sigue el procedimiento de investigación de IP por incidente.
Adaptar tu respuesta a los tipos de proxies
El beneficio de la taxonomía es una respuesta graduada en lugar de una regla burda. Usa scoring.recommended_action como valor por defecto y ajústalo según el tipo:
- Centro de datos en una acción de consumo. Una dirección de hosting sin más puntúa en la banda
allow, como la consulta de Linode con 10. Añade tu propio contexto: bloquéala o aíslala en inicios de sesión y checkouts de consumo si tu producto lo justifica, y deja fuera la salida corporativa conocida en B2B. - ISP / residencial estático. Trátalo como de centro de datos en cuanto algo contradiga el registro. Un método de sondeo en
detection_methodslo haría, pero nuestro barrido solo llega al espacio de ISP de consumo a través de feeds públicos de proxies, así que la contradicción suele venir de tus propios datos. El registro por sí solo te dirá que es residencial. - Residencial. Normalmente no sabrás que es un proxy. Escala cuando tus propios datos lo corroboren y prefiere la verificación reforzada al rechazo, porque el hogar probablemente es una víctima.
- Móvil detrás de CGNAT. Nunca bloquees solo la dirección. Suaviza los límites de velocidad para IP compartidas, verifica al usuario y apóyate en las señales de la cuenta y del dispositivo.
- VPN y Tor. Una VPN sondeada o listada puede llegar a
block, como el servidor de Mullvad, pero una VPN por sí sola no es fraude. Quizá prefierasstep_uppara los inicios de sesión desde VPN y reservarblockpara Tor y las señales acumuladas.
La regla que subyace a las cinco: el tipo de proxy determina cuánto peso tiene la señal de red, y otra cosa tiene que cargar con el resto.
Ponle nombre al tipo de proxy antes de elegir una respuesta
La metodología documenta cómo se obtiene cada una de las señales anteriores. Todos los campos están disponibles en el plan gratuito, con 1.500 consultas al día, y la visión general de la prevención del fraude muestra cómo la puntuación alimenta una decisión. Para comprobar una dirección ahora, pásala por la prueba de detección de VPN o la comprobación de IP de centro de datos, y mira qué detection_methods se activaron antes de decidir qué tipo de proxy tienes delante.
Preguntas frecuentes
¿Cuáles son los principales tipos de proxies?
Los proxies se clasifican según dos ejes independientes. Según de dónde procede la IP de salida hay cuatro: de centro de datos (servidores alquilados en la nube o en hosting), ISP o residenciales estáticos (espacio de direcciones de ISP de consumo alojado en hardware de centro de datos), residenciales (conexiones de consumo reales en hogares reales) y móviles (conexiones celulares reales detrás del NAT del operador). Según cómo se comunica el proxy hay tres protocolos habituales: proxies HTTP, túneles HTTPS mediante el método CONNECT y SOCKS5. El primer eje determina lo que puede ver una consulta de IP y lo caro que es el proxy. El segundo determina qué tráfico puede transportar.
¿Qué diferencia hay entre un proxy de centro de datos y un proxy residencial?
Un proxy de centro de datos sale desde un servidor alquilado en un proveedor de nube o de hosting, así que la dirección está en un espacio de ASN clasificado como hosting y una consulta de IP lo muestra claramente. Un proxy residencial sale desde una conexión de consumo real en un hogar real, a menudo captada mediante el SDK de una app, una VPN gratuita, proxyware o malware, así que la dirección pertenece a un ISP legítimo y parece exactamente la de un cliente. Solo con la IP normalmente no puedes distinguir una salida de proxy residencial del hogar al que pertenece la línea, y por eso les cuesta más a los atacantes y es la opción por defecto para el abuso serio.
¿Qué es un proxy ISP?
Un proxy ISP, que a veces se vende como proxy residencial estático, es el híbrido: la dirección IP está registrada a nombre de un ISP de consumo, pero la máquina que responde en ella está en un centro de datos. Los operadores compran o alquilan espacio de direcciones de ISP de consumo y lo anuncian desde infraestructura de hosting. Una comprobación del registro ve una dirección residencial; la evidencia útil es una contradicción, como un protocolo de proxy que responde en ella.
¿Los proxies móviles son más difíciles de gestionar que los residenciales?
Sí, y la razón es el daño colateral. Los proxies móviles salen por conexiones celulares reales detrás de NAT a nivel de operador, así que una dirección puede representar a la vez a muchos abonados sin relación entre sí. Una consulta de IP puede decirte que la dirección pertenece a un operador móvil, pero no si una de las personas que hay detrás está ejecutando un proxy. Bloquear la dirección castiga a todos los que la comparten, así que una dirección móvil debería reforzar la verificación en lugar de provocar un bloqueo total.
¿Es mejor SOCKS5 que un proxy HTTP?
Resuelven problemas distintos. Un proxy HTTP entiende HTTP y puede leer y reescribir peticiones, lo que lo hace útil para caché y filtrado, pero lo limita al tráfico web. SOCKS5, definido en el RFC 1928, opera por debajo de la capa de aplicación y simplemente retransmite TCP y UDP, así que transporta cualquier protocolo y nunca inspecciona la carga útil. Los atacantes suelen preferir SOCKS5 porque filtra menos cabeceras identificativas.
El equipo detrás de la API de GeoIPHub
Escrito por el equipo de GeoIPHub, las personas que crean la API de inteligencia IP de GeoIPHub y su escáner. Los borradores se preparan con ayuda de IA y el equipo los edita; los ejemplos de la API son consultas reales contra la API en producción, salvo que se indique que son ilustrativos.
Prevención del fraude