Tipos de proxy: datacenter, ISP, residencial e móvel comparados

"Proxy" é uma palavra fazendo o trabalho de pelo menos quatro. Um servidor de nuvem alugado retransmitindo tráfego de scraper e a smart TV de um desconhecido retransmitindo tentativas de credential stuffing são ambos proxies, mas custam valores diferentes a um atacante, se escondem atrás de níveis diferentes de dano colateral e exigem respostas diferentes de você. Esta é a taxonomia prática nos dois eixos que importam, com as consultas reais que fizemos em 20 de outubro de 2026.

Eixo um: de onde vem o IP de saída

O eixo da origem muda a sua decisão, porque define como o endereço aparece no registro e quantas pessoas inocentes um bloqueio atingiria.

Proxies de datacenter

A saída é um servidor em um provedor de nuvem ou de hospedagem. O endereço fica em um espaço cujo ASN é classificado como hospedagem, e a rede nunca foi pensada para transportar tráfego de consumidores.

Proxies de datacenter são baratos, rápidos e vendidos em grandes blocos, e é por isso que são os mais fáceis de ver. Um login ou checkout de consumidor vindo de uma faixa de datacenter ou de hospedagem merece uma segunda olhada, porque clientes reais raramente compram a partir de um servidor de nuvem. A nossa verificação de hospedagem usa 853 ASNs de hospedagem selecionados, além das faixas publicadas de 10 provedores de nuvem, incluindo AWS, Google Cloud e Azure.

A exceção honesta é o tráfego corporativo. Saídas de VPN corporativa, gateways de segurança e produtos SASE empresariais saem legitimamente de espaço de hospedagem. Essa é uma classe real de falsos positivos em produtos B2B, e é por isso que um endereço de hospedagem, sozinho, fica na faixa allow e não em block, como mostra a consulta abaixo.

Proxies ISP (residenciais estáticos)

Proxies ISP são o híbrido do qual a maioria das pessoas nunca ouviu falar. O endereço IP está registrado em nome de um ISP doméstico, mas a máquina que responde nele fica em um datacenter. Os operadores adquirem ou alugam espaço de endereços de ISP doméstico e o anunciam a partir de infraestrutura de hospedagem.

O resultado é uma contradição deliberada: velocidade e disponibilidade de datacenter, vestindo registros WHOIS de ISP doméstico. Uma verificação que só lê o registro vê uma empresa de TV a cabo e segue em frente. A evidência que ajuda é comportamental: um protocolo de proxy ou VPN respondendo no endereço, ou uma faixa em que todos os hosts se comportam como servidores. É por isso que a detecção de proxy empilha vários sinais independentes em vez de confiar em um único campo de registro. O limite é que um proxy ISP discreto, sem nenhum serviço aberto, parece exatamente o que o registro diz.

Proxies residenciais

A saída é uma conexão doméstica real em uma residência real. O endereço pertence a um ISP legítimo, é geolocalizado em um bairro plausível e parece exatamente um cliente, porque é um. De outra pessoa.

Proxies residenciais são caros, normalmente vendidos por largura de banda e não por endereço, e são a ferramenta padrão para abusos sérios porque derrotam o sinal de hospedagem. O GeoIPHub não detecta proxies residenciais. Na camada de IP, uma linha doméstica retransmitindo tráfego de proxy e a mesma linha transmitindo um filme parecem iguais. O que ajuda é tudo o que está em volta do IP, e isso é detalhado em por que tantos proxies residenciais aparecem no seu tráfego e no manual do lado da fraude.

Proxies móveis

A saída é uma conexão celular real em uma operadora real. Este é o caso mais difícil, e a dificuldade está mais no dano colateral do que na invisibilidade.

Redes móveis ficam atrás de NAT de nível de operadora (RFC 6888, abril de 2013), então um único endereço público pode representar ao mesmo tempo muitos assinantes sem relação entre si. Bloqueie o endereço e você bloqueia todos eles. Uma consulta de IP consegue dizer que o endereço pertence a uma operadora móvel. Não consegue dizer se um dos celulares por trás dele está vendendo a sua conexão. A resposta certa é verificação, e não rejeição, e o detalhe campo a campo está em como detectar proxies móveis.

Os quatro comparados

Leia as duas últimas colunas juntas. Proxies de datacenter são fáceis de ver e seguros de bloquear. Endereços móveis são fáceis de associar a uma operadora e perigosos de bloquear. Saídas residenciais são difíceis de ver e complicadas de bloquear. Um único booleano "is_proxy" achata tudo isso, e é por isso que o tipo de proxy deve orientar a sua resposta.

Um servidor alugado recebe allow, uma VPN sondada recebe block

Um endereço de hospedagem, sozinho, não chega a block, e um handshake de VPN confirmado chega. Consultamos 45.33.32.156 em 20 de outubro de 2026 às 04:34 UTC e 185.213.155.73 às 04:35 UTC, sem chave, com curl. O primeiro é scanme.nmap.org, o servidor público de testes do Nmap na Linode, e não é um proxy: é a cara de qualquer servidor alugado antes de fazer qualquer coisa. O segundo é um servidor da Mullvad VPN em Frankfurt. Resumido, com os valores intactos:

Os dois endereços são servidores alugados em ASNs de hospedagem, e os dois retornam is_hosting: true. O servidor da Linode para por aí: um método, datacenter_ip, pontuação 10 e allow, porque alugar um servidor não é fraude. O servidor da Mullvad acrescenta mais três motivos. Ele está na lista de servidores publicada pela própria Mullvad (known_vpn_server, com vpn_confidence: 95, o valor para uma correspondência na lista do próprio provedor), essa lista o marca como servidor WireGuard (wireguard_open), e os sinais de hospedagem e de VPN se combinam (datacenter_with_vpn_proxy). A pontuação chega a 100 e block.

As quatro ações correspondem a faixas fixas, então você pode ler qualquer pontuação da mesma forma:

Mais dois endereços que escondem o usuário, mas não são dos quatro tipos

Saídas do Tor e o iCloud Private Relay da Apple também escondem a pessoa por trás deles, e os dois aparecem em discussões sobre proxy. Nós os consultamos na mesma sessão:

O relay atende clientes pagantes da Apple, e a pontuação de endereços de relay tem teto de 60, então eles nunca chegam a block. A saída do Tor vem da lista de saídas publicada pelo Tor Project, que carregamos diariamente. Uma ressalva sobre essa linha: no_ptr_datacenter disparou, embora o DNS reverso do endereço resolva hoje, uma lacuna nos nossos registros PTR armazenados que já registramos. O Tor tem um guia próprio sobre como detectar tráfego Tor pelo IP.

Eixo dois: como o proxy se comunica

O eixo do protocolo define que tráfego um proxy consegue transportar, e é independente de onde fica a saída. Muitos artigos sobre "tipos de proxy" listam "proxy HTTP" e "proxy residencial" como se fossem alternativas. Eles respondem a perguntas diferentes: um proxy residencial fala um protocolo, e o SOCKS5 é um protocolo que pode rodar em qualquer um dos quatro.

Proxies HTTP entendem HTTP. O cliente envia uma requisição completa ao proxy, que pode lê-la, armazená-la em cache, reescrever cabeçalhos e filtrá-la. Um proxy descuidado acrescenta os cabeçalhos Via e X-Forwarded-For, que o denunciam.

Túneis HTTPS usam o método CONNECT (RFC 9110), que pede ao proxy para abrir um túnel TCP bruto e parar de interpretar. O proxy vira um cano, o TLS roda de ponta a ponta por ele, e o proxy vê os destinos, mas não o conteúdo.

SOCKS5 (RFC 1928, março de 1996) fica abaixo da camada de aplicação. Ele retransmite TCP e, ao contrário dos seus antecessores, UDP, com suporte a autenticação, nomes de domínio e IPv6. Nunca inspeciona o conteúdo e nunca acrescenta cabeçalhos.

Os atacantes gostam do SOCKS5 porque ele é silencioso. Os defensores podem testá-lo. O nosso scanner sonda 25 portas com handshakes de protocolo reais em 8 protocolos de VPN e proxy, incluindo SOCKS5, SOCKS4, HTTP CONNECT e OpenVPN. A etapa de sondagem roda no máximo a cada 12 horas e verifica de novo os resultados anteriores quando eles completam 7 dias. Ela não tem sonda de WireGuard: o wireguard_open na consulta da Mullvad veio da lista de servidores da própria Mullvad, que marca aquele servidor como WireGuard. A varredura percorre redes de hospedagem e faixas de servidores de provedores de VPN, e também verifica endereços listados em feeds públicos de proxy. Ela não percorre espaço de ISP doméstico, então um proxy ISP em endereços registrados como residenciais só recebe um resultado de sondagem se um feed público o tiver citado antes.

O limite é físico. Uma sonda só consegue confirmar um proxy que aceita conexões de entrada. Um celular ou TV box recrutado para uma rede residencial por meio de um app fica atrás do roteador da casa, então uma sonda vinda de fora não tem com quem falar.

Direto, reverso e transparente

Proxies diretos (forward) agem em nome do cliente, e são o assunto deste post. Proxies reversos agem em nome do servidor, como fazem todas as CDNs e balanceadores de carga. Proxies transparentes interceptam o tráfego sem configuração no cliente, como faz o portal cativo de um hotel. Só o tipo direto importa para fraude.

De onde vem, de fato, a oferta residencial

Redes de proxies residenciais precisam de residências reais, e residências reais raramente se oferecem. É por isso que "é só bloquear proxies residenciais" é uma instrução ingênua.

O primeiro estudo acadêmico sério, Resident Evil (IEEE Symposium on Security and Privacy, 2019), infiltrou esses serviços e detectou cerca de 6 milhões de IPs de proxies residenciais em mais de 230 países e mais de 52.000 ISPs. Apesar de os provedores afirmarem que os participantes eram voluntários, muitos rodavam em hosts provavelmente comprometidos, incluindo dispositivos IoT.

O FBI descreveu os canais de recrutamento em um comunicado de utilidade pública de 12 de março de 2026. Ele cita cinco: SDKs que serviços de proxy pagam a desenvolvedores de apps para embutir, VPNs gratuitas com a adesão escondida nos termos, dispositivos IoT comprometidos, malware escondido em jogos gratuitos e mídia pirata, e apps de renda passiva que pagam aos usuários pela largura de banda. A lista de dispositivos merece ser lida duas vezes. Ela inclui dispositivos de streaming para TV, sticks de streaming, TV boxes Android, porta-retratos digitais, smartphones, tablets, roteadores, projetores digitais e centrais multimídia veiculares de reposição.

A escala que isso alcança está documentada. A botnet 911 S5, desmantelada em uma operação anunciada pelo Departamento de Justiça dos EUA em 29 de maio de 2024, estava associada a mais de 19 milhões de endereços IP únicos, incluindo 613.841 nos Estados Unidos.

Então, quando um proxy residencial chega à sua página de login, o endereço geralmente pertence a alguém que não faz ideia disso. Esse é o argumento contra bloqueios permanentes de endereços domésticos e a favor de tratar tráfego anonimizado sem bloquear clientes reais.

Por que uma lista de endereços ruins perde para a oferta residencial

Uma blocklist pressupõe que um endereço ruim vai voltar, e a oferta residencial gira antes que isso aconteça. Duas medições recentes mostram isso.

A GreyNoise analisou cerca de 4 bilhões de sessões entre 29 de novembro de 2025 e 27 de fevereiro de 2026 e relatou que 39% dos IPs únicos que atacavam a borda da rede vinham de conexões de internet domésticas, enquanto esses endereços produziram 22% das sessões. A diferença é a descoberta: 78% dos IPs residenciais apareceram em apenas uma ou duas sessões ao longo dos 90 dias. Uma lista de reputação não consegue sinalizar um endereço que some antes da segunda requisição.

O volume aponta na mesma direção. A Infoblox relatou em 9 de junho de 2026 que as consultas DNS mensais a domínios de proxies residenciais cresceram de quase 400 bilhões para mais de 500 bilhões, um aumento de cerca de 25%. Ela também constatou que mais de 65% dos clientes do seu Threat Defense Cloud tinham consultado domínios ligados a redes de proxies residenciais.

A inteligência de IP continua funcionando sobre o que um endereço é: hospedagem, VPN, Tor, relay, operadora. Uma lista estática de endereços domésticos ruins, não.

O que a camada de IP pode e não pode mostrar sobre proxies residenciais e móveis

A camada de IP consegue associar um endereço a um tipo de rede. Não consegue ver o que um dispositivo nessa rede está fazendo. Para os dois tipos mais difíceis, isso deixa uma lista curta de fatos que você pode usar:

• Endereços de ISP doméstico recebem o benefício da dúvida, até carregarem evidência de proxy. Uma linha doméstica que reconhecemos pelo DNS reverso residencial perde 17 pontos pelo ISP e 16 pelo DNS reverso. Quando o mesmo endereço carrega evidência de proxy, VPN ou Tor, o desconto do ISP é substituído por um motivo residential_with_threat que soma 21,25 pontos.
• Endereços de operadora móvel recebem um desconto menor. Um endereço de operadora móvel perde 12 pontos, e um DNS reverso com cara de pool móvel tira mais 7.
• Endereços compartilhados têm teto. Endereços de NAT de nível de operadora sem evidência própria de proxy, VPN, Tor, botnet ou abuso não podem passar de 50, então, só pelo IP, chegam no máximo a review.
• Uma porta de proxy aberta é evidência, mas raramente está disponível aqui. As nossas sondas cobrem SOCKS5, SOCKS4 e HTTP CONNECT, mas só alcançam um endereço registrado como residencial quando um feed público de proxy o lista. Um listener nesse endereço não diz nada sobre nenhuma rede de proxies residenciais.

Todo o resto precisa vir do seu lado: velocidade por conta, um dispositivo novo em uma conta antiga, um país de cobrança que não bate com a sessão. Para rastrear um endereço suspeito de ponta a ponta, siga o procedimento de investigação de IP por incidente.

Adequando a sua resposta aos tipos de proxy

O retorno da taxonomia é uma resposta graduada em vez de uma regra única e bruta. Use scoring.recommended_action como padrão e ajuste conforme o tipo:

• Datacenter em uma ação de consumidor. Um endereço de hospedagem puro fica na faixa allow, como a consulta da Linode, com 10. Acrescente o seu próprio contexto: bloqueie ou isole esse tráfego em logins e checkouts de consumidores, se o seu produto justificar, e abra exceções para saídas corporativas conhecidas em B2B.
• ISP / residencial estático. Trate como datacenter quando algo contradisser o registro. Um método de sondagem em detection_methods faria isso, mas a nossa varredura só alcança espaço de ISP doméstico por meio de feeds públicos de proxy, então a contradição geralmente vem dos seus próprios dados. O registro, sozinho, vai dizer que é residencial.
• Residencial. Em geral você não vai saber que é um proxy. Escale com base em corroboração dos seus próprios dados e prefira verificação adicional a rejeição, porque a residência provavelmente é uma vítima.
• Móvel atrás de CGNAT. Nunca bloqueie só o endereço. Afrouxe os limites de velocidade por IP compartilhado, verifique o usuário e apoie-se em sinais de conta e de dispositivo.
• VPN e Tor. Uma VPN sondada ou listada pode chegar a block, como o servidor da Mullvad, mas uma VPN sozinha não é fraude. Você pode preferir step_up para logins via VPN e reservar block para Tor e sinais acumulados.

A regra por trás dos cinco: o tipo de proxy define quanto peso o sinal de rede carrega, e outra coisa precisa carregar o resto.

Dê nome ao tipo de proxy antes de escolher uma resposta

A metodologia documenta como cada sinal acima é coletado. Todos os campos estão disponíveis no plano gratuito, com 1.500 consultas por dia, e a visão geral de prevenção de fraude mostra como a pontuação alimenta uma decisão. Para verificar um endereço agora, use o teste de detecção de VPN ou a verificação de IP de datacenter e veja quais detection_methods dispararam antes de decidir que tipo de proxy você tem diante de si.

Perguntas frequentes

Quais são os principais tipos de proxy?

Os proxies são classificados em dois eixos independentes. Pela origem do IP de saída, há quatro: datacenter (servidores de nuvem ou de hospedagem alugados), ISP ou residencial estático (espaço de endereços de ISP doméstico hospedado em hardware de datacenter), residencial (conexões domésticas reais em residências reais) e móvel (conexões celulares reais atrás do NAT da operadora). Pela forma como o proxy se comunica, há três protocolos comuns: proxies HTTP, túneis HTTPS pelo método CONNECT e SOCKS5. O primeiro eixo define o que uma consulta de IP consegue ver e quanto o proxy custa. O segundo define que tráfego ele consegue transportar.

Qual é a diferença entre um proxy de datacenter e um proxy residencial?

Um proxy de datacenter sai de um servidor alugado em um provedor de nuvem ou de hospedagem, então o endereço fica em um espaço de ASN classificado como hospedagem e uma consulta de IP o mostra com clareza. Um proxy residencial sai de uma conexão doméstica real em uma residência real, muitas vezes recrutada por meio de um SDK de app, uma VPN gratuita, proxyware ou malware, então o endereço pertence a um ISP legítimo e parece exatamente um cliente. Só pelo IP, em geral não dá para distinguir a saída de um proxy residencial da residência dona da linha, e é por isso que ele custa mais aos atacantes e é o padrão para abusos sérios.

O que é um proxy ISP?

Um proxy ISP, às vezes vendido como proxy residencial estático, é o híbrido: o endereço IP está registrado em nome de um ISP doméstico, mas a máquina que responde nele fica em um datacenter. Os operadores compram ou alugam espaço de endereços de ISP doméstico e o anunciam a partir de infraestrutura de hospedagem. Uma verificação de registro vê um endereço residencial; a evidência útil é uma contradição, como um protocolo de proxy respondendo nele.

Proxies móveis são mais difíceis de tratar do que proxies residenciais?

Sim, e o motivo é o dano colateral. Proxies móveis saem por conexões celulares reais atrás de NAT de nível de operadora (CGNAT), então um único endereço pode representar ao mesmo tempo muitos assinantes sem relação entre si. Uma consulta de IP consegue dizer que o endereço pertence a uma operadora móvel, mas não se uma das pessoas por trás dele está rodando um proxy. Bloquear o endereço pune todos que o compartilham, então um endereço móvel deve aumentar a verificação, e não disparar um bloqueio definitivo.

SOCKS5 é melhor do que um proxy HTTP?

Eles resolvem problemas diferentes. Um proxy HTTP entende HTTP e consegue ler e reescrever requisições, o que o torna útil para cache e filtragem, mas o limita ao tráfego web. O SOCKS5, definido na RFC 1928, opera abaixo da camada de aplicação e apenas retransmite TCP e UDP, então transporta qualquer protocolo e nunca inspeciona o conteúdo. Os atacantes costumam preferir o SOCKS5 porque ele vaza menos cabeçalhos identificadores.