Una IP en 32 listas negras: por qué un proxy barato sale más caro

Configuraste tu navegador antidetect hasta el último parámetro. Canvas único, WebGL limpio, fuentes cuidadosas, husos horarios separados, cookies limpias. Aun así, la cuenta se topa con un CAPTCHA en cada paso y, al día siguiente, llega el baneo. ¿Te suena familiar? Lo primero que hacemos es culpar a la huella digital: revisamos la entropía, cambiamos la versión del navegador, modificamos el user-agent. A veces funciona. Pero a menudo el problema está en otro plano, y vale la pena investigarlo antes que los detalles de la huella.

Hay un hecho desagradable que muchos descubren a costa de su propio dinero. Un sitio web puede formarse una opinión sobre ti antes de siquiera ver tu navegador. No por cookies, ni por huella digital, ni por comportamiento. Solo por la dirección IP desde la que llega la solicitud. La verificación toma milisegundos y ocurre en la etapa más temprana del procesamiento de la conexión. Si la dirección es conocida como problemática, ya no importa qué tan limpio esté tu perfil.

En este artículo, analizaremos cómo funcionan las listas negras públicas, por qué los proxies baratos terminan en ellas durante años, en qué se diferencia fundamentalmente una IP móvil y cómo verificar tus direcciones antes de que empiecen a quemar cuentas. Escribimos con calma, con cifras reales y un ejemplo vivo de la respuesta de la API. Sin promesas de evadir plataformas específicas ni superlativos.

Por qué el baneo llega antes de lo que crees

El escenario típico es así. Levantas una sesión, abres la plataforma objetivo y, en lugar de contenido, recibes un 403 o un CAPTCHA interminable. La lógica sugiere buscar la causa en la configuración reciente del navegador. Pero desglosemos la secuencia de eventos en orden.

Cuando el navegador establece la conexión, el servidor recibe la dirección IP de origen antes de enviar un solo byte de contenido. En esta etapa, el sistema antifraude puede consultar listas de reputación internas y externas. Muchas de estas listas son públicas y se actualizan a diario. Si tu dirección aparece en ellas, el sitio ya está predispuesto a desconfiar de ti. A partir de ahí, los eventos se desarrollan de una de dos maneras.

• Desconfianza elevada. Te muestran un CAPTCHA, limitan la frecuencia de las acciones, te piden verificación por teléfono. La cuenta vive, pero cada paso se convierte en una lucha.
• Rechazo directo. Un 403 en la entrada, bloqueo inmediato del registro, shadowban del perfil recién creado. El navegador ni siquiera llega a la interacción real.

La idea clave: la huella digital se verifica más tarde. Primero, la red. Y si pasas años puliendo la huella, pero usas direcciones de un grupo común, estás optimizando la segunda etapa mientras fallas en la primera. De ahí la conclusión práctica a la que volveremos: la reputación de la IP debe verificarse antes de usarla, no después del primer baneo.

Cómo funcionan las listas negras públicas

Existe todo un ecosistema de fuentes abiertas: listas de direcciones IP que se actualizan periódicamente y se agrupan por tipo de amenaza. Originalmente se crearon para la seguridad de redes: los administradores las conectan a sus cortafuegos para bloquear escáneres, bots de spam y fuentes conocidas de ataques. Pero como las listas son públicas, cualquiera las usa, incluido el antifraude de los sitios objetivo.

Dentro de este ecosistema hay un grupo específico de fuentes que cataloga precisamente proxies abiertos, nodos de anonimización y servicios similares. Mencionemos archivos concretos para que la conversación sea precisa:

• firehol_proxies.netset — un conjunto consolidado de direcciones detectadas como proxies abiertos.
• socks_proxy.ipset — una lista de proxies SOCKS, disponible en cortes temporales de 1, 7 y 30 días.
• sslproxies.ipset — un catálogo de proxies SSL.
• tor_exits.ipset — nodos de salida de la red de anonimización.

Observa los cortes de 1/7/30 días en socks_proxy. Esto significa que la dirección no se registra una sola vez, sino con historial. Incluso si el proxy dejó de responder hoy, en el corte semanal y mensual todavía aparece. Para el antifraude, esto es conveniente: la etiqueta reciente atrapa direcciones activas, y los cortes históricos descartan a quienes intentan esperar a que pase la tormenta.

En nuestro proyecto IPGuardian agregamos todo este ecosistema. Cifras actuales para 2026: 162 fuentes de listas negras, 8 categorías, actualización diaria. La categoría «anonimizadores» se compone de 17 fuentes y contiene 4,88 millones de direcciones — es la categoría más grande de la base. Para comparar: la categoría abuse cuenta con unos 1,6 millones de direcciones, y attacks, alrededor de 497 mil. Hay más anonimizadores que abuse y attacks juntos.

En total, en todas las categorías, esto suma 7,11 millones de direcciones IP individuales más 356 mil subredes, lo que equivale a más de 2,1 mil millones de direcciones cubiertas. La fiabilidad de la actualización se mantiene en un 94,4 % de sincronizaciones exitosas al mes. No es una vitrina abstracta de números, sino el volumen de datos con el que cualquiera que conecte fuentes abiertas a su antifraude debe comparar.

Demostración: tomamos una dirección de una lista gratuita

La teoría está bien, pero veamos una respuesta real. Tomemos una dirección que está en una lista pública de proxies y verifiquémosla. La solicitud es muy simple:

curl -X POST https://ipguardian.net/api/check -H "Content-Type: application/json" -d '"1.20.254.32"'

Respuesta (en forma abreviada):

• "found": true
• {"filename": "socks_proxy.ipset", "category": "anonymizers"}
• {"filename": "socks_proxy_7d.ipset", "category": "anonymizers"}
• {"filename": "firehol_proxies.netset", "category": "anonymizers"}
• {"filename": "stopforumspam.ipset", "category": "abuse"}

Analicemos lo que vemos. El campo found: true nos dice de inmediato que la dirección es conocida. Luego viene la lista de fuentes. Las primeras tres líneas son esperables: son etiquetas de anonimizadores. La dirección figura como proxy SOCKS en el corte reciente y semanal, y también en el conjunto consolidado de proxies abiertos. Nada sorprendente: de hecho, es un proxy de una lista abierta.

Ahora mira la última línea. stopforumspam.ipset, categoría abuse. Esto ya no es «proxy». Es una etiqueta de fuente de spam. La dirección entró en la base de una plataforma que recopila datos sobre registros de spam y abusos en foros. Es decir, a través de esta IP alguien no solo navegó de forma anónima, sino que realizó acciones que recibieron la etiqueta de abuse.

Y aquí comienza la diferencia más importante, por la que vale la pena seguir leyendo.

Dos etiquetas distintas, dos destinos distintos para la cuenta

Las etiquetas en las listas negras no son equivalentes. Desde el punto de vista del antifraude, hay una gran diferencia entre «esto es un proxy» y «esto es una fuente de abusos».

Etiqueta «marcado como proxy»

La categoría anonymizers le dice al sitio: la conexión pasa por un nodo intermedio, el origen real está oculto. La reacción suele ser moderada: desconfianza elevada. Te mostrarán un CAPTCHA, te pedirán verificación, limitarán los límites. Es molesto, pero aún se puede trabajar con ello. Muchos usuarios legítimos navegan a través de puertas de enlace corporativas, y bloquear por completo ese tráfico es arriesgado para el propio sitio.

Etiqueta «marcado como spam/abuse»

Las categorías abuse y spam son otra cosa. Aquí el sitio no ve solo ocultamiento, sino un historial de acciones maliciosas desde una dirección específica. La reacción es más dura: bloqueo inmediato, rechazo del registro, baneo en la entrada. La lógica es simple: desde esta IP ya ha llegado algo malo, ¿por qué arriesgarse de nuevo?

El problema de los proxies baratos es que acumulan ambas etiquetas a la vez. A través de un proxy público o compartido, durante años pasa de todo: alguien hace scraping, alguien envía spam, alguien registra granjas de bots, alguien envía basura a los foros. Cada una de estas acciones deja una marca, y la dirección se llena de etiquetas de diferentes categorías.

Las peores direcciones de nuestra base figuran en 32 listas simultáneamente — en las categorías abuse, anonymizers, attacks y spam a la vez. Imagina que tomas una dirección así para una cuenta nueva. El sitio ve la conexión, consulta las listas en milisegundos, detecta un montón de etiquetas problemáticas y cierra la puerta antes de que tu antidetect perfectamente configurado pueda dibujar la primera página. La baratura del proxy en ese momento se traduce en una cuenta quemada, tiempo perdido en el calentamiento y, en el caso de la arbitraje, presupuesto desperdiciado.

En qué se diferencia fundamentalmente una IP móvil

Ahora el punto clave: por qué las direcciones móviles están estructuradas de otra manera. No se trata de magia, sino de la arquitectura de las redes celulares.

El operador de telecomunicaciones asigna direcciones IP a los abonados mediante la tecnología CGNAT. Detrás de una dirección pública del operador se sientan simultáneamente cientos de abonados reales — personas comunes con teléfonos inteligentes que navegan por sus feeds, pagan servicios, usan mensajeros y mercados en línea. Es tráfico humano real, diverso y legítimo.

De aquí se deriva lo principal. El operador no distribuye su dirección como un proxy abierto. No está en socks_proxy.ipset, no está en firehol_proxies.netset, no está en los catálogos de anonimizadores — simplemente porque no es un proxy público por naturaleza. Los escáneres que buscan puertos de proxy abiertos no encuentran esa dirección y no la agregan a las listas.

Además, el sitio tiene un fuerte incentivo económico para no bloquear tales direcciones por completo. Bloquear una IP móvil del operador significa cortar de golpe a cientos de clientes reales que en ese momento comparten la misma dirección. Para la plataforma, es una pérdida directa de usuarios reales y dinero. Por eso, el antifraude trata las direcciones móviles con más cuidado por definición.

Es por esto que los proxies móviles muestran una dinámica diferente al trabajar con cuentas. Estás entre tráfico real, no en el caldero común de anonimizadores con historial de abusos.

Una advertencia importante: la IP móvil no es una armadura

Aquí debemos ser honestos, y esta advertencia fortalece el material en lugar de debilitarlo. Una IP móvil también puede terminar en listas de spam o abuse. Si alguno de los abonados detrás de la misma dirección CGNAT hizo algo malo — envió spam, intentó acceder a cuentas ajenas, lanzó actividad maliciosa — la dirección recibirá una etiqueta de abuse. La categoría anonymizers probablemente la evite, pero spam/abuse es bastante posible.

De esto se deduce una conclusión práctica directa, no un final dulce de «toma móviles y duerme tranquilo». Se necesitan dos cosas:

• Verificación antes de usar. Antes de poner una dirección en uso, consúltala con las listas. Sea móvil o no, si tiene una etiqueta de abuse, es mejor saberlo antes, no después del baneo.
• Rotación. La capacidad de cambiar de dirección si la actual está manchada por la actividad de otros. Las redes móviles permiten cambiar de IP, y esto es un seguro incorporado contra los errores ajenos.

Ningún tipo de proxy ofrece una garantía del cien por ciento. La diferencia está en las probabilidades y en si tienes herramientas de control. En las direcciones móviles, la probabilidad de caer en el caldero de anonimizadores es casi nula por razones arquitectónicas, y el riesgo de abuse se gestiona con verificación y rotación.

Práctica: cómo verificar tus direcciones

Pasemos a lo más útil: cómo integrar la verificación de reputación en tu flujo de trabajo. La buena noticia: para la verificación básica no necesitas registro ni clave de API.

Verificación individual con curl

El escenario más simple: verificar una dirección antes de lanzar un perfil:

1. Envía una solicitud POST al endpoint /api/check.
2. En el cuerpo, pasa la dirección IP como una cadena en formato JSON.
3. Lee la respuesta: el campo found, la matriz sources con los nombres de los archivos y las categorías.

Comando:

curl -X POST https://ipguardian.net/api/check -H "Content-Type: application/json" -d '"TU_IP"'

Si found es false, la dirección no aparece en las listas conocidas; es una buena señal. Si es true, mira en qué categorías específicas. La etiqueta anonymizers es tolerable para muchas tareas; la etiqueta abuse o spam es motivo para dejar de lado la dirección.

Verificación por lotes de hasta 100 direcciones

Cuando tienes un grupo de decenas de direcciones, verificar una por una es incómodo. El servicio acepta hasta 100 direcciones por solicitud. La velocidad de respuesta es de 4 a 5 ms por dirección, es decir, todo el grupo de cien se verifica en cientos de milisegundos. Esto permite integrar la verificación directamente en el pipeline sin convertirlo en un cuello de botella.

Algoritmo típico de verificación por lotes:

1. Reúne la lista de direcciones que planeas usar (hasta 100 por solicitud).
2. Envíalas en una sola solicitud POST al endpoint de verificación.
3. Analiza la respuesta: para cada dirección habrá found y una lista de fuentes.
4. Filtra las direcciones con etiquetas de abuse y spam; no las dejamos pasar al trabajo.
5. Las direcciones con respuesta limpia o solo con etiquetas leves van a la rotación.

Cómo leer la respuesta

Tres campos que realmente necesitas:

• found — valor booleano. true significa que la dirección se encontró en al menos una lista.
• category — tipo de amenaza. anonymizers, abuse, spam, attacks y otras. Según la categoría, entiendes la gravedad del problema.
• filename — el nombre de la fuente específica. Útil para saber qué tan reciente es la etiqueta. Por ejemplo, socks_proxy.ipset frente a socks_proxy_7d.ipset indica una actualidad diferente.

Casos de uso: cinco escenarios prácticos

Veamos cómo la verificación de reputación se integra en tareas concretas. Para cada escenario: para quién, para qué y cómo.

Escenario 1. Verificación previa al lanzamiento en gestión de múltiples cuentas

Para quién: quienes manejan decenas y cientos de perfiles en navegadores antidetect.

Para qué: descartar direcciones manchadas antes de crear la cuenta, para no quemar perfiles calentados en una red deficiente.

Cómo: antes de vincular el proxy al perfil, pásalo por la verificación. Si ves abuse o spam, no uses esa dirección para una cuenta importante. Una regla simple ahorra horas en la recuperación de baneos. Truco: ten un pequeño script que verifique la dirección en el momento de asignarla al perfil y resalte las etiquetas problemáticas.

Escenario 2. Higiene del grupo para scraping

Para quién: especialistas en recopilación de datos.

Para qué: las direcciones con etiqueta anonymizers suelen recibir más CAPTCHAs, lo que rompe la estabilidad del scraping e infla los costos de procesarlos.

Cómo: antes de una sesión grande, verifica todo el grupo por lotes. Divide las direcciones en tres grupos: limpias (prioridad), con etiquetas leves (reserva), con abuse/spam (descartadas). Trabaja principalmente con el grupo limpio, manteniendo una velocidad de solicitudes razonable.

Escenario 3. Diagnóstico de un aumento repentino de baneos en arbitraje

Para quién: arbitrajistas de tráfico.

Para qué: cuando una combinación deja de funcionar repentinamente, es importante entender rápido si el problema es el creativo, la cuenta o la red.

Cómo: ante un aumento de baneos, verifica primero las direcciones. Si están llenas de etiquetas de abuse, ahí está la causa, no es culpa de los creativos. Esto ahorra presupuesto que de otro modo se gastaría en interminables pruebas de anuncios. Consejo de experto: registra el historial de verificaciones para ver cuándo exactamente se estropeó la dirección.

Escenario 4. Aprobación de nuevos proxies del proveedor

Para quién: todos los que compran proxies.

Para qué: verificar la calidad del grupo antes de pagar o inmediatamente después de obtener acceso.

Cómo: al obtener acceso de prueba, pasa las direcciones por la verificación por lotes. Una alta proporción de etiquetas anonymizers y abuse en el grupo es una señal de que estás pagando por un caldero común. Es un criterio objetivo en lugar de las promesas del vendedor.

Escenario 5. Rotación automática por reputación

Para quién: especialistas en automatización.

Para qué: no solo cambiar de dirección por temporizador, sino cambiarla cuando la reputación empeora.

Cómo: integra la verificación periódica de la dirección actual en tu pipeline. Tan pronto como aparezca una etiqueta de abuse (por ejemplo, otro abonado detrás del mismo CGNAT hizo algo malo), inicia la rotación. La velocidad de 4 a 5 ms por dirección permite hacerlo sin retrasos en el proceso principal.

Errores típicos y cómo evitarlos

Recopilamos los errores frecuentes que vemos en la práctica.

• Verificar la dirección solo después del baneo. Para entonces, la cuenta ya está perdida. La verificación debe ser previa al lanzamiento, no póstuma.
• Considerar la IP móvil invulnerable. Ya lo analizamos: la etiqueta de abuse es posible incluso en una dirección móvil. Verifica también los grupos móviles.
• Ignorar el nombre de la fuente. Una etiqueta en el corte semanal y una reciente tienen diferente nivel de actualidad. Mira el nombre del archivo, no solo la categoría.
• Buscar solo la baratura del grupo. El ahorro en proxies se traduce en gastos de recuperación de baneos y presupuesto de pruebas desperdiciado. Calcula el coste total.
• No separar las categorías de etiquetas. anonymizers y abuse requieren reacciones diferentes. La primera a veces se puede tolerar; la segunda, casi nunca.

Combinaciones con otras herramientas

La verificación de reputación no sustituye a las demás prácticas de higiene, sino que las complementa. Cómo encaja:

• Navegador antidetect + verificación de IP. La huella digital cubre el nivel de comportamiento y técnico; la verificación de IP, el nivel de red. Juntas cubren ambas etapas en las que el antifraude te evalúa.
• Sistema de gestión de perfiles + verificación por lotes. Asigna direcciones a los perfiles solo después de filtrarlas por reputación. La verificación de 100 direcciones por solicitud se integra fácilmente en este paso.
• Scraper + rotación por reputación. Haz que el scraper reciba solo direcciones limpias del grupo y que las dañadas se envíen automáticamente al descarte.

Comparación de enfoques: proxy barato frente a móvil con verificación

Resumamos la diferencia en un panorama claro, sin mencionar competidores específicos.

Proxy compartido o público

• A menudo está presente en los catálogos de anonimizadores (socks_proxy, firehol_proxies).
• Con frecuencia lleva etiquetas de abuse y spam debido al historial de uso por parte de cualquiera.
• Los peores ejemplares están en 32 listas a la vez.
• Más barato al principio, más caro al final por los baneos y los CAPTCHAs.

IP móvil con verificación de reputación

• Arquitectónicamente ausente de los catálogos de proxies abiertos.
• Se encuentra entre el tráfico real de abonados a través de CGNAT.
• Al sitio no le conviene bloquearla por completo: detrás hay clientes reales.
• El riesgo de etiqueta de abuse persiste, pero se gestiona con verificación y rotación.

La conclusión no es que una opción sea «mejor», sino que en el enfoque móvil las probabilidades son diferentes y hay herramientas de control. Es la diferencia entre esperar y tener un proceso gestionado.

FAQ

¿Se necesita registro para verificar una dirección?

Para la verificación básica mediante API no se requiere registro ni clave. Envías una solicitud POST y lees la respuesta.

¿Cuántas direcciones se pueden verificar en una sola solicitud?

Hasta 100 direcciones por solicitud. La velocidad de procesamiento es de 4 a 5 ms por dirección; todo el grupo se verifica en fracciones de segundo.

¿Con qué frecuencia se actualizan las listas?

A diario. La fiabilidad de la sincronización mensual es del 94,4 % de actualizaciones exitosas. En total, la base tiene 162 fuentes y 8 categorías.

¿Qué significa found: true?

La dirección se encontró en al menos una de las listas. Luego mira la matriz sources: ahí se indican las categorías y los nombres de los archivos para entender la gravedad del problema.

¿La etiqueta anonymizers es una sentencia?

No. Es una señal de desconfianza elevada: es posible que haya CAPTCHA y restricciones. Mucho más graves son las etiquetas abuse y spam, que suelen conducir al baneo directo.

¿Pueden las IP móviles entrar en listas negras?

En los catálogos de proxies abiertos, prácticamente no; esto se deduce de la arquitectura de las redes celulares. Pero en las listas de spam/abuse, una dirección móvil puede entrar si alguien de los abonados detrás del mismo CGNAT ha abusado. Por eso, la verificación y la rotación también son necesarias aquí.

¿Por qué un proxy barato acaba siendo más caro?

A través de las direcciones compartidas, durante años pasa de todo; se llenan de etiquetas de diferentes categorías. El baneo de la cuenta, el calentamiento perdido y el presupuesto de pruebas desperdiciado cuestan más que la diferencia de precio del proxy.

¿Cómo integrar la verificación en la automatización?

Envía una solicitud por lotes en la etapa de asignación de direcciones a los perfiles y verifica periódicamente las direcciones activas. Cuando aparezca una etiqueta de abuse, inicia la rotación.

¿Qué es más importante: la huella digital o la reputación de la IP?

Ambas son importantes, pero se verifican en diferentes etapas. La reputación de la IP se evalúa antes, antes de que el navegador se dibuje. Una huella perfecta no salvará si la dirección ya está en listas negras.

¿Cuántas direcciones cubre la base?

7,11 millones de IP individuales más 356 mil subredes, lo que equivale a más de 2,1 mil millones de direcciones cubiertas. La categoría más grande es la de anonimizadores, con 4,88 millones de direcciones.

Conclusiones: por dónde empezar

Reunamos todo. El baneo de una cuenta no siempre es una historia sobre la huella digital. A menudo, la causa es la reputación de la propia IP, conocida por el sitio antes de la primera solicitud. Las fuentes públicas catalogan proxies abiertos y anonimizadores, y el historial de abusos añade etiquetas de abuse y spam a las direcciones. Los proxies baratos acumulan ambos tipos de etiquetas, y los peores figuran en 32 listas a la vez.

Las IP móviles están estructuradas de otra manera: detrás de la dirección CGNAT del operador hay cientos de abonados reales, esa dirección no entra en los catálogos de proxies abiertos y al sitio no le conviene bloquearla por completo. Pero la dirección móvil tampoco es una armadura: la etiqueta de abuse es posible también aquí. Por eso, la práctica de trabajo es la misma independientemente del tipo de proxy: verificar la reputación antes de usarla y rotar cuando empeora.

¿A quién le importa especialmente? A los especialistas en gestión de múltiples cuentas, scraping, automatización y arbitraje: a todos los que trabajan con grupos de direcciones y pagan por cada cuenta quemada con tiempo y dinero.

Cómo empezar ahora mismo:

1. Toma las direcciones que usas y pásalas por la verificación de la API — sin registro ni clave. Una dirección con curl o un lote de hasta 100 direcciones por solicitud.
2. Filtra las direcciones con etiquetas de abuse y spam. Evalúa cuántas de tu grupo son realmente problemáticas.
3. Construye el proceso de modo que solo entren al trabajo direcciones verificadas y las dañadas vayan a rotación.

Si no quieres armar una combinación de herramientas separadas, la verificación de reputación ya está integrada en mobileproxy.space. Obtienes direcciones móviles y la posibilidad de compararlas con las listas dentro de un mismo flujo de trabajo — como una solución lista para esa misma tarea con la que empezamos: saber del problema antes del baneo, no después.