Desmontando mitos: no todos los grupos de proxies rotativos constituyen una red de dispositivos reales

El mito: un conjunto de proxies rotativos es un conjunto de proxies rotativos, por lo que cualquier conjunto que cuente con suficientes direcciones IP servirá para este fin. No es así.

Imagine dos frascos de canicas: desde lejos, ambos parecen llenos, pero uno contiene réplicas idénticas y el otro, la variedad real que se encontraría en el mundo. Dos grupos pueden alternar direcciones IP en cada solicitud y, aun así, parecer completamente diferentes a los sistemas que deciden si permiten el paso de una solicitud. Lo que importa es de dónde proceden las direcciones IP, cómo se han incorporado a la piscina los dispositivos que hay detrás de ellas y cómo se presenta el tráfico una vez que llega. En esta publicación se abordan las cinco comprobaciones que distinguen una red de dispositivos real y autorizada de una piscina que solo lo parece en una página de precios.

Puntos clave

• Los sistemas antibots no solo tienen en cuenta la dirección IP: analizan la red a la que pertenece dicha dirección, la huella digital TLS del cliente y el comportamiento de la sesión.
• Amazon Web Services y Google Cloud generaron una cuarta parte del tráfico global de bots en 2025 (Cloudflare, 2025). Esa es una de las razones por las que los rangos de direcciones IP en la nube son objeto de un escrutinio especial.
• En enero de 2026, Google desmanteló una red de proxies residenciales cuyos SDK se encontraban integrados en aplicaciones, muchas de las cuales, según Google, no informaban sobre el registro de los dispositivos. Se detectó que más de 550 grupos maliciosos utilizaban los nodos de salida de la red en una sola semana (Blog de Google Cloud, 2026).
• La forma en que se construyó una piscina es una cuestión de calidad y de riesgo. Pida a cualquier proveedor una prueba de su autorización.

¿De dónde proviene el mito de que «cualquier piscina sirve»?

Esto se debe a la forma en que se comercializan los proxies. La mayoría de las páginas de precios muestran dos cifras: el tamaño del grupo y el precio por gigabyte, y ambas hacen que los grupos parezcan intercambiables. La rotación se presenta como la característica principal: nueva IP, nueva oportunidad. Ese enfoque tenía sentido cuando la principal medida de protección consistía en un simple límite de velocidad por dirección. Si se distribuyen las solicitudes entre un número suficiente de direcciones, cada una de ellas se mantiene por debajo del límite. La gestión moderna de bots tiene en cuenta mucho más que el recuento de solicitudes por IP, por lo que la lógica con la que se vendía la rotación ya no se sostiene por sí sola. Ya hemos analizado en detalle la primera cifra en Por qué un mayor número de direcciones IP no implica una mejor red de proxy. Este mito se refiere a la segunda suposición: que, una vez que las direcciones IP van cambiando, su origen deja de tener importancia.

Es importante porque la otra parte no solo cuenta las direcciones IP, sino que también las clasifica.

¿En qué consiste una comprobación de la pila antibots en un proxy rotativo?

El mapa de mercado de Massive sobre soluciones anti-bot y de gestión de accesos correspondiente al segundo trimestre de 2026 recoge 26 productos defensivos de proveedores como HUMAN Security, DataDome, Cloudflare, Akamai y Fingerprint, que abarcan la gestión de bots, los CAPTCHA, los cortafuegos perimetrales, la identificación de dispositivos y la protección de contenidos. Según nuestro recuento, el mapa incluye 5 productos de detección y mitigación de bots, 5 productos de CAPTCHA y verificación humana, 6 productos de WAF y gestión de bots en el perímetro, 5 productos de identificación de dispositivos y 5 productos contra el scraping. Entre todos estos productos, hay cuatro señales que resultan fundamentales para el tráfico de proxy.

La red a la que pertenece una dirección IP. Cada dirección IP es anunciada por una red, y los sistemas de detección saben qué redes pertenecen a los proveedores de servicios en la nube. El informe «Radar 2025» de Cloudflare reveló que Amazon Web Services y Google Cloud generaban una cuarta parte del tráfico global de bots (Cloudflare, 2025). Una solicitud procedente de un rango de direcciones IP en la nube parte de un nivel de confianza menor, independientemente de la frecuencia con la que cambie su dirección IP. Ya hemos abordado lo que esto supone para los agentes en Por qué se bloquean los agentes de IA en las direcciones IP de los centros de datos.

La huella digital TLS del cliente. Antes de que se cargue cualquier página, el cliente y el servidor negocian una conexión cifrada, y la forma en que el cliente lo hace es característica. La documentación de Cloudflare explica que las huellas digitales JA3 y JA4 «identifican a los clientes TLS en función de cómo inician las conexiones», y que la huella digital «actúa como un identificador estable en diferentes direcciones IP de destino» (Documentación de Cloudflare). Al rotar la IP, esta no cambia.

Comportamiento a lo largo de la sesión. Los sistemas de gestión de bots evalúan las solicitudes en función de su comportamiento y de su procedencia (Documentación de Cloudflare). Una sesión que salta de una ciudad a otra entre cada carga de página, o que se mueve más rápido de lo que podría hacerlo cualquier persona, llama la atención independientemente de su dirección IP.

La propia historia de la propiedad intelectual. Es razonable suponer que una dirección con un historial de tráfico abusivo parte de una confianza menor que una que no tenga ese historial. En un grupo de direcciones que cualquiera puede alquilar para cualquier fin, usted hereda todo lo que el último arrendatario haya hecho con su IP.

Al rotar el IP se cambia la dirección, pero no las señales que lo rodean:

Cinco aspectos que distinguen una red de dispositivos reales

Estas son las preguntas que conviene plantear a cualquier proveedor, incluido Massive.

1. ¿De qué tipo de propiedad intelectual se trata? Las direcciones IP de centros de datos, proveedores de servicios de Internet (ISP) y residenciales pertenecen a redes diferentes y reciben un trato distinto (véase la tabla que figura a continuación de esta lista).
2. ¿Cómo se conectaron los dispositivos? En el caso de una piscina residencial, esta es la cuestión más importante. Un dispositivo debe estar conectado a la red porque su propietario haya dado su consentimiento de forma consciente, a cambio de algo que haya comprendido.
3. ¿Puede el vendedor demostrar que se ha obtenido el consentimiento? Pida algo que pueda comprobar: una certificación de un organismo independiente reconocido, una auditoría pública o un proceso de inscripción que pueda ver. La expresión «de origen ético» en una página de destino no constituye una prueba.
4. ¿Puede controlar la ubicación, el tipo de dispositivo y las sesiones? Una red de dispositivos reales le permite elegir el país, la región o la ciudad, mantener el mismo dispositivo durante una sesión cuando un flujo de trabajo requiera continuidad y seleccionar el tipo de dispositivo. Massive, por ejemplo, admite la segmentación por tipo de dispositivo para mobile, common, y tv dispositivos (Documentos masivos).
5. ¿Qué es lo que impide el abuso? Busque controles documentados: listas de dominios bloqueados, restricciones de uso y una política de uso aceptable bien definida. Massive, por ejemplo, permite a cada cuenta bloquear hasta 1.000 dominios, y las solicitudes bloqueadas devuelven un error 452 (Documentos masivos).

Por qué el abastecimiento se ha convertido ahora en una cuestión de riesgo

En enero de 2026, el Grupo de Inteligencia sobre Amenazas de Google describió cómo había desarticulado IPIDEA, a la que calificó como una de las redes de proxies residenciales más grandes del mundo. Google informó de que muchas de las aplicaciones que analizó «no revelaban que registraban dispositivos en la red de proxies de IPIDEA» y que observó a más de 550 grupos de amenazas utilizando nodos de salida de IPIDEA en un único periodo de siete días (Blog de Google Cloud, 2026). Las medidas adoptadas por Google redujeron el número de dispositivos disponibles en la red «en millones».

Esto cambia el cálculo de la compra. Un grupo creado sin consentimiento puede reducirse de la noche a la mañana cuando una plataforma toma medidas en su contra. Sus direcciones IP pueden compartir nodos de salida con tráfico con el que nunca desearía que se asociara su empresa. Y le da a un evaluador de seguridad un motivo para detener la compra. El propio Google orientaciones para los proveedores de servicios de representación es clara: «Cualquier afirmación relativa al «suministro ético» debe ir respaldada por pruebas transparentes y verificables del consentimiento de los usuarios».

Una dirección IP residencial es necesaria, pero no suficiente

Una IP residencial solo supera la primera comprobación, la de la red. No salvará a un cliente que se comporte de forma inadecuada. Si su rastreador presenta una huella digital TLS que ningún navegador utiliza, o envía solicitudes a una velocidad superior a la que una persona podría leer, el sistema de detección lo señalará en cualquier red. El cliente y el patrón de solicitud deben superar el resto de comprobaciones. Los equipos que obtienen los mejores resultados combinan una red de dispositivos reales con un navegador real o una API de renderizado, un ritmo de solicitudes razonable y sesiones que permanecen en un mismo lugar. Nuestra guía sobre Cómo proporcionar a los agentes de IA acceso en tiempo real a la web abarca el lado del cliente.

Cómo está construida la red de Massive

La red residencial de Massive contabiliza dispositivos, no direcciones IP: más de 1 000 000 de dispositivos residenciales verificados, según el documentación pública. Los dispositivos se conectan a través de aplicaciones que utilizan el SDK de monetización de Massive, y el Documentación del SDK establece públicamente las condiciones de consentimiento: los desarrolladores de aplicaciones son responsables de garantizar que a los usuarios «se les muestren unas condiciones claras antes de que den su consentimiento» y que los usuarios «puedan hacer una pausa, dar su consentimiento o acceder a herramientas para visualizar el consumo de recursos». Ese es el proceso de inscripción al que se refiere la comprobación n.º 3, y cualquiera puede consultarlo.

Explicamos el modelo de principio a fin en Cómo funciona la red de suscripción voluntaria de Massive. SOC 2 figura en el registro público Centro de confianza a gran escala. Los clientes pueden segmentar por ubicación y tipo de dispositivo, mantener sesiones persistentes en un dispositivo y bloquear dominios a nivel de cuenta. Evalúenos según los mismos cinco criterios mencionados anteriormente y compruebe el Página de proxies residenciales por lo que ofrece la cadena.

Grupos de servidores proxy rotativos: en resumen

• Lo que importa es de dónde proceden las direcciones IP.
• La detección comprueba la red, la huella digital TLS, el comportamiento y el historial de direcciones IP.
• Una piscina construida sin autorización supone un riesgo operativo y un riesgo para la seguridad.
• Solicite a cada proveedor una prueba de consentimiento que pueda consultar por sí mismo, como los términos publicados del SDK o una certificación de terceros, así como controles documentados contra los abusos, como listas de dominios bloqueados.

Fuentes

• Cloudflare, «Resumen anual de Cloudflare Radar 2025»
• Documentación de Cloudflare, «Huella digital JA3/JA4»
• Documentación de Cloudflare, «Puntuaciones de los bots»
• Blog de Google Cloud (Grupo de Inteligencia sobre Amenazas de Google), «Desarticulando la red de proxies residenciales más grande del mundo», 2026
• Massive Docs, «Introducción a los proxies residenciales»
• Massive Docs, «Segmentación por tipo de dispositivo»
• Massive Docs, «Introducción al SDK de monetización»
• Massive, «Centro de confianza Massive»
• Massive Docs, «Bloqueo de dominios»
• Massive, Mapa de mercado de soluciones contra bots y de gestión de accesos, edición del segundo trimestre de 2026 (investigación interna, abril de 2026)