Un server proxy è un intermediario tra un client e un altro server. Invece di collegarsi direttamente alla destinazione, il dispositivo invia la richiesta al proxy, che la inoltra, riceve la risposta e la restituisce al client.
È un concetto semplice, ma dietro la parola “proxy” si nascondono tecnologie con funzioni molto diverse. Un proxy può mascherare l’indirizzo IP del client rispetto al server di destinazione, filtrare richieste, applicare policy aziendali, utilizzare una cache oppure gestire il traffico destinato a uno o più server.
C’è però una distinzione da chiarire subito: usare un proxy non significa automaticamente essere anonimi, né significa che tutto il traffico venga cifrato. La sicurezza dipende dal tipo di proxy, dal protocollo utilizzato, dalla configurazione e soprattutto da chi gestisce il server intermedio.
Per capire quando serve davvero, conviene partire dal percorso compiuto da una richiesta.
Cos’è un server proxy e cosa succede quando lo usi
In una normale connessione diretta il percorso semplificato è:
client → server di destinazione
Con un proxy diventa invece:
client → proxy → server di destinazione
La specifica HTTP definisce il proxy come un intermediario scelto dal client per ricevere determinate richieste e tentare di soddisfarle inoltrandole attraverso l’interfaccia HTTP.
Se vuoi prima chiarire cosa si intende per server in generale, trovi il modello client-server nella nostra guida su cos’è un server.
Il percorso client → proxy → server di destinazione
Immagina di voler aprire una pagina web.
Senza proxy, il browser individua il server di destinazione e stabilisce direttamente la comunicazione necessaria.
Con un forward proxy configurato, il browser o il sistema operativo invia invece la richiesta al proxy. Quest’ultimo decide come gestirla: può inoltrarla verso la destinazione, rifiutarla in base a una regola, autenticarla, registrarla oppure, in alcuni casi, soddisfarla utilizzando una risposta conservata in cache.
Il server di destinazione riceve quindi una connessione proveniente dal proxy.
Questo punto è importante perché spiega buona parte degli utilizzi della tecnologia: il proxy si trova in una posizione in cui può osservare, controllare o modificare il modo in cui una richiesta attraversa la rete, entro i limiti imposti dal protocollo e dalla configurazione.
Quale indirizzo IP vede il sito e cosa il proxy può sapere di te
Quando un proxy inoltra direttamente una connessione, il sito remoto normalmente vede come sorgente l’indirizzo IP utilizzato dal proxy, non necessariamente quello originale del client.
Da qui nasce l’idea che un proxy garantisca anonimato. In realtà il mascheramento dell’IP è solo una parte del problema.
Il gestore del proxy può conoscere informazioni sulla connessione e può mantenere log. Inoltre, applicazione, cookie, autenticazione, fingerprint del browser e altri identificatori possono continuare a collegare una sessione a un utente.
Nascondere l’IP al server di destinazione non equivale quindi a rendere invisibile la propria identità digitale.
Bisogna poi distinguere il proxy dal tunnel. La specifica HTTP descrive un tunnel come un relay che, una volta stabilito, trasferisce dati tra due connessioni senza partecipare al significato dei messaggi. È il modello utilizzato, per esempio, quando un proxy HTTP permette a un client di creare attraverso CONNECT una connessione TLS verso una destinazione HTTPS.
In questo scenario, il fatto che esista un proxy non significa automaticamente che il contenuto HTTPS sia in chiaro.
A cosa serve un server proxy
Non esiste un’unica ragione per utilizzare un proxy. La sua utilità deriva proprio dalla posizione intermedia che occupa nella comunicazione.
Può essere utilizzato lato client per controllare le connessioni in uscita oppure lato server, come reverse proxy, per gestire quelle in ingresso.
Mascherare l’IP e modificare il punto di uscita della connessione
Un forward proxy può fare apparire al servizio remoto l’indirizzo IP del proxy come origine della connessione.
Questo può essere utile quando vuoi separare il client dalla destinazione, utilizzare un punto di uscita differente o eseguire verifiche da una rete diversa.
Non bisogna però trasformare questa funzione in una promessa di anonimato.
Il proxy resta un intermediario a cui stai affidando parte del percorso della comunicazione. Se il provider conserva log, utilizza infrastrutture poco trasparenti o gestisce male la sicurezza, hai semplicemente spostato la relazione di fiducia da un soggetto a un altro.
Filtrare e controllare l’accesso alla rete
Una delle applicazioni più solide dei proxy si trova nelle reti aziendali, scolastiche e amministrate.
Il traffico in uscita può essere fatto passare attraverso un punto centrale sul quale applicare regole come:
- consentire o bloccare determinate destinazioni;
- richiedere autenticazione;
- registrare eventi di rete;
- applicare policy differenti a utenti o gruppi;
- escludere determinati host dal proxy;
- impedire connessioni non conformi alla policy aziendale.
In questo contesto il proxy non serve principalmente a “navigare anonimamente”. Serve a controllare come i client della rete raggiungono risorse esterne.
Cache, banda e prestazioni: quando il proxy può davvero aiutare
Un proxy può anche includere una cache.
Se conserva una risposta riutilizzabile e arriva una richiesta equivalente, può evitare di recuperare nuovamente la stessa risorsa dal server origin.
Il principio è:
client → proxy cache → risposta già disponibile
invece di:
client → proxy → server origin → proxy → client
Questo può ridurre il traffico verso l’origine e la banda utilizzata in determinati scenari.
Non significa però che qualsiasi proxy renda Internet più veloce. L’intermediazione introduce anche un ulteriore nodo e le prestazioni effettive dipendono da distanza, capacità del proxy, congestione, latenza, cache hit e qualità dell’infrastruttura.
Un proxy lento può quindi peggiorare la connessione; un proxy cache ben posizionato può invece ridurre il lavoro necessario per alcune richieste.
Sicurezza aziendale e controllo del traffico
Nelle architetture moderne i proxy possono fare parte di sistemi più ampi di sicurezza e controllo.
Un’organizzazione può utilizzarli per applicare policy, analizzare le destinazioni richieste, centralizzare alcuni controlli e impedire che determinati client comunichino direttamente con Internet.
È però importante non confondere proxy, firewall e sistemi di sicurezza specializzati. Essere un intermediario non rende automaticamente un proxy un Web Application Firewall, un antivirus o una soluzione completa contro gli attacchi.
Il ruolo dipende dalle funzionalità concretamente implementate.
Tipi di server proxy: come distinguerli senza confonderli
Una delle parti più confuse delle guide sui proxy è la classificazione.
Il motivo è che spesso vengono messe nella stessa lista categorie definite secondo criteri differenti. “Reverse proxy”, “SOCKS5” e “proxy anonimo”, per esempio, non descrivono la stessa caratteristica.
Per capire davvero le differenze conviene separare almeno direzione del traffico, protocollo e visibilità del client.
Forward proxy e reverse proxy
Il forward proxy opera principalmente per conto del client.
Il percorso è:
client → forward proxy → Internet
È il modello a cui normalmente pensiamo quando troviamo un campo “server proxy” nelle impostazioni di rete.
Il reverse proxy, invece, si trova davanti a uno o più server:
client → reverse proxy → server backend
Per il client, il reverse proxy appare come il punto di ingresso del servizio. La specifica HTTP utilizza il termine gateway anche per descrivere questo tipo di intermediario.
Un reverse proxy può:
- inoltrare richieste verso backend differenti;
- distribuire il traffico;
- terminare connessioni TLS;
- applicare caching;
- centralizzare routing e controlli;
- evitare di esporre direttamente determinati server applicativi.
È uno degli utilizzi tipici di software come NGINX configurato come reverse proxy.
Lo stesso modello generale compare anche in servizi distribuiti come Cloudflare, anche se architettura, funzioni e scala sono molto differenti da un singolo reverse proxy installato sul proprio server.
Proxy HTTP, HTTPS e SOCKS5
Un proxy HTTP comprende la semantica del protocollo HTTP e può essere utilizzato per inoltrare richieste web.
Con HTTPS bisogna distinguere diversi scenari.
Un client può chiedere a un proxy HTTP di creare un tunnel verso la destinazione mediante il metodo CONNECT; una volta stabilito il tunnel, il client può negoziare TLS con il server remoto. In questo caso il proxy trasporta il flusso ma non deve necessariamente decifrare il contenuto HTTPS.
Esistono anche proxy aziendali configurati per effettuare ispezione TLS. È un’architettura differente: richiede gestione dei certificati e una relazione di fiducia esplicita sui dispositivi amministrati. Se vuoi approfondire il livello crittografico, nella guida su SSL e TLS spieghiamo cosa protegge realmente la connessione HTTPS.
SOCKS5 lavora invece a un livello più generico rispetto a un normale proxy HTTP.
Lo standard SOCKS Version 5, definito dalla RFC 1928, prevede supporto per applicazioni basate su TCP e introduce anche l’inoltro UDP, oltre a meccanismi di autenticazione e indirizzamento per nomi di dominio e IPv6.
Questo rende SOCKS utile per applicazioni che non si limitano alle normali richieste web.
SOCKS5, però, non significa automaticamente traffico cifrato. Eventuale cifratura deve derivare dal protocollo applicativo utilizzato sopra il proxy oppure da un altro livello di protezione.
Proxy trasparenti, anonimi e ad alto anonimato
Un’altra classificazione riguarda quanto il proxy rende visibile il client o la propria presenza.
Un interception proxy, spesso chiamato anche proxy trasparente, può intercettare o reindirizzare traffico senza che il client lo abbia selezionato esplicitamente. Questo tipo di soluzione può essere utilizzato in reti gestite e punti di accesso per applicare policy o controllare la navigazione.
Le etichette “anonimo”, “elite” o “high anonymity”, invece, vengono spesso utilizzate dai provider per descrivere il modo in cui il proxy gestisce l’indirizzo sorgente e determinati header.
Sono però termini da trattare con cautela: l’anonimato reale non può essere dedotto dalla sola etichetta commerciale del servizio.
Bisogna valutare almeno:
- informazioni trasmesse alla destinazione;
- logging;
- autenticazione;
- reputazione del provider;
- protocollo utilizzato;
- cifratura applicativa;
- eventuali identificatori lasciati dal browser o dall’applicazione.
Proxy, reverse proxy, VPN e firewall: quali sono le differenze
Proxy, VPN e firewall possono trovarsi tutti nel percorso del traffico, ma risolvono problemi diversi.
| Tecnologia | Dove opera principalmente | Funzione tipica |
|---|---|---|
| Forward proxy | davanti al client | inoltrare e controllare connessioni in uscita |
| Reverse proxy | davanti ai server | ricevere e distribuire connessioni in ingresso |
| VPN | tra dispositivo/rete e endpoint VPN | creare un tunnel protetto tra due punti |
| Firewall | perimetro o host | consentire o bloccare traffico secondo regole |
Queste categorie possono sovrapporsi in una stessa infrastruttura. Un prodotto può anche integrare più funzioni contemporaneamente.
Proxy vs VPN: la differenza essenziale
La differenza non è semplicemente “proxy leggero, VPN pesante”.
Un proxy e una VPN lavorano secondo modelli differenti.
Una VPN stabilisce normalmente un tunnel protetto fra il dispositivo — o un’intera rete — e un endpoint VPN. Il traffico destinato al tunnel viene protetto tra questi due punti.
Un proxy può invece essere configurato per una determinata applicazione, per il sistema operativo o per specifiche richieste e non introduce per definizione un tunnel cifrato equivalente a quello di una VPN.
D’altra parte, neppure la presenza di un proxy significa che HTTPS smetta di funzionare: una connessione TLS può attraversare un proxy tramite tunneling.
Per un confronto più approfondito senza duplicare qui un intero secondo argomento, trovi la guida dedicata a proxy vs VPN e alle differenze tra le due soluzioni.
Perché un reverse proxy protegge il server e non il client
Il reverse proxy viene spesso inserito nelle discussioni sulla privacy insieme ai forward proxy, ma il suo obiettivo è diverso.
Si trova davanti al servizio web.
Il browser comunica con il reverse proxy, che decide verso quale backend inoltrare la richiesta. Il server applicativo può quindi non essere raggiungibile direttamente dal pubblico.
Questo permette di centralizzare una serie di operazioni e di ridurre l’esposizione diretta dei backend.
Non significa però che un reverse proxy renda automaticamente sicura l’applicazione. Vulnerabilità del software, configurazioni errate, autenticazione debole e problemi sul backend continuano a esistere.
Come configurare un server proxy
Prima di modificare le impostazioni devi avere i dati corretti.
Normalmente servono almeno:
- hostname o indirizzo IP del proxy;
- porta;
- eventualmente username e password;
- tipo di proxy;
- eventuale URL di configurazione automatica;
- eventuali host o domini da escludere.
Se stai utilizzando una rete aziendale, questi parametri dovrebbero essere forniti dall’amministratore.
Non conviene inserire un indirizzo trovato casualmente online solo perché una guida mostra dove si trova il campo “proxy”.
Indirizzo, porta, autenticazione e script PAC
Un’impostazione manuale tipica può essere rappresentata così:
proxy.example.net:8080
dove:
proxy.example.netè l’hostname;8080è la porta.
Alcuni ambienti utilizzano invece un file PAC, Proxy Auto-Configuration.
In questo caso il dispositivo riceve l’URL di uno script che decide, in base alla destinazione richiesta, se usare un determinato proxy oppure collegarsi direttamente.
È utile nelle reti in cui non tutte le richieste devono seguire lo stesso percorso.
Un’altra opzione comune è la bypass list: un elenco di host, domini o indirizzi che devono evitare il proxy. Può servire, per esempio, per risorse interne o servizi che devono essere raggiunti direttamente.
Configurare un proxy su Windows
Nelle versioni correnti di Windows la documentazione Microsoft per la configurazione del proxy indica il percorso:
Impostazioni → Rete e Internet → Proxy
Da qui puoi utilizzare tre modalità principali:
- rilevamento automatico;
- script di configurazione;
- configurazione manuale.
Per la configurazione manuale devi attivare l’opzione dedicata e inserire indirizzo del proxy e porta.
Windows permette anche di specificare eccezioni per siti che devono evitare il proxy e di decidere se utilizzarlo per gli indirizzi locali della intranet.
Configurare un proxy su macOS
Su macOS il percorso corrente indicato dalla documentazione Apple sulle impostazioni proxy è:
menu Apple → Impostazioni di Sistema → Rete → servizio di rete → Dettagli → Proxy
Qui puoi abilitare il protocollo necessario e inserire server, porta e, quando richiesta, autenticazione.
macOS supporta anche la configurazione automatica tramite PAC e le eccezioni per host e domini che non devono utilizzare il proxy.
Questo è uno dei punti in cui molte guide datate diventano rapidamente imprecise: il percorso dell’interfaccia può cambiare, mentre i concetti — indirizzo, porta, protocollo e configurazione automatica — restano sostanzialmente gli stessi.
Firefox, Chrome ed Edge: cosa cambia
Firefox può utilizzare una configurazione propria.
Nelle impostazioni di connessione documentate da Mozilla puoi scegliere tra:
- nessun proxy;
- rilevamento automatico;
- impostazioni proxy del sistema;
- configurazione manuale;
- URL di configurazione automatica.
La modalità manuale richiede hostname e porta.
Chrome segue un modello differente. La documentazione tecnica ufficiale di Chromium sui proxy descrive supporto per configurazioni manuali, PAC, bypass list e configurazione di sistema.
Anche Edge utilizza normalmente le impostazioni di rete del sistema. Microsoft documenta separatamente opzioni e policy per scenari amministrati.
La conseguenza pratica è semplice: non esiste una procedura universale “apri il browser e inserisci il proxy” valida allo stesso modo per ogni browser.
Prima devi capire se il browser utilizza il proxy del sistema o mantiene impostazioni proprie.
Cosa significa “server proxy” su PS4, PS5, smartphone e smart TV
Quando una console, uno smartphone o un altro dispositivo mostra il campo “server proxy”, non sta chiedendo un server speciale dedicato a quel dispositivo.
Sta chiedendo se la connessione deve passare attraverso un proxy e, in caso positivo, quali parametri utilizzare.
Su Android, per esempio, Google documenta la possibilità di definire un proxy nelle impostazioni avanzate della rete Wi-Fi. La configurazione riguarda quella rete e il comportamento effettivo può variare tra dispositivo, versione Android e applicazione.
Su dispositivi gestiti Apple possono inoltre essere distribuite configurazioni proxy tramite profili amministrativi.
Anche PlayStation permette di modificare manualmente le impostazioni della connessione. La documentazione ufficiale PlayStation sulla configurazione Internet prevede infatti impostazioni manuali/avanzate quando necessarie.
Se la tua rete non richiede un proxy, non c’è normalmente alcun motivo per inventarne uno o scegliere un server pubblico nella speranza di abbassare il ping.
Aggiungere un ulteriore intermediario può aumentare il percorso della connessione. L’effetto sulle prestazioni dipende dall’infrastruttura reale, non dalla semplice presenza della voce “proxy” nelle impostazioni.
Proxy gratuiti e a pagamento: quali rischi valutare
“Gratis” e “a pagamento” non sono due protocolli. Sono modelli di servizio.
Un proxy gratuito non è automaticamente pericoloso, così come un proxy a pagamento non è automaticamente affidabile.
Il punto corretto da valutare è chi controlla l’intermediario e quali garanzie puoi verificare.
Perché un proxy gratuito non è automaticamente anonimo o sicuro
Quando configuri un proxy, parte del tuo traffico passa attraverso un’infrastruttura controllata da qualcun altro.
Per un servizio pubblico di provenienza incerta potresti non sapere:
- chi lo gestisce;
- quali log conserva;
- quanto tempo conserva i dati;
- come viene finanziato;
- se modifica le richieste;
- quali protocolli supporta correttamente;
- quanto è affidabile;
- se l’indirizzo IP è già bloccato da molti servizi.
Questo rende particolarmente rischioso utilizzare proxy sconosciuti per attività sensibili.
Anche in presenza di HTTPS, il provider può comunque osservare metadati della connessione; ciò che può vedere del contenuto dipende invece dal modo in cui è costruita la comunicazione e dall’eventuale presenza di TLS end-to-end o di ispezione controllata.
Log, reputazione dell’IP, HTTPS e affidabilità del provider
Prima di scegliere un servizio, controllerei almeno quattro aspetti.
1. Logging e privacy
Una generica scritta “no log” non basta. Serve una policy comprensibile e coerente con il servizio offerto.
2. Protocollo e modalità di connessione
HTTP proxy, tunneling HTTPS e SOCKS5 non sono sinonimi. La tecnologia deve essere adatta all’applicazione che devi utilizzare.
3. Reputazione degli indirizzi IP
Un proxy molto utilizzato può avere indirizzi già limitati o bloccati da determinati servizi.
4. Affidabilità operativa
Latenza, disponibilità, localizzazione, capacità e assistenza possono cambiare completamente l’esperienza.
Pagare non garantisce automaticamente questi elementi, ma almeno permette di valutare un fornitore identificabile, condizioni di servizio e un rapporto contrattuale.
Quando conviene usare un proxy e quando scegliere un’altra soluzione
La scelta corretta parte dal problema, non dal nome della tecnologia.
Casi in cui il proxy è sufficiente
Un forward proxy ha senso quando devi:
- far uscire determinate richieste attraverso un punto controllato;
- centralizzare policy di navigazione;
- filtrare traffico web;
- separare i client dall’accesso diretto a Internet;
- utilizzare un’applicazione che supporta esplicitamente HTTP o SOCKS proxy;
- eseguire test autorizzati da una determinata rete o area geografica;
- implementare caching o controlli in un’infrastruttura specifica.
In questi casi il proxy risolve esattamente il problema per cui è progettato.
Quando è più adatta una VPN
Se l’obiettivo principale è creare un collegamento protetto tra un dispositivo o una rete e un endpoint remoto, una VPN è normalmente il modello più appropriato.
È il caso, per esempio, dell’accesso a una rete aziendale da remoto o della necessità di instradare attraverso un tunnel protetto il traffico previsto dalla configurazione VPN.
Proxy e VPN possono anche convivere. Non sono tecnologie necessariamente alternative in ogni architettura.
Quando serve invece un reverse proxy, un firewall o una CDN
Se il problema è proteggere e organizzare l’accesso a un’applicazione web, probabilmente non stai cercando un normale proxy configurato sul browser.
Potresti avere bisogno di un reverse proxy per ricevere richieste e distribuirle verso uno o più backend.
Se devi applicare regole di sicurezza a livello di rete o applicazione, può essere necessario un firewall o un WAF.
Se invece devi distribuire contenuti attraverso una rete geograficamente distribuita di nodi, entra in gioco una CDN e il suo modello di distribuzione dei contenuti.
Sono problemi diversi. Chiamarli tutti “proxy” perché esiste un intermediario nel percorso non aiuta a progettare l’infrastruttura corretta.
Conclusione
La definizione di server proxy è semplice: un intermediario che riceve una comunicazione e la inoltra verso un’altra destinazione.
La parte importante è capire quale intermediario stai usando e per quale motivo.
Un forward proxy può controllare il traffico in uscita dei client, mascherare il loro IP rispetto alla destinazione, applicare policy o utilizzare una cache. Un reverse proxy lavora invece dalla parte opposta: riceve le connessioni destinate ai server e decide come inoltrarle ai backend.
HTTP proxy, SOCKS5, reverse proxy e proxy trasparenti non sono quindi quattro versioni della stessa cosa: descrivono proprietà differenti.
Lo stesso vale per privacy e sicurezza. Mascherare un indirizzo IP non equivale ad anonimato e utilizzare un proxy non equivale a cifrare automaticamente il traffico. HTTPS, tunnel, VPN e ispezione TLS modificano il quadro e vanno valutati separatamente.
Se nelle impostazioni del tuo computer, browser o console compare la voce “server proxy” e nessun amministratore o servizio ti ha fornito indirizzo e porta, in genere non devi inventare alcun valore. Se invece stai progettando una rete o un’infrastruttura web, la domanda giusta non è “qual è il proxy migliore?”, ma quale traffico deve passare attraverso l’intermediario, quale controllo deve applicare e di quale soggetto devi fidarti.