代理合规使用指南：2026 法务清单

住宅代理、ISP 代理和 SOCKS5 代理本身通常不是违法工具；风险来自未授权访问、个人数据处理不当、规避技术限制，以及使用来源不透明的 IP。

先判断：你是在“访问公开信息”，还是在“绕过边界”

代理只改变出口 IP，不改变行为性质。合规评估应先看 5 个维度：访问边界、数据类型、自动化强度、IP 来源和审计证据。

美国《计算机欺诈和滥用法》（CFAA，18 U.S.C. §1030）关注“未经授权访问”。美国最高法院在 Van Buren v. United States（2021）中强调授权边界；第九巡回法院在 hiQ Labs v. LinkedIn（2022）中将公开网页与受访问控制的系统区分开来，但并未把所有自动化采集都变成低风险行为。涉及欧盟个人数据时，GDPR 第 5 条要求目的限制、数据最小化和存储期限限制，第 6 条要求处理依据；涉及中国个人信息时，《个人信息保护法》第 5、6、13 条分别约束合法正当、最小必要和处理依据。欧盟项目建议先看欧盟网页抓取法律指南。

在 EProxies 审核企业用例时，我们会要求客户先提交 3 份材料：目标 URL 清单、字段清单、限速与熔断配置。缺少其中任一项，项目很难说明“为什么访问、访问了什么、何时停止”。

合规上线流程：把风险写进配置，而不是写进口号

判断完边界后，下一步是把这些判断落到审批、配置和日志里，而不是只停留在原则说明中。

1. 固定业务目的和字段边界

把任务写成可审计格式：目标站点、国家或地区、字段、保存周期、调用人、负责人。价格监测项目通常只需要商品 ID、价格、库存、配送地区、时间戳；如果工程师临时加入卖家手机号或用户评价中的个人信息，字段边界已经改变，需要重新审批。

2. 归档访问规则

保存服务条款、robots.txt、API 文档、账号协议和频率限制。robots.txt 在多数司法辖区不是单独的法律许可或禁止令，但它能证明网站对自动化访问的态度；如果条款明确禁止批量抓取、账号共享或规避限制，应交给法务和业务负责人确认是否继续。

3. 给自动化设置硬阈值

我们常用的保守起步配置是：单域名 0.2–1 QPS，并发 2–5，超时 10–20 秒，最多重试 2 次，指数退避；连续出现 3 次 403、429、验证码、登录挑战或封禁提示时，任务自动暂停 30–60 分钟并通知负责人。高频采集不是“代理池够大就可以”，而是要证明目标站点能承受、条款允许、业务确有必要。

4. 分级处理数据

非个人数据、普通个人信息、敏感个人信息不能放在同一审批层级。涉及邮箱、手机号、精确位置、健康、金融、未成年人信息时，应记录处理依据、访问权限、加密方式、保留期限和删除机制。采集公开页面中的个人信息，也不等于可以无限期保存或二次出售。

5. 保留可追溯日志

至少记录任务 ID、调用账号、目标域名、请求时间、代理出口国家、响应码、配置版本、审批单号。日志保留期可按项目风险设置为 30、90 或 180 天；如果涉及个人数据或受监管行业，日志策略应与数据保护负责人确认。

如果团队还在选择代理类型，可参考代理服务器类型概览和2026 年住宅代理工作原理。

供应商尽调：住宅 IP 数量不是合规证明

流程控制之外，供应商本身也要接受尽调。住宅代理的关键问题不是“像不像真实用户”，而是 IP 来源是否获得授权、客户是否经过 KYC、滥用是否可追责。采购前至少问 8 个问题：

• 住宅 IP 是否来自获得授权的用户、应用或合作网络；
• 是否禁止撞库、盗号、垃圾注册、恶意扫描、欺诈和绕过访问控制；
• 是否对客户做 KYC，并能按账号追踪滥用；
• 是否支持用户名密码、IP 白名单、会话控制和轮换策略；
• 是否支持 HTTP(S) 与 SOCKS5；
• 是否能按国家、城市或 ASN 控制出口；
• 是否提供 SLA、可用性指标和故障升级路径；
• 是否有明确的数据处理条款、滥用举报邮箱和合同责任。

EProxies 提供 72M+ 住宅 IP，覆盖 195+ 国家和地区，支持 HTTP(S) 与 SOCKS5、轮换和粘性会话、用户名密码及 IP 白名单鉴权。平台当前服务可用性为 98.2%，并由 99.9% uptime SLA 支撑。价格方面，住宅代理支持按量购买，$0.25/GB 起；300GB 阶梯约 $0.73/GB；ISP SOCKS5 从 $0.95/IP 起；不限量方案从 $79/月起。实际采购应以项目用途、合规边界和官网当期价格为准。

不要用开放代理替代合规采购。开放代理常见问题包括流量劫持、凭据泄露、恶意注入、黑名单污染和无法追溯；内部培训材料可阅读开放代理安全风险。使用 SOCKS5 时可看SOCKS5 代理入门；涉及 ISP 代理时可参考ISP 代理误用与规避方法。

3 个真实项目中最容易越界的场景

前面的规则在真实项目中通常不是一次性失效，而是从一个“小优化”开始偏离边界。下面 3 类场景最常见。

公开价格监测变成内部接口调用

零售团队最初只采集公开商品页的价格、库存和配送区域。上线两周后，工程师为了降低页面解析成本，复用登录 Cookie 调用移动端接口，并在 429 后继续换 IP 重试。风险点有 3 个：登录凭据、非公开接口、无熔断重试。正确做法是限定公开 URL，禁用个人账号 Cookie，403/429 连续触发后暂停任务并复审。

本地化测试触发真实用户行为

广告团队用不同国家出口 IP 检查落地页语言、币种、税费和促销展示，通常可以控制在低风险范围。风险会在批量注册账号、模拟购买、刷评价、投票或触发真实转化事件时上升。测试应使用授权测试账号、测试支付方式、白名单资产和固定脚本，不能把生产用户流程当成压力测试工具。

低价住宅池带来供应链风险

采购团队选择来源不明的低价住宅代理，供应商无法说明用户授权、KYC 和滥用处理机制。即使目标只是公开网页，企业仍可能承担合同、声誉和数据保护风险。供应商应进入安全采购审查，审查材料包括合同、SLA、IP 来源说明、滥用处理流程和数据处理条款，而不是只比较单 GB 价格。

上线前 10 项控制清单

把上述流程、尽调和场景风险压缩到上线动作中，可以用下面 10 项清单做最后检查。

• 目标站点、URL 范围、业务目的已列明；
• 服务条款、robots.txt、API 政策、账号协议已归档；
• 字段已做最小化处理，非必要字段已删除；
• 登录后数据、付费内容、个人信息已单独审批；
• QPS、并发、超时、重试、会话时长已配置；
• 403、429、验证码、封禁提示会触发暂停；
• 每个任务有负责人、审批单号和变更记录；
• 日志能追溯账号、时间、目标域名、出口国家、响应码；
• 供应商完成 KYC、IP 来源、SLA、滥用处理审查；
• 新增国家、行业、字段或代理池时重新评估风险。

在 EProxies 的上线审查里，“连续 429 后仍重试”“使用真实用户 Cookie”“字段超出业务目的”“来源不明住宅 IP”通常会被列为阻断项，而不是上线后再补文档的问题。

常见问题

使用住宅代理合法吗？

多数司法辖区不会单独禁止住宅代理技术。合法性取决于用途、授权、数据类型和访问方式。广告验证、本地化测试、公开页面可用性检查通常风险较低；绕过登录、批量注册、撞库、规避验证码或访问付费内容风险明显更高。

如何确保我的代理使用合规？

先写清目标站点、业务目的、字段清单、保存周期和负责人，再核对服务条款、robots.txt、API 政策和账号协议。技术上设置 QPS、并发、重试、超时和 403/429/验证码熔断，并保留任务 ID、目标域名、出口国家、响应码和审批记录。

公开网页一定可以采集吗？

不一定。公开可访问不等于可以无限制自动化采集，还要看网站条款、访问频率、数据类型、是否绕过技术限制以及采集后的用途。出现 403、429、验证码或明确拒绝访问时，应暂停并复审授权边界。

使用代理有哪些法律风险？

主要风险包括未经授权访问、违反服务条款、规避技术限制、违规处理个人数据、欺诈和恶意自动化。代理不会让非法行为“匿名合法化”；撞库、盗号、垃圾注册、绕过付费墙或采集敏感个人信息，仍可能由使用方承担责任。

代理在所有国家都合法吗？

不是。多数国家和地区不禁止代理技术本身，但部分司法辖区会限制未经许可的代理服务、规避网络封锁、跨境数据传输或访问特定内容。跨国项目应同时评估代理出口国家、目标网站所在国家和数据主体所在地。

住宅代理比数据中心代理更合规吗？

不一定。住宅代理更适合地域展示测试、广告验证和公开网页可用性检查，但它更需要证明 IP 来源获得授权。数据中心代理、ISP 代理和住宅代理都需要用途审查、限速、鉴权、日志和供应商尽调。

非法使用代理会有什么后果？

常见后果包括账号封禁、IP 拉黑、合同索赔、数据集作废和客户合同终止。严重场景下，未授权访问、窃取凭据、欺诈、恶意扫描或违规处理敏感个人信息，可能触发监管调查、民事赔偿、禁令或刑事责任。

代理供应商需要提供哪些合规能力？

至少应提供 KYC、清晰的 IP 来源说明、滥用处理、鉴权、协议支持、会话控制、SLA 和可追责合同。采购记录中应保存合同、服务条款、SLA、数据处理条款和滥用处理联系人。