HTTP y HTTPS

Un proxy HTTP es un servidor que abre conexiones por ti cuando se lo pides con una petición HTTP CONNECT. Un proxy HTTPS es el mismo servidor al que se accede por TLS, de modo que la conexión con el proxy también va cifrada. Potatso se conecta a ambos, con o sin nombre de usuario y contraseña.

Un proxy HTTP solo transporta TCP. Consulta UDP para saber qué ocurre con el resto de tu tráfico.

Puedes añadir un proxy HTTP o HTTPS a mano, con un enlace http:// o https:// o importándolo desde:

• una suscripción de Clash o Mihomo (type: http),
• una configuración de Surge (http y https),
• una configuración de Xray o V2Ray (salida http).

Para añadir un proxy HTTPS a mano, elige HTTP y activa TLS.

Ajustes

La contraseña puede contener cualquier carácter, incluidos : y letras no ASCII. El nombre de usuario no puede contener :.

Cabeceras personalizadas

Una configuración de Clash, Mihomo o Xray puede añadir cabeceras a la petición CONNECT, como un User-Agent que pida tu proveedor. Potatso las conserva al importar el proxy y las envía en cada conexión. Una cabecera Host sustituye a la que envía Potatso. No puedes añadir ni editar cabeceras en la app.

Certificados

Un proxy HTTPS necesita un certificado en el que confíe tu dispositivo, a menos que fijes un pin del certificado o actives Omitir verificación del certificado.

Potatso no admite:

• un certificado de CA personalizado para un proxy HTTPS: fija en su lugar el certificado del proxy,
• un certificado de cliente TLS (certificate y private-key de Clash): Potatso no importa un proxy que necesite uno,
• una lista ALPN: Potatso siempre habla HTTP/1.1 con el proxy.

UDP

Los proxies HTTP solo transportan TCP, así que Potatso nunca les envía UDP. UDP lo usan QUIC, las llamadas de voz y vídeo y muchos juegos.

• Con reglas, Potatso omite una regla que envía UDP a un proxy HTTP o HTTPS, y decide la siguiente regla que coincida. El UDP que no coincide con ninguna otra regla se envía directamente.
• En modo Global, UDP no funciona, porque todo el tráfico debe pasar por el proxy.

Para enviar también UDP por un proxy, usa un servidor cuyo protocolo transporte UDP, como SOCKS5 o Shadowsocks.

Compatibilidad de funciones

Cada función admitida se prueba con proxies reales: tinyproxy, sing-box, Xray y Mihomo.

Usa el puerto CONNECT del servidor, no un puerto web que solo reenvíe peticiones web simples. Algunos proxies solo permiten CONNECT al puerto 443. Si solo funcionan algunos sitios a través de tu proxy, pregunta a tu proveedor si limita los puertos CONNECT.

Enlaces

Un enlace http:// o https:// contiene un proxy completo en una sola línea:

http://user:password@host:port#name
https://user:password@host:port?sni=…&insecure=1#name

Un enlace no puede contener un pin del certificado ni cabeceras personalizadas. Potatso también importa la forma antigua, en la que todo lo que hay entre :// y # está codificado en Base64:

http://base64(user:password@host:port)#name

Ejemplos

Un proxy sin contraseña:

http://proxy.example.com:8080#Open

Un proxy con el nombre de usuario alice y la contraseña s3cret:

http://alice:s3cret@proxy.example.com:8080#Basic

La contraseña p:ss wörd, con codificación porcentual:

http://alice:p%3Ass%20w%C3%B6rd@proxy.example.com:8080#Encoded

Un proxy HTTPS:

https://alice:s3cret@proxy.example.com:443#TLS

Un proxy HTTPS al que se accede por su dirección IP, con el nombre de certificado proxy.example.com:

https://alice:s3cret@203.0.113.10:443?sni=proxy.example.com#SNI

Un proxy HTTPS con un certificado autofirmado:

https://proxy.example.com:443?insecure=1#Self-signed

Un proxy con una dirección IPv6:

http://[2001:db8::1]:8080#IPv6

La forma antigua del proxy básico:

http://YWxpY2U6czNjcmV0QHByb3h5LmV4YW1wbGUuY29tOjgwODA#Legacy