HTTP et HTTPS

Un proxy HTTP est un serveur qui ouvre des connexions pour vous lorsqu’on le lui demande avec une requête HTTP CONNECT. Un proxy HTTPS est le même serveur atteint via TLS : la connexion au proxy est donc chiffrée elle aussi. Potatso se connecte aux deux, avec ou sans nom d’utilisateur et mot de passe.

Un proxy HTTP ne transporte que du TCP. Voir UDP pour ce qu’il advient du reste de votre trafic.

Vous pouvez ajouter un proxy HTTP ou HTTPS à la main, avec un lien http:// ou https://, ou en important :

• un abonnement Clash ou Mihomo (type: http),
• une configuration Surge (http et https),
• une configuration Xray ou V2Ray (sortie http).

Pour ajouter un proxy HTTPS à la main, choisissez HTTP et activez TLS.

Réglages

Le mot de passe peut contenir n’importe quel caractère, y compris : et des lettres non ASCII. Le nom d’utilisateur ne peut pas contenir :.

En-têtes personnalisés

Une configuration Clash, Mihomo ou Xray peut ajouter des en-têtes à la requête CONNECT, comme un User-Agent que demande votre fournisseur. Potatso les conserve lors de l’import du proxy et les envoie à chaque connexion. Un en-tête Host remplace celui que Potatso envoie. Vous ne pouvez pas ajouter ni modifier d’en-têtes dans l’app.

Certificats

Un proxy HTTPS a besoin d’un certificat auquel votre appareil fait confiance, sauf si vous définissez un épinglage de certificat ou activez Ignorer la vérification du certificat.

Potatso ne prend pas en charge :

• un certificat CA personnalisé pour un proxy HTTPS : épinglez plutôt le certificat du proxy,
• un certificat client TLS (certificate et private-key de Clash) : Potatso n’importe pas un proxy qui en exige un,
• une liste ALPN : Potatso parle toujours HTTP/1.1 au proxy.

UDP

Les proxys HTTP ne transportent que du TCP : Potatso ne leur envoie donc jamais d’UDP. L’UDP est utilisé par QUIC, les appels vocaux et vidéo et de nombreux jeux.

• Avec des règles, Potatso ignore une règle qui envoie de l’UDP vers un proxy HTTP ou HTTPS, et la règle suivante qui correspond décide. L’UDP qu’aucune autre règle ne reconnaît part en direct.
• En mode Global, l’UDP ne fonctionne pas, car tout le trafic doit passer par le proxy.

Pour envoyer aussi l’UDP via un proxy, utilisez un serveur dont le protocole transporte l’UDP, comme SOCKS5 ou Shadowsocks.

Fonctionnalités prises en charge

Chaque fonctionnalité prise en charge est testée avec de vrais serveurs proxy : tinyproxy, sing-box, Xray et Mihomo.

Utilisez le port CONNECT du serveur, pas un port web qui ne fait que transmettre des requêtes web simples. Certains proxys n’autorisent CONNECT que vers le port 443. Si seuls certains sites fonctionnent via votre proxy, demandez à votre fournisseur s’il limite les ports CONNECT.

Liens

Un lien http:// ou https:// contient un proxy entier sur une ligne :

http://user:password@host:port#name
https://user:password@host:port?sni=…&insecure=1#name

Un lien ne peut contenir ni épinglage de certificat ni en-têtes personnalisés. Potatso importe aussi l’ancienne forme, où tout ce qui se trouve entre :// et # est encodé en Base64 :

http://base64(user:password@host:port)#name

Exemples

Un proxy sans mot de passe :

http://proxy.example.com:8080#Open

Un proxy avec le nom d’utilisateur alice et le mot de passe s3cret :

http://alice:s3cret@proxy.example.com:8080#Basic

Le mot de passe p:ss wörd, encodé en pourcentage :

http://alice:p%3Ass%20w%C3%B6rd@proxy.example.com:8080#Encoded

Un proxy HTTPS :

https://alice:s3cret@proxy.example.com:443#TLS

Un proxy HTTPS atteint par son adresse IP, avec le nom de certificat proxy.example.com :

https://alice:s3cret@203.0.113.10:443?sni=proxy.example.com#SNI

Un proxy HTTPS avec un certificat autosigné :

https://proxy.example.com:443?insecure=1#Self-signed

Un proxy avec une adresse IPv6 :

http://[2001:db8::1]:8080#IPv6

L’ancienne forme du proxy de base :

http://YWxpY2U6czNjcmV0QHByb3h5LmV4YW1wbGUuY29tOjgwODA#Legacy