Los códigos dados en las respuestas son vulnerables a la *falsificación* (spoofing) y tienes que tener cuidado donde lo uses. En simple palabras: > Obtener la dirección IP **real** de un _cliente/usuario_ **nunca** será fiable. ---- En las respuestas se encuentra varios encabezados (`HTTP_`) cuales no se sabe si están establecidos por diferentes [proxies][1] y el problema es que con los encabezados `HTTP` pueden ser manipulados fácilmente: - [curl][2]: `curl --header "X-Forwarded-For: 192.168.0.2" http://example.com` - Extensión para Chrome: [ModHeader][3] Es decir, por seguridad (*ej. en el entorno de autenticaciones o similar*), no se **debería** utilizarse ninguno de esos valores, ya que el _cliente/usuario_ puede modificar el encabezado `X_FORWARDED_FOR` o `CLIENT_IP` a cualquier valor, al menos que tengas un [proxy inverso][4] de confianza. Y de todas maneras se debería validar las entradas del _cliente/usuario_ ya que puede incluir sentencias peligrosas en el encabezado `HTTP`, ej.: `'; DROP TABLE users;--` --- No estando detrás de un proxy: `REMOTE_ADDR` te dará una IP _real_, la cual sera la más confiable que puedes obtener, siendo la IP de origen de la conexión [TCP][5] y no puede sustituirse cambiando una cabecera `HTTP`. --- Sabiendo todo esto y teniendo las precauciones puedes obtener la IP de la siguiente forma: function getUserIpAddress() { foreach ( [ 'HTTP_CLIENT_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_FORWARDED', 'HTTP_X_CLUSTER_CLIENT_IP', 'HTTP_FORWARDED_FOR', 'HTTP_FORWARDED', 'REMOTE_ADDR' ] as $key ) { // Comprobamos si existe la clave solicitada en el array de la variable $_SERVER if ( array_key_exists( $key, $_SERVER ) ) { // Eliminamos los espacios blancos del inicio para cada clave que existe en la variable $_SERVER foreach ( array_map( 'trim', explode( ',', $_SERVER[ $key ] ) ) as $ip ) { // Filtramos* la variable y retorna el primero que pase el filtro if ( filter_var( $ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE ) !== false ) { return $ip; } } } } return '?'; // Retornamos '?' si no hay ninguna IP o no pase el filtro } **\*** Usamos la función [`filter_var()`](http://php.net/manual/es/function.filter-var.php) para filtrar los valores con las siguientes indicaciones: - `FILTER_VALIDATE_IP` > Valida si es valor es una dirección IP, sea **IPv4** o **IPv6**. - `FILTER_FLAG_NO_PRIV_RANGE`: > Falla si se intenta validar alguna de los siguientes rangos privados > de IPv4: 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16. > > Falla si se intenta validad direcciones IPv6 que empiecen por FD o FC. - `FILTER_FLAG_NO_RES_RANGE `: > Falla si se intenta validad alguno de los siguientes rangos IPv4 > reservados: 0.0.0.0/8, 169.254.0.0/16, 192.0.2.0/24 y 224.0.0.0/4. ( tipos localhost/127.0.0.1 ) > > Este flag no se aplica a direcciones IPv6. Fuentes: - [What is the most accurate way to retrieve a user's correct IP address in PHP?][6] - [How to get the client IP address in PHP?][7] - [$_SERVER\['REMOTE_ADDR'\] gives server IP rather than visitor IP][8] - [Sending CURL request with custom IP][9] - [Filtros de validación][10] - [Opciones de filtrado][11] [1]: https://es.wikipedia.org/wiki/Servidor_proxy [2]: https://linux.die.net/man/1/curl [3]: https://chrome.google.com/webstore/detail/modheader/idgpnmonknjnojddfkpgkljpfnnfcklj [4]: https://es.wikipedia.org/wiki/Servidor_proxy#Proxy_inverso_.28Reverse_Proxy.29 [5]: https://es.wikipedia.org/wiki/Protocolo_de_control_de_transmisi%C3%B3n [6]: https://stackoverflow.com/questions/1634782/what-is-the-most-accurate-way-to-retrieve-a-users-correct-ip-address-in-php [7]: https://stackoverflow.com/questions/3003145/how-to-get-the-client-ip-address-in-php [8]: https://stackoverflow.com/questions/4262081/serverremote-addr-gives-server-ip-rather-than-visitor-ip [9]: https://unix.stackexchange.com/a/167082 [10]: http://php.net/manual/es/filter.filters.validate.php [11]: http://php.net/manual/es/filter.filters.flags.php