Comprobacións de visitantes de VPN: puntuar reputación e latencia con seguridade

Un panel de fraude marca un visitante como VPN, o analista pide un bloqueo e a solicitude chega ao equipo de plataforma sen nada máis que un booleano do provedor. Ese booleano é unha estimación e falla nunha dirección distinta á dunha medición de latencia. Antes de actuar, separe que demostra a propia solicitude, que afirma un servizo de reputación e que só suxire o tempo. Despois escolla unha resposta que poida reverter cando a estimación resulte errónea.

Recolla os feitos da solicitude que poida defender

O único enderezo que o seu servidor coñece con certeza é o par TCP que completou a conexión. Cando unha CDN ou un proxy inverso remata esa conexión, o par é a borde, e o enderezo do cliente viaxa nunha cabeceira de reenvío na que só se pode confiar se a engadiu a súa propia borde. Lea a entrada que escribiu o seu proxy, nunca a cadea máis á esquerda, porque un cliente pode enviar calquera valor que queira nesa posición. Todo o posterior debe preservar esa distinción.

Dous enriquecementos baratos converten o enderezo en algo revisable: o sistema autónomo que o anuncia e o rexistro PTR que apunta de volta a el. Ambos describen o rexistro e non o comportamento, e ambos son reproducibles despois.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

Un ASN de aloxamento é unha pista forte e non un veredicto. Os concentradores de VPN corporativos, as saídas de nube e algunhas redes universitarias tamén están en centros de datos, así que o mesmo sinal que atrapa unha saída comercial tamén atrapa unha oficina lexítima. Conserve o enderezo só mentres a revisión o necesite, porque unha IP é un dato persoal na maioría dos réximes de privacidade. Bórreo segundo un calendario en lugar de gardalo indefinidamente.

Puntúe o visitante antes de restrinxilo

Execute calquera sinal novo primeiro en modo de observación. Rexistre as entradas e un código de motivo, deixe pasar todas as solicitudes e compare a distribución de puntuacións con contas que saiba que son lexítimas. Iso produce unha estimación de falsos positivos antes de que ninguén perda o acceso, e ese número é o que decide se unha regra é segura de activar.

Asigne o total a tres accións en lugar de dúas: permitir, desafío de escalado, revisión manual. Un bloqueo permanente debería esixir abuso repetido confirmado por unha persoa, porque un falso positivo nun viaxeiro corporativo custa un ticket de soporte e unha sesión perdida, mentres que un falso negativo nunha solicitude non custa case nada.

Manteña a consulta de reputación no servidor e acoutada

Chame o servizo de reputación desde o backend cun tempo de espera curto, garde o veredicto en caché durante un período fixo e trate un tempo de espera como descoñecido en lugar de limpo. Nunca poña a clave da API en código do cliente e nunca deixe que a consulta bloquee o renderizado da páxina; un terceiro lento debe degradar a puntuación, non o sitio.

Garde en caché por enderezo e non por rango. Clasificar un /24 enteiro a partir dunha consulta propaga un veredicto erróneo a veciños que nunca mediu. Rexistre o provedor, a data de resposta e o valor de clasificación xunto ao código de motivo, para que unha revisión posterior poida saber que xuízo estaba vixente.

Dous provedores poden clasificar un mesmo enderezo de forma distinta nun día, por iso o veredicto pertence á columna de probas e non á de identidade. Tamén é unha relación de tratamento: enviar o enderezo de cada visitante a un terceiro require unha base legal, unha regra de conservación e unha liña no aviso de privacidade.

Mida a latencia cunha mediana, non cunha soa mostra

O tempo de ida e volta describe a ruta no momento en que a mediu. Unha borde anycast próxima pode atender un usuario afastado, unha rede móbil engade atraso que nada ten que ver coa xeografía, e unha saída de VPN no propio país do visitante parece local. A xeolocalización a nivel de cidade adoita informar do centro de datos e non da persoa.

Tome varias mostras e use a mediana para que unha solicitude lenta non mova o resultado. O bucle de abaixo imprime a mediana de cinco.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Compare o número coa distribución de usuarios que se sabe que son bos en lugar dun limiar absoluto, e combíneo co ASN. Dous sinais débiles que coinciden son máis fortes que calquera por separado, pero a conclusión segue a ser sobre unha ruta, non sobre unha intención, así que pertence a unha puntuación e non a unha prohibición.

Decida, rexistre e reverta

Antes de activar unha regra, reproduza un día de tráfico en modo de observación e conte que pasaría. Garde as entradas da puntuación, o código de motivo e a versión da regra, pero conserve os enderezos en bruto só para a xanela de revisión. Se a regra se dispara nunha conta lexítima, o rexistro debería explicar por que sen unha segunda investigación.

Dea a cada regra o seu propio interruptor. Cando a finalización do escalado baixe ou os tickets de soporte se disparen, desactive esa regra e manteña o resto do fluxo en marcha; un único interruptor global converte un problema de axuste nunha caída. Despois do cambio, vixíe a taxa de finalización dos desafíos e a cola de apelacións, non só o número de bloqueos.

Por último, manteña a resposta proporcionada á perda que está evitando. No fraude publicitario, o estado de VPN é un indicador débil dun clic falso, e os sinais de comportamento como os patróns de conversión e a consistencia do dispositivo abordan o dano real. Un desafío reversible protexe os ingresos e o usuario real á vez.