Melhor API de detecção de VPN: comparando métodos

A melhor API de detecção de VPN é aquela cujo método se ajusta ao seu risco e cujos limites você compreende, porque nenhuma API consegue identificar todas as VPNs: a detecção funciona a partir de listas de endereços de saída conhecidos, da rede que é dona de um endereço ou do comportamento observado, e cada uma dessas abordagens deixa algo escapar.

Os três principais métodos de detecção

Listas de IPs e de nós de saída. O provedor coleta endereços sabidamente pertencentes a serviços de VPN, relays Tor e proxies abertos e verifica se uma requisição vem de um deles. O Tor publica sua lista de relays, então a detecção de Tor é comparativamente confiável. Os endereços de VPNs comerciais são coletados de muitas fontes e mudam com frequência, de modo que a cobertura é um alvo móvel.

ASN e atribuição de rede. Todo endereço pertence a um sistema autônomo com uma organização registrada. Muitos servidores de saída de VPN ficam em redes de hospedagem ou de data centers, e não em ISPs residenciais. Se a rede proprietária vende principalmente hospedagem, um endereço ali tem mais chance de ser uma VPN, um proxy ou um servidor do que uma pessoa em casa. Isso pega novos endereços de saída que nenhuma lista ainda viu, mas também sinaliza servidores legítimos, gateways corporativos e aplicações hospedadas na nuvem.

Análise comportamental. Em vez de olhar para o endereço, ela olha para a sessão: viagem impossível entre logins, fuso horário e idioma que divergem do país do IP, muitas contas a partir de um endereço ou padrões de latência. Isso pode identificar um usuário de VPN que nenhuma lista contém, mas exige um fluxo de eventos seus, gera falsos positivos em quem viaja com frequência e geralmente não pode ser feito a partir de um único endereço em uma chamada de API sem estado.

O que o ipto retorna e o que não retorna

A detecção do ipto combina dados de feeds de ameaças com atribuição de ASN. A consulta de IP retorna as flags is_vpn, is_tor, is_abuser e is_datacenter, junto com o ASN e a organização, para que você veja o porquê. O verificador de VPN, Tor e proxy exibe o mesmo resultado com as evidências e quais listas corresponderam. Os feeds são atualizados a cada 6 horas e os conjuntos de IP e ASN diariamente. Os mesmos feeds podem ser explorados na página de feeds de ameaças.

Aplicam-se limites honestos. O ipto não detecta proxies residenciais, que passam por conexões domésticas comuns e parecem tráfego normal de ISP. Ele não realiza análise comportamental. E um resultado negativo significa “não sabidamente uma VPN”, e não “definitivamente não é uma VPN”. Qualquer provedor que alegue cobertura total merece ceticismo, e você deve verificar as alegações com o seu próprio tráfego.

O que perguntar a qualquer API de detecção de VPN

• Quais são as fontes de dados e o intervalo de atualização? Feeds com horas de idade se comportam de forma muito diferente de arquivos mensais.
• A cobertura de proxies residenciais é alegada e como é comprovada? Esta é a categoria mais difícil, e afirmações vagas são um sinal de alerta.
• A resposta se explica? Um booleano puro é difícil de depurar. Nome da rede, ASN e lista correspondente dizem se uma flag é plausível.
• Como ela separa o tráfego de data center do tráfego de VPN? Uma flag separada no estilo is_datacenter permite tratar um bot hospedado na nuvem de forma diferente de uma VPN de consumidor.
• Quais são os limites de taxa e o custo no seu volume? Peça os termos por escrito em vez de confiar em uma página de comparação.
• Dá para testar sem se cadastrar? Execute uma amostra de endereços de VPN conhecidos e de endereços domésticos comuns e conte você mesmo as falhas e os alarmes falsos.

Use o sinal com bom senso

Usar uma VPN é legal e comum, por privacidade, por trabalho ou em Wi-Fi público. Uma flag de VPN é, portanto, um motivo para adicionar contexto, e não para bloquear por si só. Combine-a com outros sinais: o verificador de abuso de IP pontua a reputação por corroboração entre vários feeds, e o verificador de pontuação de fraude reúne sinais de IP, e-mail, telefone e User-Agent em uma pontuação de 0 a 100 com o detalhamento do que contribuiu. Uma política razoável pode exibir uma etapa de verificação para combinações de risco, deixando seguir um usuário de VPN cujo perfil seja limpo em todos os outros aspectos.

Os falsos positivos merecem um plano próprio. Se você restringe conteúdo por região, um cliente legítimo em uma VPN corporativa falhará na verificação, então dê às pessoas uma forma de contestar ou de verificar por outro canal. Para ler mais sobre como evitar bloqueios excessivos, veja o post relacionado sobre como reduzir falsos positivos na detecção de VPN e a documentação da API para os campos exatos da resposta.

Respostas diretas