Geobloqueio e conformidade: usos legítimos

Geobloqueio para conformidade é a prática de permitir ou negar o acesso a um serviço com base no país ou na região inferidos a partir do endereço IP do visitante, a fim de cumprir uma obrigação legal, contratual ou de licenciamento. É um controle grosseiro, mas amplamente usado: barato de operar, fácil de explicar e razoavelmente eficaz em nível de país, desde que você entenda o que ele não consegue enxergar.

A maioria dos usos legítimos começa com uma regra externa que diz "aqui não" ou "somente ali". O controle é o mecanismo de aplicação, não a política. Essa distinção importa, porque um geobloqueio criado por conveniência (para conter um incômodo ou personalizar conteúdo) tende a bloquear clientes reais e ainda assim falhar em barrar usuários determinados. A seguir, os casos em que o geobloqueio é defensável, os casos em que não é e como implementá-lo para que falhe de forma controlada.

Casos de uso legítimos

• Sanções e controles de exportação. Organizações que não podem atender certas jurisdições costumam bloqueá-las na borda como uma camada de um programa de conformidade mais amplo. A localização do IP é um sinal ao lado do país de cobrança, dos dados da conta e da triagem de clientes.
• Licenciamento de conteúdo. Direitos de mídia, esportes e software são frequentemente vendidos por território. Uma licença que cobre apenas alguns países normalmente obriga o distribuidor a restringir a entrega a eles.
• Produtos regulados. Apostas online, certos produtos financeiros e alguns serviços de saúde só são lícitos em regiões específicas, então os operadores limitam o acesso aos locais onde possuem licença.
• Residência de dados e exposição jurídica. Algumas equipes preferem não atender mercados cujas regras ainda não conseguem cumprir, em vez de operar em desconformidade.
• Impostos e preços. Exibir a moeda, o tratamento de IVA ou as opções de frete corretos não é bloqueio propriamente dito, mas usa o mesmo sinal. Toda resposta de /v1/ip do ipto inclui currency_code para o país resolvido.

Em todos os casos, mantenha um registro da regra que exigiu o bloqueio e de quem a aprovou. Quando um regulador, um licenciante ou um cliente frustrado perguntar por que o acesso foi negado, você vai querer uma resposta documentada, e não uma misteriosa entrada de firewall.

Quando o geobloqueio é a ferramenta errada

Ele é ruim para personalização. Escolher um idioma ou uma moeda deve ser um padrão que o visitante possa alterar, não um muro. É ruim como controle de segurança contra atacantes determinados, que podem mudar para qualquer região em minutos. E é fácil aplicá-lo em excesso ao tráfego anonimizado: muitos usuários de VPN e Tor são pessoas comuns protegendo a própria privacidade, e bloqueá-los de vez custa clientes legítimos. Para o lado dos falsos positivos, veja como reduzir falsos positivos na detecção de VPN e por que saídas Tor nem sempre são uma ameaça.

Ele também não pode ser mais preciso do que os dados em que se baseia. O país costuma ser confiável, mas um gateway móvel, um link de satélite ou uma rede corporativa podem colocar um usuário em um país diferente do que ele realmente está. Regras em nível de cidade e de região exigem cautela extra, como abordado em precisão por país versus por cidade.

Implementando bem

Decida em nível de país, a menos que uma regulamentação realmente exija granularidade maior. Resolva o endereço no servidor, sem nunca confiar em um país enviado pelo cliente, e armazene o resultado em cache durante a sessão para que o visitante não oscile entre páginas. Exiba uma mensagem clara dizendo o que aconteceu e por quê, com um canal de contato para quem acredita ter sido bloqueado por engano. Um 403 silencioso transforma um controle de conformidade em um fardo para o suporte.

Quando o motivo do bloqueio é uma regulamentação que se aplica a usuários de VPN que aparentam estar em um local permitido, pergunte-se se a regra realmente exige que você detecte isso. Se exigir, o verificador de VPN, Tor e proxy informa se um endereço corresponde aos dados de feeds de ameaças do ipto, e os campos is_vpn, is_tor e is_datacenter voltam na consulta principal de IP. Seja realista quanto à cobertura e, para uma segunda opinião sobre um endereço específico, o verificador de abuso de IP informa quantos feeds o corroboram: os feeds são atualizados a cada 6 horas, os sinalizadores atualmente se aplicam apenas a intervalos IPv4 e proxies residenciais não são detectados, portanto um resultado negativo significa "não conhecido", e não "definitivamente direto". Trate os sinalizadores como um motivo para adicionar uma etapa, como pedir comprovação de localização ou aplicar uma revisão mais rigorosa, em vez de um banimento automático.

Para entender o que está por trás de um resultado inesperado, a consulta de ASN nomeia o operador de uma rede, o que separa rapidamente um provedor de hospedagem de um ISP de consumo.

Alternativas e complementos

Quando a obrigação diz respeito a quem é o usuário, e não a onde ele está, a geografia é o indicador errado. Regras de idade são mais bem atendidas por verificação de idade no nível da conta. Licenças territoriais podem ser mais fáceis de cumprir negociando direitos mais amplos. A triagem de sanções funciona melhor sobre dados de identidade e pagamento, com a localização como verificação de apoio. Combinar sinais, como país do IP, país de cobrança e histórico da conta, produz menos bloqueios indevidos do que qualquer um deles isolado. Você pode testar o lado do IP gratuitamente: GET https://ipto.to/v1/ip não exige cadastro e permite 1.000 requisições por dia, e a referência dos campos está na documentação da API.

Respostas diretas