Fraud-Score-API: IP-, E-Mail- und Telefonsignale kombinieren
Eine Fraud-Score-API für IP-, E-Mail- und Telefondaten kombiniert mehrere unabhängige Risikosignale zu einer einzigen Zahl, sodass Sie eine Entscheidung treffen können, statt vier getrennte Prüfungen zu jonglieren. Der Fraud Score von ipto nimmt eine IP-Adresse, eine E-Mail, eine Telefonnummer und einen User-Agent entgegen und liefert einen Wert von 0 bis 100 mit einer Aufschlüsselung der Einflussfaktoren.
Der Grund für die Verschmelzung der Signale ist, dass jedes einzeln schwach ist. Eine VPN-Adresse ist für viele ehrliche Nutzer normal. Eine Wegwerf-E-Mail kann schlicht jemand sein, der sein Postfach schützt. Ein botartiger User-Agent könnte ein Monitoring-Tool sein. Zusammen sind ein Tor-Exit, eine Wegwerf-E-Mail-Domain und ein Automatisierungs-User-Agent bei einer Anmeldung jedoch eine ungewöhnliche Kombination, und ein kombinierter Wert bringt sie ans Licht.
Was in den Score einfließt
Jede Eingabe wird vom passenden ipto-Tool bewertet, und die Ergebnisse werden mit festen Gewichten gemischt. Die IP zählt zu 40 Prozent, E-Mail, Telefon und User-Agent zählen jeweils zu 20 Prozent. Die Logik der Komponenten ist bewusst einfach und nachvollziehbar:
- IP. Basiert auf dem korroborierten Abuse-Score, sofern einer existiert; andernfalls erhält ein Tor-Exit einen hohen Wert, eine VPN-Adresse einen mittleren und eine Adresse ohne Flags einen niedrigen. Diese Eingaben können Sie mit dem VPN-, Tor- und Proxy-Checker und dem IP-Abuse-Checker erkunden.
- E-Mail. Ungültige Syntax erhält einen hohen Wert, eine Wegwerf-Domain einen hohen, eine Domain ohne funktionierende MX-Einträge einen mittleren, und eine korrekt aufgebaute Adresse auf einer normalen Domain einen niedrigen. Das ist dieselbe Logik wie im E-Mail-Checker.
- Telefon. Eine Nummer, die die Prüfung gegen den Nummernplan nicht besteht, erhält einen hohen Wert, eine gültige einen niedrigen. Da der Telefon-Checker einen selbst gehosteten Parser ohne Live-Carrier-Abfrage nutzt, ist dies eine Plausibilitätsprüfung und kein Beweis, dass die Nummer aktiv ist.
- User-Agent. Ein Client, der als Bot oder Crawler geparst wird, erhält einen hohen Wert; ein gewöhnlicher Browser einen niedrigen, mit demselben Parsing wie im User-Agent-Parser.
Die Antwort listet jedes Signal mit eigenem Wert und den zugrunde liegenden Rohfeldern auf, etwa is_vpn, is_tor, risk_tier, has_mx, disposable und is_bot. Dadurch ist die Zahl erklärbar: Wird ein Nutzer markiert, können Sie genau sagen, warum.
Wie fehlende Eingaben behandelt werden
Realer Traffic ist unvollständig. Ein Anmeldeversuch hat womöglich IP und User-Agent, aber keine E-Mail, und ein Registrierungsformular lässt das Telefonfeld eventuell aus. Der Fraud Score behandelt eine fehlende Eingabe nicht als „sauber“. Fehlende Signale werden weggelassen, und das Gewicht der angegebenen Signale wird so skaliert, dass es in der Summe den gesamten Score ergibt.
Konkret: Senden Sie nur eine IP, trägt die IP das volle Gewicht, sodass ein Tor-Exit einen hohen Wert ergibt, statt durch drei leere Felder in Richtung sicher verwässert zu werden. Senden Sie eine IP und eine E-Mail, betragen die Gewichte etwa zwei Drittel und ein Drittel. Zwei Einschränkungen sind wissenswert. Wird überhaupt keine Eingabe aufgelöst, fällt der Score auf eine niedrige Basislinie zurück. Und das IP-Signal deckt derzeit nur IPv4 ab, da Bedrohungsdaten für IPv6 nicht in derselben Form verfügbar sind; eine IPv6-Adresse wird übersprungen statt als sauber bewertet, kombinieren Sie sie also mit den anderen Eingaben.
Vom Score zur Aktion
Der Score wird einer Risikostufe zugeordnet: unter 20 ist niedrig, 20 bis 44 mittel, 45 bis 69 hoch und 70 oder mehr kritisch. Betrachten Sie diese als Vorannahme, die zeigt, wo Sie Reibung einbauen sollten. Ein vernünftiges Muster: niedrige Werte durchlassen, bei mittleren und hohen einen zweiten Faktor oder eine E-Mail-Bestätigung verlangen und kritische Werte zur Prüfung einreihen. Das Tool ist nicht als alleinige Grundlage für die Ablehnung eines Kunden gedacht und ersetzt nicht Ihre eigenen Signale wie Bestellhistorie, Gerätehistorie oder Rückbuchungsdaten, die ipto nicht erhebt.
Ausprobieren
Am schnellsten sehen Sie das Verhalten im Fraud-Score-Checker: Füllen Sie ein Feld aus, notieren Sie den Wert, ergänzen Sie dann die anderen und beobachten Sie, wie sich die Aufschlüsselung ändert. Dieselbe Funktion steht über die API zur Verfügung, dokumentiert in der API-Dokumentation, wobei alle vier Eingaben optional sind. Ein Lauf über eine Stichprobe Ihrer jüngsten eigenen Anmeldungen zeigt gut, welches Signal in Ihrem Traffic das Risiko treibt, und die Überlegungen hinter der IP-Komponente werden unter IP-Reputationsbewertung erklärt weiter vertieft.