Como detectar visitantes com VPN e proxy no seu site
Um passo a passo para verificar conexões via VPN, Tor e data center em momentos importantes, como cadastro, login e pagamento, e decidir como agir.
Por que olhar o IP
A mesma pessoa pegando teste grátis várias vezes, bots repetindo cadastros e pagamentos que fingem vir de outro país chegam, na maioria, por VPNs, proxies e servidores de nuvem. Ver de qual rede vem o IP do visitante permite identificar boa parte dessas conexões.
1. Obtenha o IP real do visitante
O IP da conexão que o seu servidor recebe é o IP do visitante. Se o seu site está atrás de um proxy como a Cloudflare, esse IP de conexão é da Cloudflare, então use o cabeçalho CF-Connecting-IP; atrás de outro balanceador de carga, use o primeiro valor do cabeçalho X-Forwarded-For que ele adiciona. Visitantes podem falsificar esses cabeçalhos, então confie neles apenas em requisições que passaram pelo seu próprio proxy.
2. Consulte só nos momentos importantes
Não é preciso consultar em todas as páginas. Verificar o IP apenas nos momentos em que o abuso custa dinheiro, como cadastro, login, redefinição de senha, pagamento e uso de cupom, mantém tudo rápido e barato. Guarde em cache o resultado do mesmo IP por alguns minutos e reutilize.
3. Decida como agir
Para uma saída Tor, um servidor VPN conhecido ou um IP de data center, pedir uma verificação extra, como confirmação por e-mail ou SMS, funciona melhor do que bloquear de vez, porque alguns clientes legítimos usam VPN por privacidade. Em pagamentos, confira também se o país emissor do cartão é diferente do país da conexão.
4. Mantenha um registro
Salvar o resultado da verificação junto com os registros de cadastro e pagamento facilita encontrar o mesmo padrão de abuso depois. Mas o endereço IP é um dado pessoal, então informe na sua política de privacidade a finalidade e por quanto tempo ele é guardado.
Conheça os limites
VPNs que não estão em listas públicas e proxies que alugam conexões de internet residenciais são difíceis de identificar só pelo IP. Sinais do navegador ajudam: se o fuso horário do navegador é diferente do país do IP e se o WebRTC mostra outro IP.
Veja agora o seu IP e a sua localização.
Verificar meu IP