كيف تحقّق في عنوان IP: ثلاثة عناوين حقيقية وثلاثة أحكام

في الساعة 05:34 بالتوقيت العالمي المنسق يوم 19 أكتوبر 2026 مررنا ثلاثة عناوين عبر المسار نفسه فحصلنا على ثلاثة أحكام مختلفة. خروج Mullvad VPN حصل على 100، أي block. وعنوان AhrefsBot موثَّق حصل على 59، أي step_up، لأن Spamhaus يدرجه. وخادم DigitalOcean حصل على 12، أي allow. وقبل ذلك بأحد عشر يومًا، حصل عنوان AhrefsBot نفسه على 23، أي allow.

نعرض أدناه الفحوص الاثني عشر بالترتيب، والحقل الذي تقرؤه عند كل منها، والعتبات التي نتصرف بناءً عليها، ومكان الإبلاغ عن الإساءة، والحد القانوني لأي تحقيق في عنوان IP.

كيف تحقّق في عنوان IP: ثلاثة عناوين وثلاثة أحكام

أرسلت الأسئلة الاثنا عشر نفسها ثلاثة عناوين إلى ثلاثة إجراءات مختلفة، وفي كل حالة حسمت إشارة واحدة الأمر. هذه استعلامات بلا مفتاح من واجهتنا البرمجية، محفوظة في الأوقات المبيّنة، والقيم دون تعديل:

نطاقاتنا هي: allow حتى 25، وreview حتى 50، وstep_up حتى 75، وblock فوق 75. وترتيب الفحوص هو: قابلية التوجيه، والمالك، ونوع الشبكة، واسم المضيف، وإخفاء الهوية، والزاحف أو الماسح، وقوائم الحجب، والدرجة، والقرار، والإبلاغ، والصلاحية، والحد القانوني.

الصف الأوسط هو الدرس. فالزاحف الموثَّق قد يكون مع ذلك في قائمة حجب، ولم يُبقِه خصم الزاحف في درجتنا عند allow.

قبل أن تبدأ: ابقَ سلبيًّا وسجّل أين ظهر عنوان IP

دوّن سياق التنبيه قبل أن تستعلم عن أي شيء: الطابع الزمني مع منطقته الزمنية، والمنفذ أو المسار الذي لامسه، وما فعله، كفحوص /wp-admin أو /.env أو دفعة من محاولات الدخول الفاشلة. هذا السياق يحدد الحكم بقدر ما يحدده أي استعلام.

ابقَ سلبيًّا: استخدم الاستعلامات والسجلات ومواقع السمعة، ولا تفحص العنوان بالمقابل أبدًا. فقد ينبّه فحص المنافذ من يشغّل المضيف، وفحص شبكة دون إذن قد يخالف القانون أو شروط مزودك.

الخطوة 1: هل هو عنوان عام قابل للتوجيه؟

تأكد أن العنوان كان بإمكانه الوصول إليك عبر الإنترنت أصلًا. اقرأ threat.is_bogon وthreat.is_cgnat. العنوان الوهمي (bogon) هو عنوان لا ينبغي أن يظهر على الإنترنت العام أبدًا، كنطاق خاص أو محجوز. فإذا ظهر أحدها مصدرًا على حافة إنترنت لديك، فأنت أمام حركة داخلية أو بروكسي سيئ الإعداد أو حزمة مزوَّرة، ولا ينطبق باقي هذا المسار.

وعنوان CGNAT (ترجمة العناوين على مستوى المشغل) قابل للتوجيه لكنه مشترك. فعنوان جوال أو نطاق عريض واحد قد يحمل مئات المشتركين في آن واحد، وأي قرار تتخذه بشأنه يقع عليهم جميعًا.

أعادت عناوينا الثلاثة is_bogon بقيمة false وis_cgnat بقيمة false، فتتابع المسار.

الخطوة 2: من يملكه؟ ASN وRDAP

يأتي المالك من سجلَّين: النظام المستقل (AS) الذي يعلن عن العنوان، وسجل المسجّل للكتلة. اقرأ asn.asn وasn.org وasn.rpki للمسار، ثم whois.org وwhois.netname وwhois.registered وnetwork.abuse_contact للتسجيل.

لاحظ ما لا تقوله السجلات. لا شيء في سجل خادم Mullvad يقول "Mullvad": فهو يسمّي 31173 Services، الشركة التي تشغّل شبكة Mullvad، وwhois.has_vpn_keywords قيمتها false. أما whois.org لدى DigitalOcean فعادت "none"، فيحمل ASN الملكية هناك. وهذا ما يخبرك به ASN عن الشبكة إن احتجت إلى الخلفية.

حين يكون السجل المخزَّن شحيحًا، ارجع إلى المصدر. تقيم بيانات التسجيل لدى سجلات الإنترنت الإقليمية الخمسة: ARIN وRIPE NCC وAPNIC وLACNIC وAFRINIC. ويخبرك ملف تمهيد RDAP لدى IANA أيها يحتفظ بنطاق ما. وRDAP هو الخليفة المنظَّم بصيغة JSON لـ WHOIS. وحين فتحنا سجل RDAP لدى RIPE للعنوان 5.39.1.230 في الساعة 05:43 بالتوقيت العالمي المنسق، أظهر كتلة أصغر هي 5.39.1.224/27 تسمّي المنظمة المسجِّلة فيها Ahrefs Pte Ltd. أما سجلنا المخزَّن فيعكس كتلة OVH الأكبر للعناوين الاحتياطية. وسجل المسجّل الأكثر تحديدًا هو الذي يسود.

الخطوة 3: ما نوع الشبكة؟

نوع الشبكة يؤطّر كل إشارة لاحقة، فاقرأه قبل أي بيانات سمعة. الحقول هي asn.asn_type وasn.user_type وasn.connection_type وdetection.is_hosting وdetection.is_mobile.

العناوين الثلاثة كلها عناوين استضافة، وانتهى واحد منها فقط عند الحجب. الاستضافة سياق لا ذنب: فنقاط خروج VPN والزواحف ومشغلات CI لديك كلها تعيش في مراكز البيانات. وهذا هو سبب أن عنوان الاستضافة ليس إثبات احتيال. وقيمة user_type لدى AhrefsBot وهي search_engine_spider هي أول تلميح إلى أن العنوان الثاني زاحف.

الخطوة 4: ماذا يقول اسم المضيف؟ DNS العكسي وFCrDNS

يعيد DNS العكسي اسم المضيف الذي ضبطه مالك الكتلة، ويتحقق DNS العكسي المؤكَّد بالأمامي (FCrDNS) من أن اسم المضيف يُحل إلى عنوان IP نفسه. اقرأ network.ptr_record وnetwork.fcrdns_valid، ثم أجرِ الفحص بنفسك، لأن سجل PTR المخزَّن قد يتأخر عن DNS الحي. أجرينا هذه الأوامر في الساعة 05:42 بالتوقيت العالمي المنسق يوم 19 أكتوبر 2026:

يجتاز عنوان AhrefsBot فحص FCrDNS حيًّا، وتقول صفحة الروبوت لدى Ahrefs إن أسماء مضيفي زواحفها تنتهي دائمًا بـ ahrefs.com أو ahrefs.net. لكن واجهتنا البرمجية لا تخزّن له PTR، ولهذا تُطلَق no_ptr_datacenter عليه لاحقًا. ثق بالتشغيل الحي أكثر من الحقل المخزَّن.

ويُظهر خادم DigitalOcean الإخفاق الآخر. فواجهتنا البرمجية تخزّن له اسم مضيف يعود إلى طرف ثالث لا علاقة له، وfcrdns_valid قيمتها false، وتُطلَق طريقة fcrdns_mismatch. أما dig -x الذي أجريناه نحن فلم يُعد أي PTR على الإطلاق، فالاسم المخزَّن قديم. وعدم التطابق هذا إشارة ضعيفة: كان إحدى طريقتين فقط أُطلقتا، ومع ذلك حصل العنوان على 12.

الخطوة 5: هل هو VPN أم بروكسي أم عقدة خروج Tor أم مرحِّل؟

تسأل هذه الخطوة هل يختبئ أحدهم خلف العنوان. اقرأ detection.is_vpn وis_proxy وis_tor وis_relay وvpn_provider وrelay_provider وlast_seen.

يُسمّى خادم Mullvad بقيمة vpn_confidence تساوي 95 لأنه في قائمة الخوادم التي تنشرها Mullvad لتطبيقاتها. وهذا هو كيف يُطابَق عنوان VPN مع مزوده، وله حد: فقد يلتقط الفحص خادم VPN غير مدرج ويبقى بلا اسم. وبالنسبة إلى Tor، قارن العنوان مع قائمة الخروج الكاملة لدى مشروع Tor، أو اقرأ دليلنا إلى اكتشاف حركة الخروج من Tor. المرحِّلات مثل iCloud Private Relay ليست VPN: فهي تحمل مستخدمي متصفحات عاديين، ولذلك تقيّد درجتنا عنوان المرحِّل عند 60 فلا يبلغ الحجب أبدًا.

الخطوة 6: هل هو زاحف موثَّق أم ماسح معروف؟

الزاحف الموثَّق هو عنوان في قائمة النطاقات المنشورة لدى مشغّله، والماسح بنية تحتية تفحص الإنترنت كله. اقرأ threat.crawler.verified وname وoperator وverification_method، ثم threat.is_scanner وthreat_types.

طابق AhrefsBot نطاقات Ahrefs المنشورة، فمشغّله محسوم. وأي عنوان يدّعي User-Agent الخاص به أنه Googlebot يستحق المعاملة نفسها: تحقق من عنوان IP يدّعي أنه Googlebot قبل أن تثق به. والصورة الأوسع في اكتشاف البوتات عبر عنوان IP.

الصف الرابع ماسح Censys في آن أربر، استُعلم عنه في الساعة 05:34 بالتوقيت العالمي المنسق. أعاد is_scanner بقيمة true ودرجة 0 وallow وقائمة detection_methods فارغة. علم الماسح لا يحرّك درجتنا، فاقرأه مباشرة.

الخطوة 7: هل هو في قوائم حجب، ومنذ متى؟

تسجّل قوائم الحجب أن إساءة رُصدت من عنوان، وتواريخها أهم من وجودها. اقرأ threat.is_abusive وis_spammer وis_botnet وdnsbl_sources.

ثم افحص المصادر الخارجية، بصورة سلبية:

• Spamhaus. يجمع ZEN قوائم حجب IP المجانية من Spamhaus، وتشير صفحته إلى أداة فحص سمعة IP والنطاقات لدى Spamhaus لمعرفة تفاصيل الإدراج.
• AbuseIPDB. يعرض AbuseIPDB بلاغات الإساءة المقدَّمة من المستخدمين. اقرأ درجة الثقة فيه وتواريخ أحدث البلاغات، لا العدد الإجمالي.
• VirusTotal. يعرض VirusTotal عدد موردي الأمن الذين يعلّمون العنوان وأي ملفات أو روابط مرتبطة به.
• Shodan وCensys. يعرض Shodan وCensys ما وجدته عمليات مسحهما قيد التشغيل على المضيف، فترى الخدمات المفتوحة دون أن تلمسه.

الحداثة أهم من الوجود. فإدراج من الأسبوع الماضي مهم، ونتيجة نظيفة من قبل ستة أشهر لا تخبرك بشيء تقريبًا عن اليوم.

الخطوة 8: اقرأ الدرجة والطرق التي أُطلقت

الدرجة حصيلة مؤرَّخة لكل ما سبق، ويخبرك scoring.detection_methods لماذا استقرت حيث استقرت. هذا هو استعلام AhrefsBot، مقتطعًا إلى المجموعات التي يستخدمها هذا الدليل، والقيم دون تعديل:

الطرق للعناوين الثلاثة جميعًا:

verified_crawler إشارة تبرئة تساوي ناقص 28.5 في تسجيلنا (ناقص 30 عند ثقة 0.95)، ومع ذلك لم تكن كافية لموازنة طريقتَي قوائم حجب وإدراج في قائمة السبام. السمعة تاريخ، والدرجة لقطة منه؛ وهذا هو كيف تُبنى سمعة IP.

الخطوة 9: قرّر هل تحجب عنوان IP أم البادئة أم ASN

اربط نطاق الدرجة بإجراء، ثم اختر مدى اتساع الإجراء. هذه هي الأحكام التي كنا سنتصرف بناءً عليها:

النطاق مهم بقدر الإجراء. احجب عنوان IPv4 واحدًا في الحالات المنفردة. أما في IPv6 فـاحجب بادئة IPv6 من نوع /64 بدل عنوان واحد، لأن عميلًا واحدًا يتحكم عادةً في /64 بأكملها. واحجب ASN كاملًا فقط لشبكات الاستضافة التي لا يأتي منها مستخدموك الحقيقيون أبدًا، ولا تفعل ذلك أبدًا لمشغل جوال أو نطاق CGNAT.

فضّل تحديد المعدل والتحديات على الحظر الصارم: فالحظر يصيب أيضًا من يحمل العنوان الأسبوع المقبل. أتمتة الحظر من سجلاتك، مثلًا عبر fail2ban، موضوع قائم بذاته. وللاطلاع على أي إشارة توقف أي هجوم، انظر أي إشارة IP توقف أي هجوم.

الخطوة 10: أبلغ جهة الاتصال الخاصة بالإساءة لدى الشبكة عن عنوان IP مسيء

أرسل بلاغات الإساءة إلى العنوان في network.abuse_contact، وهو يأتي من سجل المسجّل:

أرسل أدلة لا صفات: الطوابع الزمنية مع المنطقة الزمنية، وأسطر السجل، والمضيف والمنفذ المستهدفين، وما فعلته الحركة. وقدّم البلاغ على AbuseIPDB أيضًا ليراه المدافعون الآخرون.

الخطوة 11: إلى متى يصلح حكم عنوان IP؟

يصلح الحكم أيامًا لا شهورًا، وقد شاهدنا حكمًا يتغير. في 8 أكتوبر 2026 استعلمنا عن 5.39.1.230 لمقال عن كشط الويب. فأعاد crawler.verified بقيمة true وis_abusive بقيمة true ودرجة 23 وallow، مع الطرق abusive_listed وdatacenter_blocklisted وno_ptr_datacenter وverified_crawler.

وفي الساعة 05:34:32 بالتوقيت العالمي المنسق يوم 19 أكتوبر 2026 أعاد العنوان نفسه 59 وstep_up. الزاحف نفسه، والنطاق الموثَّق نفسه، والمشغّل نفسه. الذي تغير في الطرق هو known_spammer، الذي انضم إلى القائمة، ويُظهر استعلام اليوم is_spammer بقيمة true مع zen.spamhaus.org في dnsbl_sources. لم نسجّل هذين الحقلين في 8 أكتوبر، فنحن نعلم أن إدراج السبام جديد على الدرجة، لا أنه يوم أضافه Spamhaus. ظل خصم الزاحف الموثَّق مطبّقًا ولم يكن كافيًا. أحد عشر يومًا نقلت العنوان عبر نطاقين.

تتجدد مصادر التهديدات وملفات نطاقات الزواحف لدينا يوميًّا، فقد يتحرك الحكم بين ليلة وضحاها. القاعدة: خزّن التاريخ مع كل حكم، وأعد الاستعلام قبل التصرف بناءً على حكم أقدم من دورة مصادرك. العلم ليس حكمًا، والحكم ينتهي.

الخطوة 12: هل تستطيع العثور على الشخص وراء عنوان IP؟

لا. يقودك عنوان IP إلى شبكة لا إلى شخص: فلا يستطيع مطابقة عنوان ووقت مع مشترك إلا مزود الإنترنت أو المضيف، وهو يكشف ذلك بموجب إجراء قانوني كأمر قضائي، لا لك ولا لنا.

حقّق في العناوين التي لامست أنظمتك أنت، وتوقف عند الشبكة، ولا تحاول كشف هوية أحد أو فحصه. والموقع الجغرافي تقريبي أيضًا: فقد وضعت استعلاماتنا الثلاثة العناوين في فرانكفورت وباريس وNorth Bergen، وهذا يحدد مركز بيانات على مستوى المدينة، لا عنوانًا في شارع أبدًا.

شغّل المسار نفسه على تنبيهك التالي

خذ العنوان التالي من قائمة تنبيهاتك ومرّره عبر الاستعلام نفسه ومعه سياق التنبيه. ولأتمتة الفحوص الاثني عشر، ابدأ بـوثائق واجهة الاستعلام البرمجية.

الاستعلامات بلا مفتاح محدودة بـ 30 في الدقيقة، والحد صارم: فالطلب الثلاثون خلال دقيقة واحدة يعيد 429 ويحظر عنوان IP المتصل ساعتين. استخدم مفتاحًا مجانيًّا للسكربتات: فهو يمنح 1,500 استعلام يوميًّا بكل الحقول. وتغذية الاستعلامات إلى SIEM على نطاق واسع هي الخطوة التالية لقائمة انتظار مزدحمة.

الأسئلة الشائعة

كيف تحقّق في عنوان IP مشبوه؟

اعمل بصورة سلبية وبالترتيب. تأكد أنه عنوان عام قابل للتوجيه، واقرأ من يملكه وما نوع الشبكة، وافحص اسم المضيف وأعلام إخفاء الهوية والزواحف، واقرأ إدراجات قوائم الحجب وتواريخها، ثم تصرّف بناءً على درجة ودوّن التاريخ.

كيف أتحقق إن كان عنوان IP خبيثًا؟

لا يثبت ذلك فحص واحد. ابحث عن إدراجات حالية مثل Spamhaus وبلاغات إساءة حديثة على AbuseIPDB وأعلام إخفاء الهوية، ثم قارنها بما فعله العنوان في أنظمتك أنت. العلم يعني أن إساءة رُصدت من العنوان، لا أن هذا الطلب إساءة.

هل يمكنك العثور على الشخص وراء عنوان IP؟

ليس بمفردك. يقود عنوان IP إلى مشغّل شبكة، ولا يستطيع مطابقة عنوان ووقت مع مشترك إلا ذلك المشغّل، وهو يكشف ذلك بموجب إجراء قانوني، لا لك. أبلغ بدلًا من ذلك جهة الاتصال الخاصة بالإساءة لدى الشبكة.

هل أحجب عنوان IP أم البادئة أم ASN كاملًا؟

احجب عنوان IPv4 واحدًا في الحالات المنفردة، وبادئة IPv6 من نوع /64 بدل عنوان IPv6 واحد، وASN كاملًا فقط لشبكات الاستضافة التي لا يأتي منها مستخدموك الحقيقيون أبدًا. تجنّب حجب نطاقات الجوال أو CGNAT، لأن عنوانًا واحدًا قد يحمل مستخدمين كثيرين.

هل الزاحف الموثَّق آمن للسماح دائمًا؟

لا. طابق العنوان 5.39.1.230 الخاص بـ AhrefsBot نطاقات Ahrefs المنشورة في 19 أكتوبر 2026 لكنه كان مدرجًا أيضًا في Spamhaus ZEN وحصل على 59، أي step_up. يخبرك التوثيق بمن يشغّل العنوان، لا بأن نطاقه نظيف.

إلى متى تبقى نتيجة التحقيق في عنوان IP صالحة؟

أيامًا لا شهورًا. حصل عنوان AhrefsBot نفسه على 23، أي allow، في 8 أكتوبر 2026 وعلى 59، أي step_up، في 19 أكتوبر. أعد الاستعلام قبل التصرف بناءً على حكم قديم، وخزّن التاريخ مع كل حكم.