منع الاحتيالعند أي درجة احتيال لعنوان IP ينبغي أن تحظر؟
عتبات درجة الاحتيال لعنوان IP لتسجيل الدخول والتسجيل والدفع، مختبرة على خمسة عناوين حقيقية: درجة واحدة وثلاثة إجراءات، ولماذا لا يصل مستخدم الترحيل أو CGNAT إلى الحظر.
لا توجد عتبة واحدة لدرجة احتيال عنوان IP يُحظر عندها: الدرجة نفسها قد تمرّ في تسجيل دخول، وتُحال للمراجعة في تسجيل، وتُرسل عملية دفع إلى 3-D Secure. يعتمد مقياس GeoIPHub من 0 إلى 100 افتراضياً السماح حتى 25، والمراجعة حتى 50، والتحقق الإضافي حتى 75، والحظر فوق 75، ويحرّك هذا الدليل تلك الخطوط لكل إجراء، مختبراً على خمسة عناوين عامة في 22 أكتوبر 2026.
درجة واحدة، وثلاثة أبواب: خمسة عناوين IP مررناها على العتبات
الحكم نفسه من API يقع بشكل مختلف عند كل باب، وسقفان للدرجة يحددان أقصى ما يمكن أن يبلغه عنوان مشترك. في الساعة 04:56 بالتوقيت العالمي المنسق يوم 22 أكتوبر 2026 استعلمنا عن خمسة عناوين عامة بواسطة API بدون مفتاح، وطبّقنا كل نتيجة على العتبات المبدئية في القسم التالي. الصفّان الأخيران ليسا استعلامين، بل هما السقفان المحددان في إعدادات التقييم لدينا.
| العنوان | ما هو | الدرجة، الإجراء | تسجيل الدخول | التسجيل | الدفع |
|---|---|---|---|---|---|
185.220.101.1 | عقدة خروج Tor، TORSERVERS-NET، هامبورغ | 100، block | حظر | حظر | حظر |
185.213.155.73 | خادم Mullvad VPN، فرانكفورت، في قائمة Mullvad نفسها | 100، block | حظر، أو MFA بحسب السياسة | حظر | حظر |
5.39.1.230 | AhrefsBot موثّق على OVH، مدرج في Spamhaus ZEN | 35، review | تسجيل الدخول مع تسجيل السبب | إنشاء الحساب مع وسمه للمراجعة | 3-D Secure |
104.28.46.99 | مخرج iCloud Private Relay على Cloudflare | 9، allow | سماح | سماح | سماح |
45.33.32.156 | scanme.nmap.org، خادم Linode | 10، allow | سماح | سماح | سماح |
| أي عنوان Private Relay | سقف الترحيل | 60 كحد أقصى | MFA كحد أقصى | تحقق كحد أقصى | 3-D Secure كحد أقصى |
| أي عنوان CGNAT | سقف NAT على مستوى المشغّل | 50 كحد أقصى | تسجيل الدخول مع التسجيل في السجل | وسم للمراجعة كحد أقصى | 3-D Secure كحد أقصى |
أربعة أمور في هذا الجدول تستحق التصرف بناءً عليها.
- للدرجتين 100 سببان مختلفان. طرق عقدة Tor هي
tor_exitوdatacenter_blocklistedوno_ptr_datacenterوknown_spammer: أداة إخفاء هوية ذات سجل بريد مزعج. وطرق خادم Mullvad هيknown_vpn_serverوwireguard_openوdatacenter_with_vpn_proxyوno_ptr_datacenter، معthreat.is_spammerبقيمة false ودون إدراج في قوائم حظر DNS. إذا كان عملاؤك يستخدمون VPN، فقاعدة لتسجيل الدخول تحوّل الحظر الناتج عن VPN وحده إلى MFA قاعدة مقبولة، ولن تنطبق أبداً على عقدة Tor. - الصف الأوسط هو حيث تثبت العتبات لكل إجراء قيمتها. AhrefsBot عند 35 يجتاز تسجيل الدخول، ويُوسَم عند التسجيل، ويذهب إلى 3-D Secure عند الدفع. ومع ذلك فلا سبب لزاحف SEO موثّق أن يرسل أياً من هذه النماذج، وهذا ما لا تخبرك به الدرجة وحدها.
- ذلك الصف الأوسط تغيّر خلال أسبوعين. حصل العنوان نفسه على 23 في 8 أكتوبر، وعلى 59
step_upفي 19 أكتوبر مع وجودabusive_listedبين طرقه. وفي 22 أكتوبر اختفت تلك الطريقة وصارت الدرجة 35، فانخفض تسجيل الدخول من MFA إلى دخول عادي. نستعرض ذلك العنوان في كيفية التحقيق في عنوان IP. خزّن الدرجة والطرق والتاريخ مع كل قرار، وأعد الاستعلام قبل التصرف بناءً على حكم قديم. - العناوين المشتركة لا تبلغ الحظر. Private Relay محدود بـ 60 (
relay_max_score)، فلا يمكنه تجاوز خط الحظر الافتراضي 76. وCGNAT محدود بـ 50 (cgnat_max_score)، أعلى نطاق المراجعة. وأشد خطوط الحظر لدينا، 66 عند الدفع، يقع فوق كليهما عمداً. عند 60 أو أقل قد يُرفض مستخدم ترحيل محدود السقف لمجرد أنه يشارك عنواناً.
يُظهر صفّا السماح أن التقييم تراكمي. إشارة relay_ip للترحيل تساوي 10 نقاط بثقة 0.85، وتُقرَّب إلى 9. وإشارة datacenter_ip لخادم Linode تساوي 20 نقطة بثقة 0.5، أي 10. الاستضافة سبب للنظر لا للحظر، وينبغي أن تمر عناوين الترحيل، كما نشرح في كيفية اكتشاف حركة Private Relay وWARP.
عتبات مبدئية لدرجة الاحتيال لتسجيل الدخول والتسجيل والدفع
تشدّد العتبات المبدئية خط الحظر كلما ارتفعت كلفة السماح الخاطئ: 76 عند تسجيل الدخول، و71 عند التسجيل، و66 عند الدفع. تعامل معها كنقاط انطلاق وضبطها على بيانات الاحتيال لديك.
| الإجراء | السماح | المراجعة أو التحقق الإضافي | الحظر | السبب |
|---|---|---|---|---|
| تسجيل الدخول | 0 إلى 50، مع التسجيل في السجل من 26 إلى 50 | 51 إلى 75: اطلب MFA | 76 فما فوق | كلمة المرور وMFA لا يزالان يحرسان الجلسة |
| التسجيل | 0 إلى 25 | 26 إلى 50: أنشئ الحساب وسمه؛ 51 إلى 70: تحقق من البريد أو الهاتف | 71 فما فوق | الحسابات الوهمية رخيصة الإنشاء |
| الدفع | 0 إلى 25 | 26 إلى 65: 3-D Secure | 66 فما فوق | السماح الخاطئ يصبح استرداداً للمبلغ |
| API أو القراءة | 0 إلى 69 | 70 إلى 84: حدّ المعدل | 85 فما فوق | التكاملات تعمل من خوادم سحابية |
اجمع الدرجة مع بضع قواعد على الإشارات للحالات الواضحة:
- احظر أي إجراء عندما تكون
detection.is_torقيمتها true. هذه هي الحالة الوحيدة التي يبرر فيها السبب وحده الرفض. - لا تحظر حظراً صارماً بالدرجة عندما تكون
detection.is_relayأوthreat.is_cgnatقيمتها true. السقفان يفرضان ذلك هنا؛ والقاعدة تحميك إذا خفّض أحدهم خط حظر لاحقاً. - عند الدفع، عامل
reviewكأنهاstep_up. يتضمن شرح واجهة API لاكتشاف احتيال IP شيفرة Node وPython مختبرة لهذا التجاوز بالضبط، مع معالجة تتسامح مع الفشل عند انتهاء مهلة الاستعلام.
لمعرفة ما يعيده كل نوع من العناوين عند التسجيل، وحدود السرعة لكل بادئة التي تلتقط ما تمرّره الدرجة، اقرأ اكتشاف الحسابات الوهمية عند التسجيل.
ولمعرفة ما يعنيه كل نطاق وكيف تُبنى درجة واحدة، ابدأ بـكيفية قراءة درجة الاحتيال لعنوان IP.
عقدة خروج Tor تحصل على 100، والطرق تفسّر السبب
هذه نسخة مختصرة من الاستجابة الحقيقية للعنوان 185.220.101.1، الذي استُعلم عنه في الساعة 04:56 بالتوقيت العالمي المنسق يوم 22 أكتوبر 2026:
curl "https://api.geoiphub.com/v1/lookup/185.220.101.1" \
-H "x-api-key: YOUR_API_KEY"
{
"ip": "185.220.101.1",
"asn": {
"asn": 60729,
"org": "TORSERVERS-NET - Stiftung Erneuerbare Freiheit",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"detection": {
"is_proxy": false,
"is_vpn": false,
"is_tor": true,
"is_hosting": true,
"is_anonymous": true,
"anonymity_level": "high"
},
"threat": {
"is_spammer": true,
"threat_types": ["spammer", "tor"],
"dnsbl_sources": ["zen.spamhaus.org"]
},
"scoring": {
"fraud_score": 100,
"recommended_action": "block",
"detection_methods": ["tor_exit", "datacenter_blocklisted", "no_ptr_datacenter", "known_spammer"]
}
}
الدرجة fraud_score البالغة 100 تتجاوز كل خطوط الحظر في الجدول، فيرفضها تسجيل الدخول والتسجيل والدفع جميعاً. ثلاثة أسباب تبلغ بها ذلك وحدها: tor_exit (45 نقطة بثقة 0.99) وknown_spammer (40 بثقة 0.9) وdatacenter_blocklisted (30 بثقة 0.75) تجمع 103 قبل السقف عند 100. والقيمة detection.is_vpn هي false، لأن Tor يُوسَم مستقلاً، فيمكنك حظر detection.is_tor حظراً صارماً مع الاستمرار في تحدّي مستخدمي VPN العاديين.
السبب الرابع قصور من جانبنا. تقول no_ptr_datacenter إن العنوان بلا DNS عكسي، ومع ذلك أعاد dig -x 185.220.101.1 اسم مضيف لعقدة خروج Tor في الساعة 04:57 بالتوقيت العالمي المنسق ذلك الصباح. قاعدة بياناتنا تفتقد ذلك السجل المخزّن، وقد سُجّل الإصلاح. يصمد الحكم على الإشارات الثلاث الأخرى، لكنه سبب وجيه لكتابة القواعد على إشارات تثق بها لا على المجموع الخام.
لماذا تفشل عتبة عامة واحدة
تفشل العتبة الواحدة لأن كل نقطة نهاية تواجه هجوماً مختلفاً. صفحات تسجيل الدخول تمتص حشو بيانات الاعتماد: وجد تقرير Verizon DBIR لعام 2025 أنه شكّل وسيطاً قدره 19% من جميع محاولات المصادقة يومياً، و44% في أسوأ يوم. وتواجه صفحات الدفع اختبار البطاقات، وتواجه صفحات التسجيل الحسابات الوهمية. وفي 2 ديسمبر 2025 لم يولّد البشر سوى 47% من طلبات HTML، وفق مراجعة Cloudflare Radar لعام 2025.
الأنظمة الناضجة تتصرف أصلاً بحسب النطاقات. تتراوح درجة البوت في Cloudflare من 1 إلى 99، ويكتب العملاء قواعد للحظر أو التحدي أو السماح بناءً عليها (درجات البوت في Cloudflare). وتقول OWASP إن حظر IP "لا ينبغي استخدامه بوصفه الدفاع الوحيد أو الرئيسي بسبب سهولة الالتفاف عليه" (ورقة OWASP عن حشو بيانات الاعتماد). وتستشهد الصفحة نفسها بتحليل Microsoft الذي يفيد بأن MFA كانت ستوقف 99.9% من حالات اختراق الحسابات. وهذا يجعل نطاق التحقق الإضافي عند تسجيل الدخول تأميناً رخيصاً. ويقول NIST SP 800-63B إن عنواناً جغرافياً أو عنوان IP غير متوقع "قد يستدعي استخدام ضوابط إضافية قائمة على المخاطر" ولا "يحل محل عامل مصادقة" (NIST SP 800-63B).
يبني GeoIPHub درجة مخاطر قابلة للتفسير من 0 إلى 100 من 36 سبباً موزوناً، ويسمّي في scoring.detection_methods كل سبب انطلق. بعضها يخفض الدرجة: سبب مزود الإنترنت السكني يخصم 17 نقطة (ناقص 20 بثقة 0.85) والزاحف الموثّق يخصم 28.5 (ناقص 30 بثقة 0.95).
العتبة المنخفضة تعاقب العناوين المشتركة والخاصة
خط حظر منخفض "للاحتياط" يرد عملاء يشاركون عنوانهم أو يخفونه لأسباب عادية:
- مستخدمو VPN. في تقرير Security.org عن VPN لعام 2026، وهو استطلاع لـ 1,008 بالغين أمريكيين في أغسطس 2026، قال 42% إنهم يستخدمون VPN لأغراض شخصية أو للعمل. وكانت الخصوصية العامة (56%) والأمان العام (51%) أبرز الأسباب.
- NAT على مستوى المشغّل. يحجز RFC 6598 النطاق
100.64.0.0/10لـ CGNAT، وتشير Cloudflare إلى أنه خلفه "قد يبدو مئات أو حتى آلاف العملاء كأنهم صادرون عن عنوان IP واحد". ووجدت Cloudflare أيضاً أن عناوين CGNAT يُحدّ معدلها أكثر بثلاث مرات من غيرها، مع أن وسيط معدل البوتات شبه متطابق: 4.8% مقابل 4.7% (Cloudflare عن CGNAT). - iCloud Private Relay. تقول Cloudflare، التي تشغّل قفزة في الترحيل، إن المواقع التي تستخدم عناوين IP لمنع الاحتيال "يمكنها الوثوق" باتصالات Private Relay، لأن Apple تتحقق من الجهاز والحساب (Cloudflare عن Private Relay).
يعيد GeoIPHub الحقول detection.is_mobile وdetection.is_relay وthreat.is_cgnat، ويطبق سقف CGNAT البالغ 50 وسقف الترحيل البالغ 60 قبل أن يعيد الدرجة.
قيّم عنوان IP الصحيح، وإلا فكل عتبة بلا معنى
إذا قيّمت قيمة X-Forwarded-For مزوّرة، فقد أُبطلت عتباتك المضبوطة قبل أن تعمل. يحذر RFC 7239 من أن ترويسة Forwarded "لا يمكن الاعتماد على صحتها"، لأن أي عقدة في الطريق، بما فيها العميل، يمكنها تعديلها (RFC 7239). وقاعدة MDN أن أي استخدام أمني لـ X-Forwarded-For "يجب ألا يستخدم إلا عناوين IP أضافها بروكسي موثوق"، تُحدَّد بالعدّ من أقصى اليمين بعدد البروكسيات التي تشغّلها (MDN: X-Forwarded-For). نحن نقيّم أي IP ترسله، فاستخرجه أولاً من سلسلة البروكسيات الموثوقة لديك.
اضبط العتبات على نتائجك الفعلية
ابدأ من الجدول، ثم حرّك كل خط بالأدلة. سجّل الدرجة وrecommended_action وdetection_methods والتاريخ مع كل قرار، وبعد بضعة أسابيع قارنها بالاحتيال المؤكد والمبالغ المستردة. إذا كان خط الدفع 66 لديك يترك استردادات تمر عند 55 إلى 65 فاخفضه، لكن لا تنزل به إلى 60 أو أقل ما دمت تخدم مستخدمي Private Relay. وإذا كان التحقق عند التسجيل في النطاق 51 إلى 70 نادراً ما يلتقط حساباً سيئاً فارفع الخط.
تغطي الخطة المجانية 1,500 استعلام في اليوم بجميع الحقول. ولفحص عنوان واحد يدوياً، تعرض أداة فحص درجة الاحتيال لعنوان IP الدرجة والأسباب نفسها دون شيفرة.
لمجموعة إشارات أوسع، راجع أدلتنا حول اكتشاف الحركة المجهولة الهوية دون حظر العملاء الحقيقيين واحتيال البروكسي السكني مقابل بروكسي مركز البيانات وإيقاف الاستيلاء على الحسابات وحشو بيانات الاعتماد واكتشاف إساءة استخدام العروض والقسائم عند خطوة الاسترداد وموقع إشارات IP في منظومة اكتشاف احتيال الدفع.
الأسئلة الشائعة
ما الدرجة الجيدة للحظر عند درجة احتيال عنوان IP؟
لا توجد عتبة عالمية واحدة. نطاقات GeoIPHub الافتراضية تحظر عند 76 فما فوق. وعتباتنا المبدئية تُبقي ذلك لتسجيل الدخول، وتخفضه إلى 71 للتسجيل وإلى 66 للدفع، لأن الطلب الاحتيالي ببطاقة غير حاضرة يكلف أكثر بكثير من إعادة طلب كلمة المرور. تختلف مقاييس المزودين الآخرين، فاقرأ أي عتبة على نطاقات مزودها.
ماذا تعني درجة احتيال 75 لعنوان IP؟
على مقياس GeoIPHub من 0 إلى 100، تمثل 75 أعلى نطاق step_up. يبدأ الحظر عند 76. تحدَّها بدلاً من السماح بها بصمت، واقرأ scoring.detection_methods، لأن 75 ناتجة عن إشارات VPN وأخرى ناتجة عن سجل قوائم حظر تستدعيان استجابتين مختلفتين. عقدة خروج Tor الحقيقية لا تقف عند 75 أصلاً: العنوان 185.220.101.1 حصل على 100، block، في استعلامنا بتاريخ 22 أكتوبر 2026.
هل ينبغي حظر مستخدمي VPN والبروكسي تلقائياً؟
لا. في استطلاع Security.org لأغسطس 2026 على 1,008 بالغين أمريكيين، قال 42% إنهم يستخدمون VPN لأغراض شخصية أو للعمل، وكانت الخصوصية والأمان أبرز الأسباب. تعامل مع وسم VPN بوصفه سبباً لتحدٍّ إضافي لا رفضاً تلقائياً، واحتفظ بالحظر الصارم لعقد خروج Tor والعناوين ذات سجل البريد المزعج أو قوائم الحظر.
هل يمكن حظر مستخدم iCloud Private Relay أو CGNAT بالدرجة وحدها؟
ليس وفق إعدادات GeoIPHub الافتراضية. عناوين Private Relay محدودة بسقف 60 وعناوين NAT على مستوى المشغّل بسقف 50، وكلاهما دون خط الحظر الافتراضي 76. أبقِ كل عتبة حظر فوق 60 ولن يمكن أبداً سوى تحدّي العنوان المشترك لا رفضه بالدرجة وحدها.
لماذا عتبة الحظر أدنى عند الدفع منها عند تسجيل الدخول؟
السماح الخاطئ عند الدفع يشحن بضاعة مقابل بطاقة مسروقة ويعود في صورة استرداد للمبلغ، بينما السماح الخاطئ عند تسجيل الدخول لا يزال عليه اجتياز كلمة المرور وأي عامل ثانٍ. لذلك يبدأ الحظر عند الدفع من 66، وعند تسجيل الدخول من 76 فقط.
الفريق الذي يقف وراء واجهة GeoIPHub API
بقلم فريق GeoIPHub، وهم من يبنون واجهة GeoIPHub API لاستخبارات IP وماسحها. تُعَدّ المسودات بمساعدة الذكاء الاصطناعي ويحررها الفريق، وأمثلة API استعلامات حقيقية على واجهة API الحية ما لم تُوصف بأنها توضيحية.
