リスクスコアの理由：detection_methods フィールドを 1 つずつ読み解く

顧客が決済でブロックされ、理由を問い合わせてきたとします。「ベンダーが 92 と言ったので」では、会話は後味の悪い終わり方をします。「お客様の接続は、リストに載った VPN サーバーで、OpenVPN のポートが開いているところから来ていました」なら、自信を持って説明でき、考えを改めることも、チューニングすることもできる答えです。説明可能な不正スコアが得られるのは、数字だけでなく理由コードです。

このページは、そうした答えのための辞書です。数値そのものの意味と区分の位置については、まずIP 不正スコアとは何か、どう読むかから始めてください。ここでは、計算式を示し、実際のレスポンスを理由ごとにたどり、ポイントを引く 5 つの理由を扱い、スコアリングコードが返し得るすべての detection_methods の値を、その重みと発火の条件とともに一覧にします。

リスクスコアの理由は足し算：ポイント × 信頼度、そして範囲の制限

GeoIPHub のスコアリングでは、すべての理由が「ポイント × 信頼度」を寄与し、スコアはその合計を丸めて 0 から 100 の範囲に収めた値です。この上に隠れたモデルはありません。以下は、当社 API のスコアリングステップ（scoring.service.ts）を計算だけに絞ったものです。

つまずきやすい点が 2 つあります。1 つ目は、レスポンスの confidence が不正の確率ではないことです。理由の数とその平均的な大きさに応じて増えるため、控えめな理由が 4 つあれば、大きな理由が 1 つの場合より信頼度が高くなることがあります。理由がないルックアップは 0.1 を返します。2 つ目は、detection_methods の順序は、大きさ順ではなく、コードが確認する順だということです。最初の項目を主たる理由だと考えないでください。

ほかのベンダーは、理由を別の形で公開しています。MaxMind の minFraud のレスポンスには risk_score_reasons があり、これはリスクスコアに対する乗数で、ANONYMOUS_IP のようなコードが付きます。MaxMind は、これらが「通常は中程度から高リスクの取引でのみ返される」と注記しています。Socure の Sigma Identity Fraud は、0.001 から 0.999 のスコアに、「不正リスクスコアに影響した要因を理解するための詳細な情報を提供する」理由コードを組み合わせています。GeoIPHub の理由は加算されるポイントで、スコアの高低にかかわらず、スコアを動かしたすべての理由が一覧に載ります。

この計算が実データで成り立つことを確認しました。以下の 7 件のキーなしルックアップは 2026-10-29 の 04:43:09 から 04:43:54 UTC の間に約 7 秒おきに実行したもので、どのスコアも信頼度も、理由から正確に再現できます。

実際のレスポンスを 1 件たどる：AhrefsBot、35、review

AhrefsBot の 5.39.1.230 は、3 つの理由が 63.5 ポイントを加え、検証済みクローラーとの一致が 28.5 ポイントを引いたため、35、review となりました。理由が両方向に作用するので、最もよい教材です。以下は 04:43:09 UTC のルックアップ（meta.last_classified_at 2026-10-29T04:43:09.547Z）から絞り込んだレスポンスで、値は編集していません。

それぞれの理由は、計算の 1 行に対応します。

クローラーの一致を除くと合計は 63.5 で、丸めると 64、つまり step up です。検証済みのレンジファイルによって、実在し宣言どおりのクローラーが、チャレンジから記録付きの review へと動きました。allow までは動きませんでした。免責の理由は許可リストではなく重みだからです。同じアドレスへの Spamhaus の掲載は、引き続き数えられます。

このレスポンスが誤っている点

4 つの理由のうち 1 つは、当社側の欠落です。no_ptr_datacenter はアドレスに逆引き DNS がないと言っていますが、04:44 UTC の dig -x 5.39.1.230 は proxy-fr005-cip7.ahrefs.net を返しました。この理由は当社に保存された PTR 記録を読んでおり、その記録が欠けています。

欠落を直しても、このスコアは下がりません。コードを見るとその理由がわかります。当社の PTR 分類器は、「proxy」を含むホスト名をプロキシのパターンとして読みます。そのため、記録が保存されていれば no_ptr_datacenter（+5）は rdns_proxy（+14）に置き換わり、スコアは少なくとも 44 に上がります。それでも review ですが、その理由は匿名化ツールではなく、Ahrefs が自社クローラーのエグレス用に選んだホスト名によるものです。どちらも課題として記録しています。no_ptr_datacenter と rdns_* の理由は、弱い証拠として読んでください。その重みがすでにそう示しています。

免責の理由：5 つがポイントを引き、ゼロで止まる

免責の理由はマイナスのポイントを持つので、合計は下がりますが、スコアが 0 を下回ることはありません。GeoIPHub のスコアリング設定にはそれが 6 つあり、現在発火し得るのは 5 つです。

検証済みクローラーの割引は、Googlebot のルックアップに現れています。datacenter_ip が 10 を加え、verified_crawler が 28.5 を引き、API は 0 を返しました。残りのマイナス 18.5 は破棄されます。後の理由に対するクレジットとして積み立てられることはなく、これが正しい動作です。検証済みのレンジが、ボットネットへの掲載を隠せてはいけないからです。verified_crawler の裏にある 19 個のレンジファイルは、日付と許可リストビルダー付きで当社の検証済みクローラー IP リストに載せています。Google のファイルについては、IP による Googlebot の検証方法で詳しく扱っています。

住宅向けの割引は、実在のアドレスでは示せません。家庭の回線のルックアップを公開すると、世帯が特定されてしまうからです。そこで、コードの経路を文章で説明します。住宅向けの理由は逆引き DNS に依存します。当社のコードが回線を住宅向けと判断するのは、PTR のホスト名が dsl、pool、dynamic などの家庭用パターンに一致する場合だけです。一致し、かつ回線がモバイルや CGNAT としてもフラグ付けされていなければ、residential_isp（-17）と rdns_residential（-16）が一緒に発火し、合計はマイナス 33 です。モバイルまたは CGNAT の回線では residential_isp の代わりに mobile_carrier（-12）が付くので、その組はマイナス 28 です。ISP が逆引き DNS を公開していない、あるいは当社が認識しないパターンでホストに名前を付けている家庭用回線には、どちらの割引も付きません。ほかに不利な材料がなければ、単にスコアは 0 です。同じスコアなので、この欠落が問題になるのは、ほかの理由が発火するときだけです。

割引は反転もします。住宅向けの回線がプロキシ、Tor、VPN プロトコルの証拠（IPsec のタグだけでは数えません）を持つ場合、residential_isp は residential_with_threat（+21.25）に置き換わります。モバイル回線では mobile_with_threat（+16）が同じ役割を果たします。家庭に見えることへの割引は、その家庭がトラフィックを中継し始めた瞬間に取り消されます。

割引と並んで、2 つの上限があります。リレーのアドレスは 60 が上限なので、iCloud Private Relay のエグレスが block に達することはありません。Private Relay と WARP のトラフィックの検出方法と、それを通す理由を説明しています。当社の CGNAT ステップがフラグ付けしたアドレスは、VPN、プロキシ、Tor、VPN プロトコル、ボットネット、または不正の証拠を自ら持たない限り、50 が上限です。

すべての detection_methods の値をフィールド別に

GeoIPHub のスコアリングコードが名前を付けられる理由は 41 個で、現在レスポンスに現れ得るのは 36 個です。以下の表は、その 36 個すべてを、ポイント、信頼度、寄与とともに、それぞれが答える問いごとにまとめたものです。

そのアドレスは匿名化ツールか。 これらは、Tor Project の出口リスト、プロバイダーが公開しているサーバーリスト、当社独自のプロトコルプローブ、第三者のプロキシリストに由来します。プローブがカバーするのは SOCKS5、SOCKS4、HTTP CONNECT、HTTP forward、OpenVPN、IKE（v1 と v2）、PPTP、L2TP です。WireGuard のプローブはありません。

そのアドレスは不正を働いたか。 これらは 3 つの DNSBL ゾーンと、当社の不正およびボットネットのフィードに由来します。

サーバーインフラか。 ホスティングとは、厳選した 853 のホスティング ASN のいずれか、当社が読み込む 10 のクラウドプロバイダーのレンジ、またはエニーキャストのレンジのいずれかを指します。3 つの datacenter_* の理由のうち発火するのは 1 つだけで、強い順に適用されます。

逆引き DNS は何を示すか。 これらは、保存された PTR のホスト名を単純なパターンで読むため、それぞれの配点は軽くなっています。

どんな種類の回線で、既知のクローラーか。 ネットワークの種類に関する理由は常に対になっています。匿名化ツールの証拠がない場合の割引か、ある場合のペナルティです。

コードは知っているが返さない 5 つの理由

GeoIPHub のスコアリングコードには、現在レスポンスに現れ得ない名前が 5 つあります。それらを待つルールは作らないでください。

• spoofed_crawler（+42.75）。当社のパイプラインでこれを設定するものはなく、ルックアップが見るのは IP だけで、User-Agent は見ません。名乗っているボット名と threat.crawler の比較は、お客様側のコードで行います。
• honeypot_hit（+33.25）。ハニーポットのカウントはプレースホルダーで、常に 0 です。
• known_vpn_asn（+22.5）。当社のコードがネットワークを VPN とラベル付けするのは、アドレスがすでに VPN の場合だけなので、常に known_vpn_server が優先されます。
• rdns_cgnat（-10.5）。当社のホスト名分類器に CGNAT のパターンがありません。
• shadowsocks_suspected（+10）。当社に Shadowsocks のプローブはなく、読み込んでいるプロバイダーリストにも Shadowsocks をタグ付けしているものはありません。

設定ファイルには、ルックアップの経路が一度も読まない重みがさらに 11 個あり、それらの名前もレスポンスには届きません。休眠中の理由は、待ち続けて気づいていただくより、一覧にしておくほうがよいと考えています。

生の数値ではなく、理由に基づいてルールを書く

これらの名前を覚える実用上の理由は、理由に基づいて書いたルールは当社のデータの欠落に耐えるが、合計に基づいて書いたルールは耐えないことです。ログイン、サインアップ、決済のブロックしきい値が区分を定めます。その内側では、理由レベルのいくつかのルールが仕事の大半を担います。

• tor_exit、socks5_open、http_proxy_open、botnet_c2 は、それぞれ単独で強いものとして扱う。いずれも 33 以上を加え、リストか当社独自のプローブに由来する。
• no_ptr_datacenter、fcrdns_mismatch、rdns_* の理由は、単独では動かない。配点は 2 から 24 ポイントで、欠落や古さのあり得る保存済みホスト名を読んでいる。
• verified_crawler は、threat.crawler.verified と、User-Agent が名乗るボットに一致するオペレーターと合わせて読む。threat.crawler.name は使わない。2026 年 10 月 29 日の AhrefsBot のようにスパムリストに載った検証済みクローラーは、決済ではなく、クロールの許可リストに置く。
• wireguard_open は、プローブの結果ではなく、リストの証拠として扱う。プロバイダーの公開リストが、そのサーバーは WireGuard を実行していると述べているという意味である。
• すべての判断で、detection_methods の配列全体をログに残す。サポート担当者やチャージバックの審査担当者が求める監査証跡になる。

これをコードにすると次のようになります。使っているのは実在のフィールドだけです。

理由は、証拠がどこから来たかも教えてくれます。顧客が異議を唱えるとき、それが重要になります。vpn_confidence が 95 の known_vpn_server は、プロバイダー自身のリストを意味します。IP の背後にある VPN プロバイダーを特定する方法と、各信頼度の値の意味を説明しています。プローブの側面については、VPN とプロキシの検出の仕組みが、最も重い匿名化ツールの理由の出どころを扱い、IP データフィールドの全一覧がレスポンスの残りを文書化しています。

スコアを自分で足し合わせてみる

任意のアドレスを GeoIPHub の無料の IP 不正スコアチェッカーに貼り付け、理由をコピーして、上の表から数字を再現してみてください。ご自身の合計と当社のスコアが食い違うなら、どちらかにバグがあります。どちらなのか、ぜひお知らせください。

よくある質問

scoring.detection_methods には何が含まれますか？

スコアを動かしたすべての理由の名前が、大きさ順ではなく、GeoIPHub のスコアリングコードが確認する順に入っています。各名前には、スコアリング設定で固定のポイントと信頼度が定められており、スコアはポイントと信頼度の積の合計を丸めて、0 から 100 の範囲に収めたものです。GeoIPHub のコードが名前を付けられる理由は 41 個で、現在レスポンスに現れ得るのは 36 個です。

検証済みクローラーでも review のスコアになるのはなぜですか？

GeoIPHub のスコアリングでは、verified_crawler は許可リストではなく重みだからです。28.5 ポイントを引きます（信頼度 0.95 では 30 ポイント）。5.39.1.230 の AhrefsBot は 2026-10-29 に Spamhaus への掲載も抱えていたため、スパムとブロックリストの理由が割引を上回りました。クローラーの一致がなければ 64（step up）になるところが、35 の review になっています。

スコアがゼロを下回ることはありますか？

加重合計は下回りますが、スコアは下回りません。66.249.66.1 の Googlebot は 2026-10-29 に合計がマイナス 18.5（datacenter_ip と verified_crawler）になり、GeoIPHub の API は 0 を返しました。マイナスの残高が、ほかの何かのクレジットとして持ち越されることはありません。

wireguard_open は、GeoIPHub が WireGuard のハンドシェイクを完了したという意味ですか？

いいえ。GeoIPHub に WireGuard のプローブはありません。wireguard_open は、VPN プロバイダー自身が公開しているサーバーリストがそのサーバーを WireGuard とタグ付けしているという意味です。当社のプローブがカバーするのは SOCKS5、SOCKS4、HTTP CONNECT、HTTP forward、OpenVPN、IKE（v1 と v2）、PPTP、L2TP なので、openvpn_open、pptp_open、l2tp_open、socks5_open、http_proxy_open がプローブの結果です。

逆引き DNS があるアドレスで no_ptr_datacenter が出るのはなぜですか？

この理由は、実際のクエリではなく GeoIPHub に保存された逆引き DNS の記録を読んでおり、その記録には欠落があるからです。2026-10-29 には AhrefsBot の 5.39.1.230 と Tor 出口の 185.220.101.1 で発火しましたが、dig -x ではどちらも解決できました。配点は 5 ポイントなので、生の件数ではなく、信頼できる理由に基づいてルールを書いてください。