データセンターIPアドレスとは？ クラウド／ホスティングのトラフィックを検出する方法（実在の顧客をブロックせずに）

不正・不正利用対策のチームはどこも、ある暗黙の前提に頼っています。支払いを行う顧客は、自宅のスマートフォンかノートPCの前にいる人間である、という前提です。ところが、リクエストがデータセンターのラックから届くと、この前提が崩れ、その崩れ自体が情報になります。データセンターと住宅用の区別は、IPインテリジェンスで最も古くから使われる有用なシグナルの一つであり（VPN・プロキシ検出の仕組みの中核となる層でもあります）、この話題について書かれたものの大半は、プロキシベンダーが検出を回避する方法を説明したものです。本ガイドは反対の立場に立ち、検出が実際にどう機能するのか、単純な実装がなぜ裏目に出るのか、そしてシグナルを根拠を示せる判断へと変える方法を解説します。

データセンターIPアドレスとは（住宅用IPとの違い）

すべてのパブリックIPアドレスは、自律システム（Autonomous System）と呼ばれるちょうど1つのネットワークによって広告されており、そのネットワークの正体から、アドレスの背後にいる可能性が高い相手について多くのことが分かります。一般消費者向けISPが広告するアドレスは、家庭や携帯電話で終端します。ホスティング事業者が広告するアドレスは、サーバーで終端します。この違いがすべてです。

最後の行に注目してください。プロキシベンダーのガイドが触れない部分です。データセンターIPは悪意があるわけではありません。人間向けのフローにとって想定外なのです。データセンターから届くAPI連携、Webhook、監視プローブは、まったく普通です。一方、一般の消費者が、OVHのサーバーから銀行口座を申し込むことは普通ではありません。「想定外」が「不正」を意味するかどうかは、文脈で決まります。

データセンターIPが不正対策でこれほど重要な理由

このシグナルに重みがあるのは、自動化はどこかで動かさなければならず、最も安価で拡張しやすい場所がレンタルのクラウドインフラだからです。不正なトラフィックの発信元を見ると、データセンターは、そこにいる実在の人間の数に比べて、極端に多く含まれています。IPからbotについて分かること、分からないことのガイドでは、公開されているクローラーのレンジからTorやスキャナーのフラグまで、他のbotシグナルと並べてデータセンターのフラグを位置づけています。

（これらはベンダーのネットワークテレメトリに基づく推定値です。方向性を示す有力な証拠として出典を明記していますが、インターネット全体を対象とした調査ではありません。）要点は単純です。大規模なクレデンシャルスタッフィング、スクレイピング、偽アカウントの作成、カーディングの大半は、ホスティングのインフラから行われています。1時間数ドルで1,000台のワーカーを立ち上げられるからです。データセンターIPにフラグを立てることは、その経済性に課税する最も安価な方法であり、だからこそ攻撃者はそれを隠す術を身につけました。この問題は後ほど取り上げます。

データセンターIP検出の実際の仕組み

IPパケットに「データセンターを示すビット」のような魔法はありません。検出とは、アドレスをそれを運用するネットワークに帰属させ、そのネットワークを分類する作業です。運用中のシステムは、単独の手法には死角があるため、複数の手法を重ねて使います。

• ASNとホスティングプロファイル（基礎）。 IPをASNに解決し、その自律システムがホスティング／クラウド事業者なのか、住宅向けISPなのかを確認します。AS16509（Amazon）やAS14061（DigitalOcean）が広告するアドレスはサーバーであり、住宅向けISPが広告するアドレスは、おそらく人です。これだけで、最初のルックアップでデータセンタートラフィックの大半を捉えられます。
• 逆引きDNS（rDNS）。 クラウド事業者は、PTRレコードにリージョンコード、インスタンスID、compute.amazonaws.comのようなサフィックスといったヒントを埋め込みます。rDNSはASNの判定を裏付け、アドレス空間を再広告するリセラーを捉えられることもあります。
• レジストリとWHOISの割り当て。 地域インターネットレジストリは、ブロックの割り当て先を記録しています。割り当ての種類と組織から、本物のISPのアドレス空間と、切り出されて転貸されたホスティングの空間を区別しやすくなります。
• 公開されているクラウドのレンジ。 主要な事業者は、自社のIPレンジを公開しています。それと照合することで、「おそらくホスティング」が「間違いなくAWSのus-east-1」に変わります。
• アクティブプロービング（重要な場面で）。 ASNのデータから、アドレスがサーバーであることは分かりますが、そのサーバーがSOCKS5プロキシやOpenVPNのエンドポイントを動かしているかどうかまでは分かりません。該当するポートに接続し、ハンドシェイクを読み取ることで分かります。こうして、データセンターIPは「ホスティング」から「ホスティングかつオープンプロキシ」へと精緻化されます。

優れたIPインテリジェンスAPIなら、これらすべてを代行し、監査できるよう根拠を添えて、判定を単一のフィールドとして返します。

以下は、実際のレスポンスを一部抜粋したものです（ルックアップ実行日: 2026年10月2日）。

ASNのリストを管理する必要も、クラウドのレンジをスクレイピングする必要も、プローブを自分で動かす必要もありません。detection.is_hostingを読めばよく、scoring.detection_methodsが、それが真である理由を示します。スコアに注目してください。匿名化ツールもオープンなプロキシポートも不正利用の登録もない、ごく普通のDigitalOceanのdropletは、スコア15でallowの帯域に入ります。データセンターのアドレスであることはシグナルであって結論ではなく、これが次のセクションの要点です。ルックアップで返されるすべてのフィールドはIPデータフィールド完全一覧を、各判定がどう作られるかはGeoIPHubの方法論をご覧ください。

落とし穴：データセンターのトラフィックがすべて不正とは限らない

単純な実装が、防ごうとする不正以上の被害を出すのは、ここです。if (detection.is_hosting) blockと書いただけでは、正当なトラフィックを数多くブロックしてしまいます。しかも、その背後にいるユーザーは、しばしば最良の顧客です。プライバシー意識の高いユーザーや企業のトラフィックの多くは、いまや設計上、クラウドのインフラを出口にしているからです。

データセンターIPから届く正当なトラフィックには、次のようなものがあります。

• 企業のVPNとSASEの出口。 最新の企業向けセキュリティ（Zscaler、Netskope、Cloudflare One）は、従業員をクラウドのゲートウェイ経由で接続させます。会社全体が、単一のデータセンターIPから来ているように見えることがあります。
• AppleのiCloud プライベートリレー。 Appleのプライバシー機能は、パートナーのネットワークを出口にしており、そのインフラの一部は住宅用ではなくホスティングとして分類されます。これをブロックすると、iPhoneのSafariユーザーの一部を締め出すことになります。通過させるための方法は、iCloud プライベートリレーのトラフィックを検出する方法をご覧ください。
• サーバーサイドレンダリング、リンクプレビュー、Webhook。 誰かがあなたのURLをSlackやiMessageに貼り付けると、サーバーがそれを取得します。あなた自身の連携も、サーバーからAPIを呼び出します。
• 稼働監視とセキュリティ監視。 Pingdom、UptimeRobot、そしてエンドポイントに来てほしい脆弱性スキャナーは、すべてデータセンターから発信されます。
• 検証済みのAIクローラーとショッピングエージェント。 発見や購買の増え続ける部分が、クラウドで動くAIエージェントによるものになっています。無差別にブロックすると、実在し成長している経路から自分を見えなくしてしまいます（IPでAIクローラーとエージェントを検証する方法を参照）。

データセンターのフラグは事前情報であって、結論ではありません。これを見たらリスクを引き上げ、その後で免責のシグナル（検証済みのクローラー、既知のプライバシープロバイダー、クリーンな不正利用履歴）によって引き下げるのが役割です。まさにこのバランスについては、実在の顧客をブロックせずに匿名化トラフィックを検出するで扱いました。クラウドサーバー上のスクレイパーについては、アクセスログからWebスクレイピングを見抜くのガイドが、ホスティングのフラグよりもリクエストの頻度とページの順序が重要である理由を示しています。

データセンターの検出だけでは、もう十分ではない

完璧なデータセンター分類器にも限界があります。攻撃者もあなたと同じ手引きを読んでいるからです。データセンターIPが簡単にフラグ付けされるようになった時点で、不正は、住宅用に見えるインフラへ移りました。住宅用プロキシです。侵害されたデバイスや怪しいSDK上にある、実在のISPが割り当てたアドレスが、出口ノードとして転売されています。これらを経由したトラフィックは住宅用のASNを持ち、is_hostingのチェックをそのまま通り抜けます。

これは特殊な手口ではありません。Impervaの2025年のデータでは、botによる攻撃の21%が、まさにデータセンターのシグナルを逃れるために住宅用プロキシを使っています。したがって、データセンターのチェックは、住宅用プロキシの挙動（アドレスの入れ替わり、ポートのフィンガープリント、UAの多様性、バースト性のパターン）もモデル化し、不正利用の履歴も加味する、多層的な仕組みの中に置く必要があります。この点は2026年の住宅用プロキシ不正で詳しく解説しています。教訓は、is_hostingは証拠の一層であって、判定のすべてではない、ということです。

データセンターIPに実際にどう対処するか

検出は簡単な半分です。顧客を得るか失うかは、判断で決まります。データセンターからのリクエストをすべてハードブロックすれば、わずかな不正の減少と引き換えに、大量の誤った拒否が発生します。シグナルを無視すれば、正面玄関が開いたままになります。答えは、単一の真偽値ではなく、文脈と総合リスクスコアに応じた段階的な対応です。有料検索でも同じルールがGoogle広告の除外リストを決めます。除外枠を使う価値のあるホスティングCIDRとは、クリックログに繰り返し現れる、安定したものです。

• 分類する、フラグを立てるだけにしない: ホスティング、企業VPN、プライバシーリレー、検証済みクローラー、オープンプロキシを区別します。いずれも「データセンター」ですが、リスクはまったく異なります。
• フローで重みを変える: マーケティングページの閲覧でのデータセンターIPはノイズですが、サインアップ、チェックアウト、出金では、対処する価値のある本物のシグナルです。
• シグナルを組み合わせ、単一の真偽値で判断しない: チャレンジやブロックの前に、is_hostingを不正利用の履歴、住宅用プロキシの挙動、リクエストの速度と組み合わせます。
• 免責のシグナルを使う: データセンターから届く検証済みのGooglebotや既知の監視サービスは、リスクを下げるべきで、ブロックを発動させてはいけません。
• 段階的に対応する: 低リスクは許可し、中間の帯域では追加認証（MFA、captcha）を求め、ハードブロックは信頼度の高い不正のために取っておきます。
• 説明できる状態を保つ: すべての判断について、根拠となったdetection_methodsを記録し、拒否された顧客への対応を、原因不明の問題ではなく、サポートで答えられるものにします。

GeoIPHubの0〜100のIPリスクスコアは、まさにこの考え方で構成されています。データセンターのシグナルが加点され、住宅向けISPや検証済みクローラーが減点されます。すべてのルックアップでasn.connection_type、asn.orgによる帰属、そして発動したscoring.detection_methodsが返されるため、対処と説明の両方ができます。ブロックされたチェックアウトが、ブラックボックスであってはなりません。発動しうるすべての理由と、その重みは、リスクスコアの理由をフィールドごとに解説した記事にあります。

GeoIPHubでデータセンターIPを検出する

GeoIPHubは、無料プランを含むすべてのプランで、detection.is_hostingに加えてasn.connection_type、asn.asn、asn.org、そして判定の根拠となるscoring.detection_methodsを返します。ホスティング検出に課金の壁はなく、「接続タイプを見るにはアップグレード」もありません。判定は、ブラックボックスのラベルではなく、根拠とともに提供されます。無料プランは1日1,500リクエストで、クレジットカードは不要です。

• すぐに試す: 無料のデータセンターIPチェックツールで、あらゆるアドレスをブラウザ上で分類できます。サインアップは不要です。
• 組み込む: 無料のAPIキーを取得し、APIドキュメントとクイックスタートをお読みください。
• さらに詳しく: アクティブプロービングで検証するVPN・プロキシ検出と脅威インテリジェンスと不正利用シグナルが、同じルックアップを拡張します。
• 機能制限なし: 料金: すべてのプランですべてのフィールドをご覧ください。

データセンターIPは、リクエストを送ったのが人ではなくサーバーであることを教えてくれます。これは、訪問者について分かる最も情報量の多い事実の一つです。ルックアップのたびに検出し、それだけを根拠に行動せず、判断を常に説明できる状態に保ってください。そうすれば、安価なクラウドインフラに依存する不正の経済性に課税しつつ、同じ場所にいる実在の顧客や正当なbotをブロックせずに済みます。

よくある質問

データセンターIPアドレスとは何ですか？

データセンターIPアドレスとは、家庭や携帯電話にアドレスを割り当てる一般消費者向けISPではなく、ホスティング会社、クラウド事業者、コロケーション施設（AWS、Google Cloud、DigitalOcean、OVHなど）によってインターネットに広告されているアドレスです。これらのアドレスの背後にいるのは人ではなくサーバーであるため、データセンターIPからのリクエストは、bot、スクレイパー、VPNエンドポイント、プロキシといった自動化によるものである可能性がはるかに高くなります。単一のシグナルとして最も信頼性が高いものの一つであり、多くの検出システムが最初のルックアップでこれにフラグを立てます。

データセンターIPアドレスはどのように検出しますか？

基本的な方法は、IPを自律システム番号（ASN）に対応付け、そのネットワークがホスティング／クラウド事業者なのか、住宅向けISPなのかを確認することです。これを、逆引きDNSのホスト名（クラウド事業者はリージョンやインスタンスのヒントをホスト名に含めます）、WHOISやレジストリの割り当てデータ、公開されているクラウドのレンジで裏付けます。優れたIPインテリジェンスAPIなら、これを単一の真偽値として返します（GeoIPHubは`detection.is_hosting`と、その判定の根拠となる`asn.asn`および`asn.org`を返します）。ASNのリストを自分で管理する必要はありません。

データセンターIPアドレスはすべてブロックすべきですか？

いいえ。データセンターIPをすべてブロックすると、誤った拒否が発生します。正当なトラフィックの多くが、ホスティングのインフラから届くためです。たとえば、企業のVPNやSASEの出口、AppleのiCloud プライベートリレー、サーバーサイドレンダリングやリンクプレビュー、稼働監視やセキュリティ監視、検証済みのAIクローラーやショッピングエージェントなどです。適切な対応は段階的なものです。低リスクのリクエストは許可し、判断が難しいものにはチャレンジを課し、データセンターのシグナルが他のリスクシグナルと組み合わさり、信頼度の高いしきい値に達した場合にのみブロックします。

データセンターIPと住宅用IPの違いは何ですか？

住宅用IPは、消費者向けISP（Comcast、Vodafone、Jioなど）が実際の家庭やモバイルデバイスに割り当てるもので、実在のユーザーによる接続としての信頼性を備えています。データセンターIPはホスティング事業者やクラウド事業者のもので、ほぼ確実にサーバーの前段にあります。不正を行う側はこの差を知っているため、データセンターの検出を逃れるために住宅用プロキシ（プロキシとして転売される実在のISPアドレス）を購入します。したがって、データセンターのフラグは必要条件ですが十分条件ではなく、住宅用プロキシの検出も必要になります。

データセンターIPは常に悪意のあるものですか？

いいえ。データセンターIPが示すのは、リクエストが家庭や携帯電話ではなくサーバーのインフラから届いたということだけです。一般消費者向けのログインやチェックアウトでは疑わしい状況ですが、APIクライアント、Webhook、監視サービス、従業員をクラウドのセキュリティゲートウェイ経由で接続させている企業ネットワークでは、まったく普通のことです。データセンターのフラグはリスクを引き上げる強い事前情報として扱い、検証済みのクローラーや既知のプライバシーサービスといった免責のシグナルで、そのリスクを再び下げてください。

不正を行う側はデータセンターIPを隠せますか？

はい、しかも増えています。標準的な回避策は、住宅用やモバイルのプロキシ経由で攻撃を行い、トラフィックが正規のISPから来ているように見せることです。Impervaの2025年版Bad Bot Reportによると、まさにこの理由で、botによる攻撃の21%が住宅用プロキシを使っています。そのため、データセンターの検出は、住宅用プロキシの挙動をモデル化し、不正利用の履歴を確認し、ASNだけを信用せず実際のインフラをプロービングする、多層的な仕組みの中に置く必要があります。