Pontuação de fraude de IP: o que significa, faixas de pontuação e como verificar

Uma pontuação, quatro IPs reais e os motivos

Quatro tipos de rede caem em quatro lugares diferentes da escala, e scoring.detection_methods nomeia cada sinal que os colocou ali. Consultamos estes endereços públicos em 16/10/2026 com a mesma chamada de API sem chave que qualquer pessoa pode fazer:

Cada sinal tem uma quantidade de pontos e uma confiança. A pontuação é a soma dos pontos vezes a confiança, arredondada e mantida entre 0 e 100. Isso significa que você pode reconstruir cada linha acima a partir da sua lista de métodos:

• A saída Tor: 100, block. tor_exit (45 pontos com 0,99), known_spammer (40 com 0,9) e datacenter_blocklisted (30 com 0,75) já somam 103. O quarto sinal só empurra ainda mais além do teto.
• O endereço de VPN: 46, review. known_vpn_server (40 com 0,9) mais datacenter_ip (20 com 0,5) dá exatamente 46. A API o identifica como "Mullvad (31173 Services)" pela rede em que ele está, embora hoje ele não esteja na lista de servidores publicada pela Mullvad. Uma VPN identificada não é, por si só, uma pontuação alta. Nada neste servidor estava em blocklist e nenhum protocolo VPN aberto foi registrado para ele, então ele para em review.
• O relay: 9, allow. relay_ip adiciona 10 pontos com 0,85, o que arredonda para 9. O Private Relay esconde o endereço de um usuário da Apple por privacidade, e os endereços de relay têm teto de 60, então nunca chegam a block. Explicamos como detectar tráfego do Private Relay e do WARP e por que deixá-lo passar.
• O servidor de nuvem: 10, allow. datacenter_ip sozinho vale 20 pontos com 0,5. Hospedagem é motivo para olhar, não para bloquear, porque APIs, monitores de disponibilidade e gateways de escritório rodam todos a partir de datacenters.

Cada motivo e o seu peso estão na nossa lista de motivos campo a campo.

Fazer essas consultas nos ensinou duas coisas que a tabela de faixas não mostra. Primeiro, a saída Tor e a VPN escondem ambas os seus usuários, mas ficam a 54 pontos de distância, porque a saída Tor também carrega histórico de spam e de blocklist. O mesmo provedor pode ir para o outro extremo também: o servidor listado da Mullvad em Frankfurt, 185.213.155.73, teve pontuação 100 no mesmo dia, porque a entrada dele na lista da Mullvad o marca como servidor WireGuard (wireguard_open), e essa marcação de protocolo também transforma o sinal de hospedagem no sinal mais forte de datacenter com VPN. Segundo, um dos quatro motivos da saída Tor é uma falha nossa, não da saída. no_ptr_datacenter diz que o endereço não tem DNS reverso, mas dig -x 185.220.101.1 retorna hoje um hostname de saída Tor. Nosso banco de dados de consulta não tem esse registro armazenado, e registramos o problema para correção. O veredito não muda, já que os outros três sinais já passam de 100. Ainda assim, é por isso que dizemos aos clientes para escrever regras com base nos sinais em que confiam, e não na contagem bruta.

O que é uma boa pontuação de fraude de IP?

Uma boa pontuação é 25 ou menos: nenhuma evidência de risco relevante, e a API retorna allow. Nossas quatro faixas correspondem diretamente a ações:

Duas ressalvas evitam a maioria dos erros antes que aconteçam:

• Leia uma pontuação na escala do próprio fornecedor. A documentação do IPQualityScore chama 75 ou mais de "suspicious, but not necessarily fraudulent" ("suspeito, mas não necessariamente fraudulento") e recomenda sinalizar ou bloquear a partir de 90. Nossa faixa de bloqueio começa em 76. Um 76 de cada um de nós significa coisas diferentes, então nunca transfira um limite entre provedores sem ajustá-lo.
• O corte certo depende da ação que está sendo protegida. Um login tolera um limite de bloqueio mais alto do que um checkout, porque pedir a senha de novo custa segundos, enquanto um pedido fraudulento com cartão não presente custa um chargeback (o guia de redução de chargebacks cobre esse lado). Definimos limites de bloqueio para login, cadastro e checkout uma ação de cada vez.

O que faz o número subir ou descer

A pontuação responde a uma pergunta específica: quanta evidência de risco cerca a rede de onde esta requisição veio? Ela nunca sabe quem está atrás do teclado. Ela sabe coisas como estas:

As duas últimas linhas separam uma pontuação cuidadosa de uma pontuação grosseira. Um modelo que só soma pontos acaba sinalizando todas as operadoras móveis e conexões compartilhadas do mundo. O nosso combina 36 motivos ponderados e também subtrai: um motivo de ISP residencial tira 17 pontos (menos 20 com confiança de 0,85) e um rastreador verificado 28,5 (menos 30 com 0,95). Endereços de relay têm teto de 60, e endereços CGNAT sem evidência de ameaça própria, de 50. O peso de cada motivo, e como lê-lo em uma resposta, está em motivos da pontuação de risco, campo a campo, para que esta página se concentre no que o número significa para você.

Por que a pontuação de fraude do meu IP está alta?

Uma pontuação alta na sua própria conexão normalmente vem da rede em que você está, não de algo que você fez: uma VPN ou proxy, um endereço reciclado de um assinante abusivo, um endereço CGNAT compartilhado que outra pessoa fez entrar em uma lista, ou uma inclusão recente em blocklist na faixa do seu ISP. Um endereço que reconhecemos como CGNAT tem teto de 50, a menos que tenha evidência própria de VPN, proxy, Tor, botnet ou abuso, então um endereço compartilhado pode ir para review, mas nunca ser bloqueado só pelo IP. Se um site disse que você parece estar usando uma VPN em vez de mostrar uma pontuação, veja por que o seu IP é sinalizado como VPN ou proxy e o que você pode fazer.

Como baixar uma pontuação alta

Você não pode contestar o número em si. Ele muda quando a evidência subjacente muda, e estes passos a mudam:

1. Desligue a VPN ou o proxy e reconecte pela linha normal do seu ISP. Esta é a redução maior e mais rápida.
2. Obtenha um endereço novo: renove a concessão DHCP ou reinicie o roteador. Em muitos ISPs, isso tira você de um endereço sinalizado.
3. Verifique seus dispositivos. Se algo na rede estiver infectado por botnet, as sinalizações vão continuar voltando até que seja limpo.
4. Peça ao seu ISP outra alocação se a sua faixa estiver em listas de forma crônica.
5. Para empresas: envie tráfego transacional a partir de infraestrutura dedicada e bem configurada, com DNS reverso limpo, e não de faixas de hospedagem compartilhada.

Depois, dê tempo. Nossa etapa de sondagem de VPN e proxy roda no máximo a cada 12 horas e verifica de novo descobertas com mais de 7 dias, as listas de Tor e de relays e as blocklists de DNS são relidas a cada 6 horas, e o banco de dados de consulta é reconstruído diariamente, então, quando um endereço sai dessas evidências, o número dele acompanha na reconstrução seguinte.

Verifique uma pontuação pela API

Para uma verificação pontual, o verificador gratuito citado no topo desta página mostra o número de 0 a 100, a ação recomendada e os sinais por trás dela. Em produção, o mesmo veredito vem de uma chamada, e você pode testá-la sem chave com um limite de taxa baixo. Esta é a resposta real resumida para o endereço da rede da Mullvad da tabela acima:

O nome do provedor vem da nossa tabela de redes conhecidas por operar servidores de VPN, e é por isso que vpn_confidence é 85, e não o 95 que recebe um endereço da própria lista de servidores da Mullvad. Explicamos como identificamos o provedor de VPN por trás de um IP e por que o código deve comparar nomes pelo prefixo.

Esse formato de resposta também serve como checklist para avaliar qualquer provedor: um número com o qual você pode agir, uma ação recomendada que você pode mapear para uma política, um valor de confiança e, o mais importante, as evidências nomeadas por trás do veredito. Um número isolado sem detection_methods é impossível de auditar quando um cliente real pergunta por que foi bloqueado.

Calcule a pontuação nos pontos de decisão, e não em cada visualização de página. No login, a pontuação é um primeiro filtro contra credential stuffing e account takeover. No cadastro, ela ajuda a impedir cadastros falsos pelo tipo de IP e a pegar contas duplicadas de um mesmo operador e abuso de cupons e indicações. No checkout e no saque, ela é uma camada em uma pilha de detecção de fraudes em pagamentos. Os mesmos sinais de rede também ajudam a identificar fraude de cliques pelo endereço IP em campanhas pagas. Combine a camada de IP com sinais de dispositivo e de comportamento para ter cobertura completa, já que fingerprinting de dispositivo e inteligência de IP enxergam coisas diferentes. Nosso guia de prevenção de fraudes mostra onde a pontuação se encaixa em cada fluxo, e como funciona a detecção de VPN e proxy explica de onde vêm os sinais de maior peso.

Perguntas frequentes

Uma pontuação de fraude alta significa que houve fraude?

Não. A pontuação mede a rede de onde a requisição veio (anonimizadores, histórico de abuso, tipo de infraestrutura), não a intenção de quem a está usando. Um número alto significa que o endereço merece escrutínio ou um desafio, não que o usuário seja um fraudador. É por isso que sistemas maduros combinam a pontuação com verificação adicional, em vez de bloqueios definitivos silenciosos.

Usar uma VPN aumenta a minha pontuação?

Normalmente, sim. Só o sinal de VPN conhecida adiciona 40 pontos com confiança de 0,9, o que cai em review. Um endereço na rede da Mullvad que consultamos em 16/10/2026 teve pontuação 46. As pontuações sobem para block quando mais evidências se somam, como uma porta de protocolo VPN aberta ou uma entrada em blocklist. Desligar a VPN é a forma mais rápida de apresentar um endereço de menor risco.

Como verifico a pontuação de risco de um endereço IP?

Cole o endereço em um verificador gratuito para ver a pontuação de 0 a 100 e os sinais por trás dela, ou chame uma API de inteligência de IP no cadastro, no login ou no checkout. Seja qual for o provedor, prefira um que retorne as evidências que contribuíram para o resultado. Um número isolado que você não consegue auditar é difícil de usar e impossível de explicar a um cliente bloqueado.