Como a GeoIPHub classifica um endereço IP.
Cada sinalizador remete a um método, uma fonte e um registro de data e hora. Aqui estão os sete métodos, a frequência de atualização de cada fonte e como as evidências viram uma pontuação.
Nesta página
Verificado, e não agregado.
A maioria dos dados de IP mistura listas de fornecedores que se contradizem, ficam desatualizadas e nunca explicam o porquê. Só marcamos um flag quando conseguimos verificá-lo, e a evidência vem na resposta.
- Um protocolo que respondeu, a lista do próprio provedor, um registro de registry ou um feed oficial
scoring.detection_methodsnomeia cada sinal por trás de um veredito- Um campo que não conseguimos comprovar retorna
"none", nunca um palpite
Sete famílias de métodos.
Nenhum método decide sozinho. Cada um soma evidências, e a verificação direta tem o maior peso.
Classificação de ASN
853 ASNs de hospedagem selecionados, redes de VPN conhecidas e tabelas de satélite, anycast e CDN, cruzados com a tabela de roteamento global, que é atualizada a cada 12 horas.
Listas oficiais dos provedores
Listas de servidores dos próprios provedores de VPN, mais uma lista pública de terceiros, e faixas de IP oficiais de 10 provedores de nuvem.
Sondagem ativa de protocolos
Handshakes reais em mais de 25 portas, cobrindo 8 protocolos de VPN e proxy. Um servidor que responde OpenVPN está rodando OpenVPN.
Feeds de ameaças e blocklists
Spamhaus DROP/EDROP, FireHOL Level 1, Feodo Tracker e bogons, mais 3 zonas de blocklist DNS e faixas conhecidas de scanners.
WHOIS e RDAP
Registros dos 5 RIRs, verificados quanto a 46 palavras-chave de VPN e 27 de hospedagem. Apenas evidência de apoio, nunca o único motivo para sinalizar.
Rastreadores verificados
Um User-Agent é só uma alegação. Rastreadores e bots de IA só contam como verificados dentro dos 19 feeds oficiais de faixas de IP dos seus operadores.
Classificação ao vivo
Um IP que ainda não vimos é classificado ao vivo em menos de 2,5 segundos e depois armazenado para todas as consultas seguintes.
Veja em um IP real
Faça uma consulta e veja você mesmo os métodos de detecção acionados.
Cadência de atualização.
Uma lista de botnets fica desatualizada em dias, um registro WHOIS em meses, então cada fonte é atualizada no seu próprio ritmo.
- Feeds de ameaças, listas de saídas Tor e de relays, blocklists DNS
- A cada 6 horas
- Sondagens de VPN e proxy (detecções reverificadas após 7 dias), tabela de roteamento BGP
- A cada 12 horas
- Faixas de rastreadores e bots de IA, faixas de provedores de nuvem, reconstrução do banco de dados de consulta
- Diariamente
- Arquivos de registro WHOIS dos 5 RIRs
- 1 a 2 dias
Como as evidências viram uma pontuação.
O fraud_score de 0 a 100 considera 36 motivos ponderados, e a verificação direta é a que mais pesa.
- Ela também subtrai: um ISP residencial tira 17 pontos, um rastreador verificado tira 28,5
- Faixas CGNAT compartilhadas têm limite de pontuação, para que um vizinho mal-intencionado não condene milhares de usuários
- allow 0–25 · review 26–50 · step_up 51–75 · block 76–100
A arquitetura, em resumo.
Propositalmente simples, para que as consultas continuem rápidas e cada resposta mantenha suas evidências.
- Um scanner em Rust executa 14 etapas agendadas: feeds, listas, sondagens, RDAP, DNS e classificação
- O Postgres guarda cada classificação e seu rastro de evidências
- Um banco de dados mapeado em memória, trocado de forma atômica uma vez por dia, atende leituras em menos de um milissegundo
Comece a verificar IPs em minutos
Crie uma chave de API gratuita e tenha 1.500 consultas por dia com todos os campos de dados incluídos. Faça upgrade só quando o seu tráfego crescer.
- 1.500 consultas grátis por dia
- Sem cartão de crédito
- Todos os campos em todos os planos
