欺诈防范IP 欺诈评分：含义、分数区间与检查方法
IP 欺诈评分是什么意思，多少分算好，IP 为什么会被标记，以及对 Tor 出口、VPN、中继和云服务器的真实查询结果。
一个评分，四个真实 IP，以及背后的原因
四类网络落在评分区间的四个不同位置，而 scoring.detection_methods 列出了把它们放到那里的每一个信号。我们在 2026 年 10 月 16 日使用任何人都能发起的同一个免密钥 API 调用，查询了这些公开地址：
| IP | 类型 | 评分 | 动作 | detection_methods |
|---|---|---|---|---|
| 185.220.101.1 | Tor 出口节点（TORSERVERS-NET，汉堡） | 100 | block | tor_exit, datacenter_blocklisted, no_ptr_datacenter, known_spammer |
| 45.83.220.7 | Mullvad VPN 网络地址（31173 Services，马尔默） | 46 | review | known_vpn_server, datacenter_ip |
| 104.28.46.99 | iCloud Private Relay 出口（Cloudflare） | 9 | allow | relay_ip |
| 45.33.32.156 | scanme.nmap.org，Nmap 的公共测试主机（Linode） | 10 | allow | datacenter_ip |
每个信号都带有一个分值和一个置信度。评分等于各项分值乘以置信度之和，四舍五入后限定在 0 到 100 之间。这意味着您可以根据方法列表重新算出上表的每一行：
- Tor 出口：100，block。
tor_exit（45 分，置信度 0.99）、known_spammer（40 分，置信度 0.9）和datacenter_blocklisted（30 分，置信度 0.75）加起来已经是 103。第四个信号只是让分数进一步超过上限。 - VPN 地址：46，review。
known_vpn_server（40 分，置信度 0.9）加上datacenter_ip（20 分，置信度 0.5）正好是 46。API 根据该地址所在的网络将其命名为“Mullvad (31173 Services)”，尽管它目前并不在 Mullvad 公布的服务器列表中。被识别为某个具名 VPN 本身并不意味着高分。这台服务器没有被列入任何黑名单，也没有记录到开放的 VPN 协议，所以分数停在 review。 - 中继：9，allow。
relay_ip以 0.85 的置信度加 10 分，四舍五入为 9。Private Relay 出于隐私目的隐藏 Apple 用户的地址，而中继地址的评分上限为 60，因此永远不会进入 block。我们介绍过如何检测 Private Relay 和 WARP 流量，以及为什么应该放行这类流量。 - 云服务器：10，allow。 仅
datacenter_ip一项，20 分，置信度 0.5。托管是值得留意的理由，而不是拦截的理由，因为 API、在线监控和办公网关都运行在数据中心里。
每个原因及其权重都列在我们逐字段的原因列表中。
运行这些查询让我们学到了两件区间表无法体现的事。第一，Tor 出口和 VPN 都会隐藏用户，但两者相差 54 分，因为 Tor 出口还带有垃圾邮件和黑名单历史。同一家服务商也可能朝另一个方向摆动：Mullvad 列表中的法兰克福服务器 185.213.155.73 在同一天得分 100，因为它在 Mullvad 列表中的条目标明它是 WireGuard 服务器（wireguard_open），而这个协议标签还会把托管信号升级为更强的“数据中心 + VPN”信号。第二，Tor 出口的四个原因中有一个是我们的疏漏，而不是该出口的问题。no_ptr_datacenter 表示该地址没有反向 DNS，但如今 dig -x 185.220.101.1 会返回一个 Tor 出口主机名。我们的查询数据库缺少这条存储记录，我们已记录下来等待修复。结论不会改变，因为其他三个信号已经超过 100。但这正是我们建议客户基于自己信任的信号编写规则、而不是基于原始计数的原因。
多少分算是好的 IP 欺诈评分？
好的评分是 25 分及以下：没有实质性的风险证据，API 返回 allow。我们的四个区间直接对应四种动作：
| 评分 | 判定 | 建议动作 |
|---|---|---|
| 0-25 | 良好：没有实质性风险证据 | 放行 |
| 26-50 | 关注：部分信号触发 | 审查：记录并监控 |
| 51-75 | 有风险：存在实质性证据 | 升级验证：MFA、CAPTCHA 或 3-D Secure |
| 76-100 | 差：多个信号构成的强证据 | 拦截 |
两点注意事项可以在大多数错误发生之前避免它们：
- 用各服务商自己的评分体系来解读评分。 IPQualityScore 的文档将 75 分及以上称为“可疑，但不一定是欺诈”，并建议在 90 分及以上时标记或拦截。我们的 block 区间从 76 分开始。同样是 76 分，在我们两家含义不同，因此切勿把阈值原封不动地从一家服务商搬到另一家。
- 合适的分界线取决于所保护的动作。 登录可以容忍比结账更高的拦截阈值，因为重新输入密码只需几秒钟，而一笔欺诈性的无卡交易订单会带来一次拒付（拒付减少实战手册介绍了这方面的内容）。我们逐一列出了登录、注册和结账的拦截阈值。
哪些因素会推高或拉低分数
评分只回答一个很窄的问题：这个请求来源的网络周围有多少风险证据？它永远不知道键盘后面是谁。它知道的是这样一些信息：
| 信号类别 | 示例 | 对评分的影响 |
|---|---|---|
| 匿名化 | VPN 出口、数据中心代理、Tor 出口节点 | 提高：大多数欺诈都经由这类基础设施 |
| 滥用历史 | 垃圾邮件来源、撞库攻击来源、僵尸网络成员 | 提高：证明该地址曾经发起过攻击 |
| 基础设施类型 | 数据中心 ASN 与家用 ISP、托管网段 | 对服务器网段提高，因为真实客户通过家用网络浏览 |
| 干净来源证据 | 家用 ISP、移动运营商、经过验证的搜索引擎爬虫 | 降低：评分应该既能加分也能减分 |
| 共享地址保护措施 | CGNAT 和隐私中继的上限 | 限制：共享地址上的一个坏用户不能连累成千上万的人 |
最后两行区分了细致的评分和粗糙的评分。只会加分的模型最终会把世界上每一家移动运营商和每一个共享连接都标记出来。我们的模型综合了 36 个加权原因，并且也会减分：家用 ISP 原因减去 17 分（-20 分，置信度 0.85），经过验证的爬虫减去 28.5 分（-30 分，置信度 0.95）。中继地址的上限为 60，没有自身威胁证据的 CGNAT 地址上限为 50。每个原因的权重以及如何在响应中解读它，都在风险评分原因逐字段解读中，因此本页只专注于这个数字对您意味着什么。
为什么我的 IP 欺诈评分很高？
您自己的连接评分高，通常源于您所在的网络，而不是您做了什么：VPN 或代理、从有滥用行为的用户那里回收的地址、被其他人连累上榜的共享 CGNAT 地址，或者您的 ISP 网段最近被列入黑名单。我们识别为 CGNAT 的地址，除非自身带有 VPN、代理、Tor、僵尸网络或滥用证据，否则上限为 50 分，因此共享地址可能被审查，但永远不会仅凭 IP 被拦截。如果某个网站没有显示评分，而是告诉您看起来像在使用 VPN，请参阅为什么您的 IP 被标记为 VPN 或代理以及您可以怎么做。
如何降低较高的评分
您无法对这个数字本身提出申诉。只有底层证据发生变化，它才会变化，以下步骤可以改变证据：
- 关闭 VPN 或代理，从您平常的 ISP 线路重新连接。这是降幅最大、见效最快的一步。
- 获取新地址：续订 DHCP 租约或重启路由器。在许多 ISP 上，这会让您换掉被标记的地址。
- 扫描您的设备。 如果网络中有设备感染了僵尸网络程序，在清除之前这些标记会反复出现。
- 联系您的 ISP，如果您的网段长期被列入黑名单，请求分配不同的地址段。
- 对于企业：从专用的、配置正确且反向 DNS 干净的基础设施发送事务性流量，而不是从共享托管网段发送。
然后耐心等待。我们的 VPN 和代理探测步骤最多每 12 小时运行一次，并重新检查超过 7 天的发现；Tor 和中继列表以及 DNS 黑名单每 6 小时重新读取一次；查询数据库每天重建一次。所以当一个地址从这些证据中消失后，它的分数会在下一次重建时随之变化。
通过 API 检查评分
如果只是偶尔查一次，本页顶部链接的免费检查工具会显示 0-100 的数字、建议动作及其背后的信号。在生产环境中，同样的判定只需一次调用即可获得，而且您可以在不使用密钥的情况下以较低的速率限制试用。以下是上表中 Mullvad 网络地址经过裁剪的真实响应：
curl https://api.geoiphub.com/v1/lookup/45.83.220.7 \
-H "x-api-key: YOUR_API_KEY"
{
"ip": "45.83.220.7",
"asn": {
"asn": 39351,
"org": "ESAB-AS - 31173 Services AB"
},
"detection": {
"is_vpn": true,
"is_tor": false,
"is_hosting": true,
"is_relay": false,
"vpn_provider": "Mullvad (31173 Services)",
"vpn_confidence": 85
},
"scoring": {
"fraud_score": 46,
"confidence": 0.56,
"recommended_action": "review",
"detection_methods": ["known_vpn_server", "datacenter_ip"]
}
}
服务商名称来自我们已知运行 VPN 服务器的网络表，这就是为什么 vpn_confidence 是 85，而不是 Mullvad 自己服务器列表上的地址所得到的 95。我们解释了如何识别 IP 背后的 VPN 服务商，以及为什么代码应该按前缀匹配名称。
这个响应结构也可以作为评判任何服务商的清单：一个可以据以行动的数字、一个可以映射到策略的建议动作、一个置信度值，以及最重要的，判定背后的具名证据。没有 detection_methods 的裸数字，在真实客户询问自己为何被拦截时根本无法审计。
在决策点评分，而不是在每次页面浏览时评分。在登录时，评分是抵御撞库和账户盗用的第一道过滤器。在注册时，它有助于按 IP 类型阻止虚假注册，并发现同一操作者的重复账户以及优惠券和推荐奖励滥用。在结账和提现时，它是支付欺诈检测体系中的一层。同样的网络信号还能帮助您在付费广告活动中通过 IP 地址发现点击欺诈。要实现全面覆盖，请把 IP 层与设备和行为信号结合使用，因为设备指纹和 IP 情报看到的东西不同。我们的欺诈防范指南展示了评分在每个流程中的接入位置，而VPN 和代理检测的工作原理解释了权重最高的信号从何而来。
深入了解
常见问题
欺诈评分高是否意味着发生了欺诈？
不是。评分衡量的是请求来源的网络（匿名化工具、滥用历史、基础设施类型），而不是使用者的意图。分数高意味着该地址值得审查或需要验证，而不是说它的用户是欺诈者。正因如此，成熟的系统会把评分与升级验证结合使用，而不是悄无声息地直接拦截。
使用 VPN 会提高我的评分吗？
通常会。仅“已知 VPN”这一个信号就以 0.9 的置信度加 40 分，落入 review 区间。我们在 2026 年 10 月 16 日查询的一个 Mullvad 网络地址得分为 46。当更多证据叠加时，例如开放的 VPN 协议端口或黑名单条目，分数会升到 block 区间。关闭 VPN 是呈现低风险地址最快的方法。
如何检查一个 IP 地址的风险评分？
把地址粘贴到免费检查工具中，即可看到 0-100 的评分及其背后的信号；也可以在注册、登录或结账时调用 IP 情报 API。无论使用哪家服务商，都应优先选择会返回具体证据的服务。一个无法审计的裸数字很难据以行动，也无法向被拦截的客户解释。
GeoIPHub API 背后的团队
由 GeoIPHub 团队撰写，即构建 GeoIPHub IP 情报 API 及其扫描器的团队。草稿在 AI 辅助下完成，并由团队编辑；除非标注为示例，API 示例均为针对线上 API 的真实查询。
