欺诈防范如何通过 IP 检测减少拒付
用 IP 检测减少拒付：对每笔无卡支付订单背后的 IP 评分以阻止 CNP 欺诈，并用 IP 证据赢得友好欺诈争议。
每个商家遇到拒付的方式都一样。一张卡刷成功，订单发出，四十天后这笔钱连同一笔手续费从您的账户里被拉走，有时手续费比这笔销售还高。次数多了，您争论的就不再是单个订单，而是在和 Visa 和 Mastercard 争论您还能不能继续处理银行卡支付。
大多数反拒付的建议把争议当作那个事件。其实不是。争议是您早已做出的一个决定的账单：要么是您授权了本应筛查的交易，要么是您向一位客户发了货，却没有把订单记录得足以为其辩护。IP 检测并不是事后更好地争辩的办法。它是把决定移回两个仍有可能对您有利的节点的办法：授权，以及证据。
拒付其实是两个不同的问题
在谈任何工具之前，先把分类弄对，因为这两类拒付需要截然相反的应对。
真正的欺诈是陌生人使用被盗的银行卡。别人的卡号，您的店铺，货物寄往中转地址。这是您想要预防的拒付，因为每一笔漏过的都意味着库存损失、一笔手续费，以及您比率上的一个污点。IP 检测在前门，也就是发货之前对付它，方法是把订单的网络解读为一个包含放行、审核、升级验证和拦截区间的 IP 欺诈评分。
友好欺诈（也称第一方滥用）是您的真实客户对自己确实发生的消费提出争议。他们忘了那项订阅，或者是家人下的单，又或者他们只是发现“我不认识这笔交易”可以把钱追回来。按 Visa 自己的统计，这类第一方滥用占所有拒付的比例高达 75%。您无法在结账时预防它，因为这笔交易是合法的。您要在事后靠证据赢得它，而 IP 地址正是这份证据中被点名的一项。
一个字段，两项工作：它在真正的欺诈发起争议之前将其筛掉，并在友好欺诈发起争议之后帮您撤销它。这就是它成为最佳起点的原因。
为什么拒付率现在关乎生死
拒付之所以不再是做生意的成本，而成了生存问题，原因是卡组织重写了它们的监控计划，而两个新版本都直指线上订单。
Visa 把旧的两个计划（Visa 争议监控计划和 Visa 欺诈监控计划）合并为单一的 Visa 收单方监控计划（VAMP），自 2025 年 4 月起生效。请直接阅读 Visa 自己的 VAMP 说明文件了解机制，因为有两个细节会改变您思考这个问题的方式：
- 只有无卡交易才计入。 VAMP 比率由无卡支付活动构成。威胁您商户账户的拒付，从定义上说就是线上订单：恰恰是您手头有客户 IP 地址可用的那些订单。
- 欺诈与争议合并计算，而且常常算两次。 该比率把已结算交易上的 TC40 欺诈报告和 TC15 争议合并计算。由于被报告为欺诈的交易通常也会变成争议，一笔坏订单可能在您的比率上出现两次。预防一次就能同时消除两者。
- 门槛在下降。 商家“超标”门槛起初为 2.2%，从 2026 年 4 月起在美国、加拿大和欧盟降至 1.5%。底线正在向您逼近。
Mastercard 也在平行推进。它的超额拒付计划把当月拒付率为 1.5% 且有 100-299 笔拒付的商家标记为超额拒付商家（ECM），把拒付率为 3.0% 且有 300 笔或以上拒付的商家标记为高超额拒付商家（HECM）。超标时间越长，罚款越升级，而对无法恢复的商家来说，最终结局是进入 MATCH 名单，实际上等于五年内被逐出银行卡处理业务。
| 计划 | 关键阈值 | 统计范围 | 最终后果 |
|---|---|---|---|
| Visa VAMP（商家） | 目前 2.2% → 2026 年 4 月起 1.5%（美国/加拿大/欧盟） | 无卡欺诈 + 争议，合并计算 | 罚款升级，收单方施压 |
| Mastercard ECM | 拒付率 1.5%，100-299 笔拒付 | 所有拒付，不论原因 | 罚款逐月随时间递增 |
| Mastercard HECM | 拒付率 3.0%，300 笔以上拒付 | 所有拒付，不论原因 | 罚款上升更快，有进入 MATCH 名单的风险 |
要点不在于确切的数字（请以您自己的收单方为准，因为各地区和推出日期各不相同），而在于方向。卡组织已经决定，您的无卡拒付率是一项合规指标，门槛正在下降，而它所衡量的流量恰恰是 IP 查询能够解读的流量。
IP 检测在拒付生命周期中的位置
一笔无卡支付订单要经过三道关口，在每一道里 IP 都起决定性作用，这些关口处在由设备、发卡行和审核检查组成的更大的分层支付欺诈检测体系之内。减少拒付意味着三道关口都要用，而不只是第一道。
| 阶段 | 时间 | IP 的作用 |
|---|---|---|
| 授权前筛查 | 批准/发货之前 | 标记盗刷银行卡的欺诈，以便您拒绝、审核或升级验证。这会让拒付根本不会出现。 |
| 升级验证决策（3DS） | 结账时，有选择地进行 | 决定哪些订单接受 3-D Secure 挑战，让您获得责任转移，而干净订单没有摩擦。 |
| 争议证据 | 数周之后，申诉阶段 | 提供留存的 IP 作为 Compelling Evidence 3.0，以撤销友好欺诈拒付。 |
大多数商家只用过第一道关口，而且用得还很粗糙。叠加起来的收益在于：用 IP 来决定谁会看到 3DS 挑战，并且因为已经采集了它，您才能赢得进入申诉阶段的争议。我们先讲前门，因为置信度最高、误报最低的信号就在这里。
能预测拒付的 IP 信号
下面是从订单背后的地址中应当读取的内容，大致按无卡支付场景下的信噪比由高到低排列。
| 信号 | 为何能预测拒付 | 如何处理 |
|---|---|---|
| 连接类型 / ASN 为托管 | 真实买家不会从 AWS 结账。数据中心来源是脚本化刷卡的典型特征。 | 在结账时很强，单独计入评分时较弱。请据此增加您自己的规则（见下方查询）。 |
| VPN / 公共代理 / Tor | 在支付时刻意隐藏来源，是需要多看一眼的理由。 | 给予权重，但绝不要仅凭它拦截。许多真实买家也使用 VPN。 |
| 账单国家 ≠ 网络国家 | 银行卡的账单国家在一个国家，却从另一个国家的网络付款，是由来已久的 CNP 欺诈模式。 | 中等程度的负面信号。采取行动前先结合连接类型。 |
| 威胁情报源 / 黑名单收录 | 有活跃滥用记录的基础设施会在多个欺诈活动中重复使用。 | 时间新近时很强。按新近程度加权，而不是仅看是否出现在名单上。 |
| 已命名的 VPN/匿名化服务商 | 确认属于某个具体的商业 VPN 或中继公司，会让隐藏来源的信号更可靠。 | 佐证性：提高其他标记的置信度。 |
| 住宅 / 移动 ISP | 您的真实客户其实就在这里。 | 减轻嫌疑。是应当更宽松而不是更严格的理由。 |
| 运营商级 NAT（CGNAT） | 数百名移动用户共用一个公网地址。 | 减轻嫌疑。在此设置风险上限，否则您会惩罚真实的购物者。 |
请注意最后两行的方向。只会加分的评分模型，会把您合法的移动端用户群碾压成误拒，而结账时的误拒并不是被拦下的一次登录，而是被您拒之门外的付费客户。同时还会减分的模型（把住宅 ISP 视为宽松的理由，并为 CGNAT 网段设上限），才能让拒付预防不至于悄悄变成营收预防。这种平衡建立在降低风险评分的原因之上，在结账环节，它比几乎任何其他地方都重要。
关键在于，IP 是证据，而不是裁决。不要封禁这个地址。同一个公网 IP 被许多互不相关的人共用，所以硬性拦截会把真实客户与欺诈一并删除。对它评分，结合其他信号加权，然后根据综合结果采取行动。我们在检测匿名化流量而不误伤真实客户中完整阐述了这一点，同样的原则也是按 IP 阻止 AI 购物代理和机器人在结账时的欺诈中，区分聪明的结账过滤与粗暴过滤的关键。
一次调用即可读取
具体来说，就是对下单的 IP 做一次查询，然后再决定是批准、挑战还是审核。
curl -H "x-api-key: YOUR_API_KEY" \
https://api.geoiphub.com/v1/lookup/45.33.32.156
与无卡支付订单相关的字段分布在响应的四个分组中：
const res = await fetch(`https://api.geoiphub.com/v1/lookup/${orderIp}`, {
headers: { "x-api-key": process.env.GEOIPHUB_API_KEY },
});
const ip = await res.json();
ip.asn.asn_type; // "hosting": a checkout should not originate here
ip.asn.connection_type; // "datacenter" | "residential" | "mobile"
ip.detection.is_hosting; // true: datacenter origin on a consumer payment
ip.detection.is_vpn; // deliberate concealment; weigh it, don't ban
ip.detection.vpn_provider; // the named provider, when concealment is present
ip.geo.country_code; // compare against the billing country on the card
ip.threat.threat_types; // e.g. ["vpn"] or ["tor"] when a feed or probe tags the address
ip.threat.is_cgnat; // shared mobile address: a reason for leniency
ip.scoring.fraud_score; // 0-100 composite
ip.scoring.recommended_action; // "allow" | "review" | "step_up" | "block"
ip.scoring.detection_methods; // exactly which signals fired: your audit trail
detection_methods 这个字段把它从黑箱变成了您可以为之辩护的决策。当一个订单被挑战或被暂扣时，您可以说出原因（托管 ASN、VPN 隐藏、账单国家不一致、本周被两个情报源收录），而不是对着一个分数耸肩。而 country_code 是应当与银行卡账单地址对照的字段：账单国家为德国的银行卡，却从另一个国家的托管网络付款，是最古老的 CNP 故事了。
在把它接入之前，您可以用免费的 IP 欺诈评分检查对任意地址试一试评分输出，同样的查询也在为您的应用添加实时 IP 欺诈检测中作为可复用的基础组件做了说明。
托管 IP 评分为放行；经证实的 VPN 评分为拦截
表格最上面的两个信号在评分中表现截然不同：纯托管地址返回 allow，而有协议证据的 VPN 服务器返回 block。下面是两者在 2026-10-26 实际查询结果的精简版（结果会随网段变动而变化）。首先是 45.33.32.156，即上面调用中的托管地址（Nmap 的公共测试主机 scanme.nmap.org）：
{
"ip": "45.33.32.156",
"asn": {
"asn": 63949,
"org": "AKAMAI-LINODE-AP - Akamai Connected Cloud",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"geo": { "country_code": "US", "city": "Fremont" },
"detection": {
"is_hosting": true,
"is_vpn": false,
"is_proxy": false,
"is_tor": false
},
"threat": { "is_cgnat": false, "threat_types": [] },
"scoring": {
"fraud_score": 10,
"confidence": 0.25,
"recommended_action": "allow",
"detection_methods": ["datacenter_ip"]
}
}
然后是 185.213.155.73，法兰克福的一台 Mullvad VPN 服务器：
{
"ip": "185.213.155.73",
"asn": {
"asn": 39351,
"org": "ESAB-AS - 31173 Services AB",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"geo": { "country_code": "DE", "city": "Frankfurt am Main (Innenstadt I)" },
"detection": {
"is_vpn": true,
"is_hosting": true,
"is_anonymous": true,
"vpn_provider": "Mullvad",
"vpn_confidence": 95
},
"threat": { "threat_types": ["vpn"] },
"scoring": {
"fraud_score": 100,
"confidence": 0.7075,
"recommended_action": "block",
"detection_methods": ["known_vpn_server", "wireguard_open", "datacenter_with_vpn_proxy", "no_ptr_datacenter"]
}
}
托管 IP 只触发了一种方法 datacenter_ip，评分为 10：通用评分并不把数据中心来源本身视为欺诈，所以针对它的结账规则需要由您自己来加。VPN 触发了四种：它在 Mullvad 自己公布的服务器列表上（这也给出了服务商名称），该列表将其标记为 WireGuard 服务器，托管网络上的该协议又加上了 datacenter_with_vpn_proxy，而且它没有反向 DNS 名称。它的评分为 100。并非每个 VPN 都能得到名称：仅由我们自己的协议探测发现的服务器，返回的 vpn_provider 是 "none"，所以不要指望一定有名称。由于真实购物者也会使用 VPN，除非有第二个信号一致（比如账单国家与 geo.country_code 不同），否则请把结账时的这个 block 理解为“送去 3-D Secure 或审核”。
没有摩擦税的 3-D Secure
第二道关口是减少拒付不再纯属防守的地方。
当一笔无卡交易通过 EMV 3-D Secure 完成认证后，随后发生的欺诈拒付的责任通常会从商家转移给发卡行。这是您对付真正欺诈拒付的最强杠杆：一笔已通过认证、后来被证明是欺诈的订单，通常不是您的损失。
那为什么不让每笔订单都走 3DS？因为挑战就是摩擦，而摩擦就是被放弃的购物车。强迫每位购物者升级验证，您因弃单而损失的收入会超过欺诈给您造成的损失。
这恰恰是 IP 风险评分能解决的取舍。与其挑战所有人或不挑战任何人，不如按风险来挑战：
- 低分（住宅 ISP、历史干净、国家匹配）： 无感通过。您的大部分流量都在这里。
- 中等分数（国家不一致、信号稀少），或没有其他不利因素的 VPN： 送去 3DS 挑战。经证实的 VPN 单凭自身就会落在拦截区间，所以这是一次有意的覆盖。您恰好在想要的那些订单上获得了责任转移。
- 高分（经证实的 VPN 或 Tor 出口，且有第二个信号一致，比如国家不一致）： 拒绝或暂扣审核；不要把 3DS 的尝试浪费在明显的基础设施上。
IP 评分决定谁会看到挑战。这样您就在有风险的那一部分上获得了 3DS 的责任保护，同时不去打扰干净的大多数。这与我们在IP 欺诈评分应在多少分拦截中阐述的按动作分别考虑的思路相同，只是专门用于结账这一步。
赢得友好欺诈争议
第三道关口是大多数商家完全没有设防的，而高达四分之三的拒付恰恰就在这里。
当真实客户对自己确实发生的消费提出争议时，您无法在结账时预防，因为订单是合法的。您能做的是证明那就是他们本人。Visa 为此制定了一项标准：Compelling Evidence 3.0，于 2023 年 4 月生效，允许商家通过证明与持卡人之间的历史足迹来撤销无卡欺诈争议（Visa 原因代码 10.4）。
请仔细阅读这项要求，因为 IP 地址就写在其中：
- 您需要提供在相同凭证上的两笔此前未被争议的交易，时间在 120 到 365 天之前。
- 这些交易必须与被争议的订单共享核心数据元素。Visa 列出的元素是 IP 地址、设备 ID/指纹、用户 ID 和收货地址。
- 三笔交易之间至少要有两个元素匹配，并且其中至少一个必须是 IP 地址或设备 ID/指纹。
- 如果证据符合条件，责任转移给发卡行，钱归您所有。
IP 地址在这里不是锦上添花。它是 Visa 接受的两个锚点元素之一，用来证明提出争议的人，就是数月来一直向您购买的同一个人。但有一点悄悄让商家丢掉了本可以赢的争议：只有当您一开始就在每笔订单上采集了 IP，并保存了足够长的时间、能够回溯整整一年，才能提交这项证据。
这彻底改变了对授权前查询的看法。您在结账时记录的 IP 不只是今天这笔订单的欺诈信号，它还是一年后赢得友好欺诈争议的原材料。在每笔交易上采集它，把它与客户的历史一起存储，Compelling Evidence 3.0 就会从一条您用不上的规则，变成您可以撤销的拒付。
本周就开始
- 在每个订单上采集 IP。 把它与交易和客户一起存储，带上时间戳，并至少保留 18 个月，以便用于 Compelling Evidence 3.0 的提交。您无法评分（或辩护）没有记录的东西。
- 评分，不要封禁。 让每个结账 IP 经过一次查询，并把评分与订单一起存储，这样您就能按风险区间细分争议，并根据真实结果调整。
- 从数据中心这条底线开始。 消费者结账页上的
hostingASN 或connection_type: "datacenter"是置信度高、误报少的信号。通用评分把纯托管 IP 评为allow，所以请基于detection.is_hosting把它写成您自己的结账规则，而不要等评分来抓它。 - 核对国家是否匹配。 把
geo.country_code与银行卡的账单国家对比。不一致再加上任何隐藏标记，就是升级验证的有力理由。 - 按评分而不是按默认路由 3DS。 把有风险的部分送去挑战以获得责任转移；让干净的大多数无感通过。
- 保护真实客户。 把 CGNAT 和住宅/移动 ISP 视为减轻嫌疑的因素。防止误拒的护栏，才能让这件事保持盈利。
拒付早已告诉过您它从哪里来，而且是两次：在订单时，和在争议时。减少拒付，主要就是在这两个时刻都倾听，而不是两个都不听。
常见问题
IP 检测如何减少拒付？
分两个环节。销售之前，对订单做 IP 查询，可以标记风险最高的交易（托管/数据中心连接、匿名化的 VPN 或 Tor 出口、账单国家与网络所在国家不一致，或者地址已被威胁情报源收录），这样您就可以把它们送去做 3-D Secure 或人工审核，而不是发出一个注定会被争议的订单。销售之后，当真实客户对自己确实发生的消费提出友好欺诈拒付时，IP 地址是 Visa Compelling Evidence 3.0 中被点名的“核心数据元素”之一，因此留存下来且匹配的 IP 有助于您在申诉中取胜。同一个字段既降低了会变成拒付的欺诈，也让您能够撤销友好欺诈。
拒付率达到多少会让商家惹上麻烦？
在 2025 年 4 月取代旧的 VDMP 和 VFMP 计划的 Visa 收单方监控计划（VAMP）下，商家在启动时的“超标”线是 2.2% 的比率，从 2026 年 4 月起，在美国、加拿大和欧盟降至 1.5%。关键在于，只有无卡（线上）交易才计入这个比率。Mastercard 的超额拒付计划把拒付率为 1.5% 且有 100-299 笔拒付的商家标记为超额拒付商家（ECM），把拒付率为 3.0% 且有 300 笔或以上拒付的商家标记为高超额拒付商家（HECM）。持续超标会导致罚款不断升级，最终进入 MATCH 名单，这可能使企业五年内无法处理银行卡支付。
仅仅拦截有风险的 IP 地址就能阻止拒付吗？
不能。拦截是错误的工具，代价大于收益。同一个公网 IP 常常通过运营商级 NAT 被许多人共用，而且大量合法购物者使用 VPN，所以对某个地址或网段的硬性拦截会把真实客户与欺诈一并删除。IP 是证据而不是裁决：把它作为一个加权输入来评分，只把真正高风险的订单送去升级验证或审核，并将直接拦截留给明确无误的基础设施，比如消费者结账页上出现的数据中心地址。
3-D Secure 能消除拒付吗？
它转移的是责任，而不是消除争议。当无卡交易通过 EMV 3-D Secure 完成认证后，随后发生的欺诈拒付的责任通常会从商家转移给发卡行。问题在于，对每位客户都发起 3DS 升级验证会增加摩擦并损失销售。IP 风险评分让您能有选择地使用 3DS：把有风险的订单送去挑战，让干净的订单无感通过。这样您既获得了责任保护，又不必向优质客户收取“摩擦税”。
IP 地址如何用作拒付证据？
Visa 的 Compelling Evidence 3.0 于 2023 年 4 月生效，允许商家针对无卡欺诈争议（原因代码 10.4）出示“历史足迹”来申诉：在相同凭证上有两笔此前未被争议的交易，时间在 120 到 365 天前，并且与被争议订单共享核心数据元素。IP 地址就是这些核心元素之一，而且所需的两项匹配中，至少有一项必须是 IP 地址或设备 ID/指纹。如果证据符合条件，责任就转移给发卡行。但前提是您一开始就在每笔订单上采集并存储了 IP。
哪些 IP 信号能预测拒付？
信号最强的字段是连接类型和 ASN 类型（来自托管/数据中心网络的结账不是正常的购物者）、匿名化标记（VPN、公共代理、Tor）、网络所在国家与账单国家不一致，以及按时间新近程度加权的威胁情报源收录情况。运营商级 NAT 和普通住宅 ISP 则作用相反：它们是应当更宽松而不是更严格的理由。好的风险评分会把这些全部合并成一个可解释的数字，并附上触发的确切信号，这样被拒绝或被挑战的订单就有据可依，而不是靠猜。
GeoIPHub API 背后的团队
由 GeoIPHub 团队撰写，即构建 GeoIPHub IP 情报 API 及其扫描器的团队。草稿在 AI 辅助下完成，并由团队编辑；除非标注为示例，API 示例均为针对线上 API 的真实查询。
