Benvenuti in Guarda: IP intelligence per decidere sul traffico reale

Perché abbiamo creato Guarda

Prima o poi, ogni prodotto online si trova davanti allo stesso problema: arriva una richiesta e hai pochi millisecondi per decidere quanto fidarti. Potrebbe essere un account legittimo. Oppure la quinta registrazione nell’ultimo minuto da un IP affittato in un datacenter. In quel momento, l’unico segnale davvero disponibile è la connessione stessa: l’indirizzo IP, la rete che lo gestisce e l’uso abituale di quella rete.

Guarda nasce per trasformare questo segnale, sottile ma prezioso, in un’informazione utilizzabile. Analizziamo un indirizzo, classifichiamo la rete a cui appartiene e restituiamo un verdetto insieme agli elementi che lo giustificano.

Che cosa restituisce davvero una lookup

Una singola chiamata all’API ti fornisce:

• Tipo di connessione — residenziale, rete mobile, business oppure hosting/datacenter.
• Flag di anonimizzazione — proxy, VPN, nodo di uscita TOR oppure open relay.
• Identità della rete — ASN, nome dell’organizzazione e range in cui ricade l’indirizzo.
• Geolocalizzazione — Paese, regione e città, con una nota chiara: il dato a livello di città è una stima, non una certezza.
• Risk score — un indicatore da 0 a 100 che sintetizza tutti questi segnali, così puoi impostare una soglia invece di gestire dieci regole diverse.

La parte importante è che lo score non viaggia mai da solo. Se un indirizzo viene segnalato, puoi capire se il motivo è l’appartenenza a un provider cloud, la presenza in una lista di nodi di uscita TOR o una storia di abuso automatizzato associata a quell’ASN di hosting. Uno score non spiegabile è uno score di cui nessuno si fida quando finisce in una coda di revisione in produzione.

Classificare, non appiccicare etichette

C’è un aspetto a cui teniamo molto: chiamare una rete per quello che è davvero. Un resolver DNS di Google o un indirizzo Cloudflare non è una VPN. È infrastruttura. Etichettare tutto il traffico non residenziale come "VPN" è il modo più rapido per perdere la fiducia di un team antifrode: basta che un analista controlli un IP familiare e trovi una classificazione sbagliata perché anche tutti gli altri verdetti inizino a sembrare sospetti.

Per questo Guarda distingue hosting/datacenter da VPN commerciale, e separa entrambi dai proxy residenziali. Nella pratica, questi tre casi comportano livelli di rischio molto diversi e richiedono risposte diverse.

Come lo usano i team

Gli scenari che vediamo più spesso sono:

• Protezione delle registrazioni. Valutare il rischio in fase di signup; inviare gli indirizzi ad alto rischio a una verifica via email o telefono invece di bloccarli subito.
• Rischio nei pagamenti. Combinare il verdetto sull’IP con discrepanze nel Paese di fatturazione e velocità d’uso della carta. Un IP da solo non dovrebbe mai far rifiutare un pagamento, ma è un ottimo elemento di conferma.
• Contenuti e licenze. Rilevare uscite VPN commerciali quando i diritti geografici lo richiedono davvero.
• Qualità delle analytics. Escludere il traffico da datacenter dai report, così i tassi di conversione descrivono persone reali.

Pensato per il percorso critico

L’API richiede una sola chiamata HTTP con una chiave: JSON in ingresso, JSON in uscita. I risultati vengono messi in cache, quindi i controlli ripetuti sullo stesso indirizzo non richiedono un nuovo round trip. Per l’analisi dei log e i backfill sono disponibili anche lookup in batch. Prima ancora di scrivere una riga di codice, puoi provare qualsiasi indirizzo dalla homepage, senza creare un account.

Cosa troverai su questo blog

Vogliamo mantenere questo blog concreto: come funzionano davvero i segnali di detection, dove possono fallire, quanto costano i falsi positivi e come costruire policy capaci di bloccare gli abusi senza penalizzare il cliente collegato dal Wi-Fi di un hotel. Se c’è un tema che vorresti vedere trattato, diccelo: è il punto di riferimento che avremmo voluto trovare quando abbiamo iniziato.

Benvenuti a bordo.