Como ler um resultado de consulta de IP: um guia de campo para times de suporte

Agentes de suporte são as pessoas que, na prática, passam o dia lendo consultas de IP — muitas vezes enquanto um cliente irritado espera uma resposta. Este é o guia de campo que entregamos a eles.

Comece pelo tipo de conexão, não pela pontuação

A pontuação é um resumo. O tipo de conexão é o fato. Trabalhe nesta ordem:

• Residencial — uma conexão de provedor doméstico. Quase sempre indica uma pessoa real, a menos que o endereço seja uma saída conhecida de proxy residencial.
• Mobile — uma rede de operadora, normalmente atrás de NAT em larga escala. Milhares de assinantes podem compartilhar o mesmo endereço, então análises baseadas apenas no IP são frágeis aqui.
• Business — uma faixa corporativa. Pode ser compartilhada por um escritório inteiro; espere muitos usuários saindo pelo mesmo endereço.
• Hosting / datacenter — um servidor, não uma conexão doméstica. Algo está fazendo intermediação, scraping ou automação.

Se um cliente reclama de um bloqueio e o tipo é residencial, provavelmente há um erro nas suas regras. Se for hosting, pergunte por onde ele está se conectando.

Depois olhe a organização e o ASN

O ASN mostra quem opera aquela rede. "AS13335 Cloudflare" não se comporta como uma pequena revenda de hosting com longo histórico de abuso, ainda que ambos apareçam como faixas de datacenter. Muitas vezes, o nome da organização basta para resolver um chamado em segundos: um gateway de VPN corporativa, uma universidade, um provedor de privacidade conhecido.

Trate geolocalização como estimativa

A precisão por país costuma ser alta. A precisão por cidade, nem tanto. Geolocalização de IP vem de dados de registro e medições de rede, e um cliente em uma cidade pode aparecer legitimamente em outra, a cem quilômetros de distância — especialmente em conexões móveis. Nunca diga a um cliente: "nosso sistema diz que você está em X, então você está mentindo". Diga que a rede está roteando por X.

Entenda o que as flags significam

• Proxy — o tráfego está sendo encaminhado por um intermediário. Pode ser um gateway corporativo, pode ser ferramenta de abuso.
• VPN — um serviço comercial de privacidade. É extremamente comum entre usuários comuns e legítimos.
• TOR — o endereço está em uma lista pública de nós de saída. Indica forte intenção de anonimato, mas também é usado por jornalistas e pesquisadores.

Uma flag de VPN, sozinha, não significa fraude. Milhões de pessoas deixam VPN ligada o tempo todo porque o navegador ou o antivírus já vem com esse recurso embutido.

Uma escada de escalonamento prática

• Residencial, pontuação baixa, uma única verificação falhou → quase certamente é um falso positivo. Restaure o acesso.
• VPN ou business, pontuação média → peça ao cliente para tentar novamente sem a VPN ou fazer uma verificação por e-mail.
• Hosting ou TOR, pontuação alta, somado a outros sinais (conta nova, país de cobrança divergente, tentativas rápidas em sequência) → mantenha a restrição e encaminhe para a fila de fraude.
• Qualquer bloqueio que afete uma conta pagante antiga → libere primeiro, investigue depois. O custo de errar para cada lado não é simétrico.

Registre o motivo

Ao resolver um chamado, registre o veredito que você viu e a decisão tomada. Em poucas semanas, essas anotações viram o melhor conjunto de dados possível para ajustar limites e regras: são casos reais, rotulados por pessoas, vindos do seu próprio tráfego. Isso vale mais do que qualquer ponto de corte genérico recomendado.