ورود با IP خارجی در فین‌تک: کی کاربر را به احراز هویت بفرستیم؟
IP خارجی بیشتر یعنی VPN، نه کاربر خارج از کشور. آن را نشانهٔ سنجش بیشتر بدانید، با سابقهٔ کاربر بسنجید و ورود را رد نکنید.
ورود با IP خارجی در یک اپ مالی، بیشتر وقت‌ها یعنی کاربر VPN روشن کرده، نه اینکه از کشور رفته یا حسابش دزدیده شده. پس تصمیم درست رد کردن ورود نیست. درست این است که همان ورود را به یک مرحلهٔ سنجش بیشتر بفرستید و کار بقیه را آسان نگه دارید.
این نوشته برای تیم محصول یا امنیتی است که می‌خواهد تشخیص کشور IP را در جریان ورود و تراکنش بگذارد.
IP خارجی دقیقاً چه چیزی را نشان می‌دهد
کشور یک IP یعنی کشوری که آن بازهٔ نشانی در آن به کار می‌رود. کاربری که در تهران نشسته و VPN دارد، IP کشور سرور VPN را دارد. پس از روی IP نمی‌شود گفت کاربر کجاست. فقط می‌شود گفت این ورود از مسیری آمده که برای این کاربر عادی هست یا نیست.
همین برای تصمیم امنیتی کافی است. شما نمی‌خواهید بدانید کاربر کجاست؛ می‌خواهید بدانید آیا این ورود شبیه ورودهای همیشگی اوست.
سه حالت، سه رفتار
بیشتر اپ‌های مالی با یک قاعدهٔ ساده شروع می‌کنند:
- IP ایرانی و دستگاه شناخته‌شده: ورود عادی، بدون مرحلهٔ اضافه.
- IP خارجی یا دستگاه تازه: یک مرحلهٔ سنجش بیشتر، مثلاً کد پیامکی به شمارهٔ ثبت‌شده، یا اگر کاربر هنوز احراز هویت کامل نشده، فرستادن او به همان فرایند.
- IP خارجی روی کاری حساس: پیش از برداشت وجه، تغییر شماره شبا یا تغییر شماره موبایل، تأیید دوباره بخواهید، حتی اگر ورود اولیه گذشته باشد.
قاعدهٔ «IP خارجی یعنی رد» کاربر واقعی را پشت در نگه می‌دارد و مهاجم را هم متوقف نمی‌کند، چون مهاجمِ جدی IP ایرانی هم پیدا می‌کند.
سابقه مهم‌تر از یک بار است
یک IP خارجی تنها، اطلاعات کمی دارد. چند نشانه با هم معنادارتر است:
- این کاربر تا امروز هیچ ورود خارجی نداشته و ناگهان دارد.
- کشور IP در چند دقیقه چند بار عوض شده است.
- ورود خارجی دقیقاً پیش از یک برداشت بزرگ آمده است.
کشور هر ورود را کنار شناسهٔ کاربر ذخیره کنید تا بتوانید همین مقایسه‌ها را بکنید.
IP خصوصی یعنی IP را اشتباه خوانده‌اید
اگر پاسخ برای کاربر واقعی می‌گوید IP خصوصی است، تقریباً همیشه IP پراکسی یا شبکهٔ داخلی خودتان را فرستاده‌اید. خواندن IP واقعی کاربر پشت پراکسی همین را قدم‌به‌قدم می‌گوید.
چیزهایی که به کاربر بگویید
اگر کاربر را به مرحلهٔ بیشتر فرستادید، به او بگویید چرا: «این ورود از مسیر تازه‌ای بود، برای امنیت حسابتان یک مرحله اضافه شد.» کاربری که دلیل را بداند کمتر رها می‌کند و کمتر به پشتیبانی پیام می‌دهد.
خلاصه
IP خارجی را نشانه بدانید، نه حکم. با سابقهٔ همان کاربر بسنجید، روی کارهای حساس سخت‌تر بگیرید و ورود عادی را آسان بگذارید. اگر جای شما بودم، اول یک ماه فقط کشور ورودها را ثبت می‌کردم، بدون هیچ مرحلهٔ اضافه، تا ببینم چند درصد کاربران واقعی‌ام با IP خارجی می‌آیند. همان عدد نشان می‌دهد قاعده باید چقدر سخت باشد.
وب‌سرویس مرتبط با این راهنما
API تشخیص کشور IP
کشور یک آدرس IP، و اینکه ایرانی است یا نه.
راهنماهای مرتبط
پرسش و تجربه کاربران
اگر این راهنما جوابتان را نداد، همین‌جا بپرسید. پرسش‌ها را تیمملی ای‌پی‌آی پاسخ می‌دهد و هر نظر پیش از انتشار بررسی می‌شود.
هنوز پرسشی ثبت نشده، اولین نفر باشید.