El abuso de las pruebas gratuitas sigue un patrón predecible: la misma persona se registra una y otra vez, con un correo distinto cada vez y una VPN para que cada registro parezca venir de una ubicación nueva y sin relación. Un servicio de suscripción notó que sus cifras de conversión de prueba a pago eran peores de lo que deberían y, al revisar los datos brutos de registro, encontró el verdadero problema: una parte significativa de las pruebas nunca iba a convertirse, porque eran el mismo puñado de personas agotando el periodo gratuito repetidamente.
La señal que lo delató fue la dirección IP detrás de cada registro. Una llamada a /v1/ip devuelve el país, la región, la ciudad, las coordenadas, el ASN y la organización de una dirección dada y, con mg_extras=1 o la cabecera X-MG-Extras, también devuelve detalles de amenazas y de red, marcando las direcciones que se sabe que pertenecen a nodos de salida de VPN, proxies abiertos u otra infraestructura de anonimización. Los clientes normales que se registran desde conexiones de casa o de la oficina casi nunca activan esto. Alguien que va rotando por un servicio comercial de VPN para reclamar la misma prueba repetidamente lo activa, cada vez.
La empresa no bloqueó directamente los registros con VPN, ya que muchos clientes legítimos usan una por motivos normales de privacidad y bloquearlos habría costado negocio real. En su lugar, un registro marcado como procedente de infraestructura de VPN o proxy recibía una versión más ligera de la prueba, lo bastante funcional para evaluar el producto pero limitada de forma que el abuso repetido valiera mucho menos la pena, mientras que un registro sin marcar recibía la experiencia de prueba completa. Esa distinción por sí sola eliminó la mayor parte del incentivo económico detrás del patrón de abuso sin tocar la experiencia de un cliente normal que simplemente usaba una VPN por motivos ajenos.
El equipo lo combinó con una segunda comprobación: observar cuántos registros de prueba compartían el mismo rango de red en un intervalo corto, usando los campos de ASN y organización para agrupar direcciones que pertenecían a la misma infraestructura aunque la dirección IP concreta fuera distinta cada vez, ya que el propio nivel gratuito de My Geocode cuenta el uso por red /24 en IPv4 y por /48 en IPv6 exactamente por este motivo: las direcciones cercanas en una red suelen ir juntas. Un grupo de registros desde el mismo rango estrecho en un intervalo corto era una señal mucho más fuerte que cualquier dirección marcada por sí sola.
Todo esto se ejecutaba íntegramente en el servidor, sobre la propia solicitud de registro, sin ningún script en el navegador y sin nada visible para la persona que se registraba. También salía barato. Una consulta por registro mantenía al servicio muy por debajo de la cuota diaria gratuita incluida con su clave la mayoría de los meses, con la habitual opción de prepago cubriendo cualquier pico en torno a una campaña de marketing que provocara una avalancha de registros nuevos, legítimos o no.
La idea general va más allá de las pruebas gratuitas: cualquier oferta lo bastante valiosa como para que valga la pena repetirla, una bonificación por referido, un descuento en el primer pedido, un nivel gratuito limitado, atrae exactamente este tipo de abuso, y la dirección IP detrás del registro suele ser la señal más barata disponible para detectarlo antes de que cueste algo real. Los detalles sobre el campo de extras y ambas familias de direcciones están en /docs/ipv4-lookup/ y /docs/ipv6-lookup/.