Les essais gratuits font l'objet d'abus de manière prévisible : la même personne s'inscrit encore et encore, avec une adresse e-mail différente à chaque fois et un VPN pour que chaque inscription semble provenir d'un lieu nouveau, sans lien avec les précédents. Un service par abonnement a remarqué que son taux de conversion des essais en abonnements payants paraissait plus faible qu'il n'aurait dû, et l'examen des données brutes d'inscription a révélé le vrai problème : une part importante des essais n'avait jamais vocation à se convertir, car il s'agissait de la même poignée de personnes qui enchaînaient la période gratuite à répétition.
Le signal révélateur était l'adresse IP derrière chaque inscription. Un appel à /v1/ip renvoie le pays, la région, la ville, les coordonnées, l'ASN et l'organisation d'une adresse donnée et, avec mg_extras=1 ou l'en-tête X-MG-Extras, il renvoie aussi des informations sur les menaces et le réseau, en signalant les adresses connues pour appartenir à des nœuds de sortie VPN, à des proxys ouverts ou à d'autres infrastructures d'anonymisation. Les clients ordinaires qui s'inscrivent depuis une connexion à domicile ou au bureau ne déclenchent presque jamais ce signal. Quelqu'un qui passe par un service VPN commercial pour obtenir le même essai à répétition le déclenche, à chaque fois.
L'entreprise n'a pas bloqué purement et simplement les inscriptions via VPN, car de nombreux clients légitimes en utilisent un pour de simples raisons de confidentialité et les bloquer d'office lui aurait fait perdre de vraies affaires. À la place, une inscription signalée comme provenant d'une infrastructure VPN ou proxy recevait une version allégée de l'essai, suffisamment fonctionnelle pour évaluer le produit mais limitée de façon à rendre les abus répétés bien moins intéressants, tandis qu'une inscription non signalée bénéficiait de l'essai complet. Cette seule distinction a supprimé l'essentiel de l'intérêt économique de ces abus, sans toucher à l'expérience d'un client normal qui utilisait un VPN pour d'autres raisons.
L'équipe a ajouté un second contrôle : observer combien d'inscriptions à l'essai partageaient la même plage réseau dans un court intervalle, en utilisant les champs ASN et organisation pour regrouper les adresses appartenant à la même infrastructure même lorsque l'adresse IP précise changeait à chaque fois. Le niveau gratuit de My Geocode compte d'ailleurs l'utilisation par réseau /24 en IPv4 et par /48 en IPv6 exactement pour cette raison : des adresses proches sur un réseau ont tendance à aller ensemble. Une grappe d'inscriptions provenant de la même plage étroite dans un court intervalle constituait un signal bien plus fort qu'une adresse signalée isolée.
Tout cela fonctionnait entièrement côté serveur, sur la requête d'inscription elle-même, sans script dans le navigateur et sans rien de visible pour la personne qui s'inscrivait. Le coût restait aussi très faible. Une recherche par inscription maintenait le service largement dans le quota gratuit quotidien inclus avec sa clé la plupart des mois, l'option prépayée habituelle couvrant les pics liés à une campagne marketing qui générait un afflux de nouvelles inscriptions, légitimes ou non.
Le constat vaut au-delà des essais gratuits : toute offre assez intéressante pour qu'on veuille en profiter plusieurs fois, un bonus de parrainage, une remise sur la première commande, un niveau gratuit limité, attire exactement ce type d'abus, et l'adresse IP derrière l'inscription est souvent le signal le moins coûteux pour le repérer avant qu'il ne coûte quoi que ce soit de réel. Les détails sur le champ extras et sur les deux familles d'adresses se trouvent sur /docs/ipv4-lookup/ et /docs/ipv6-lookup/.