Un prêteur en ligne continuait d'approuver des demandes qui semblaient correctes sur le papier et se transformaient en rétrofacturations un mois plus tard. Le schéma était toujours le même : une rafale d'inscriptions depuis des adresses qui n'avaient jamais touché un réseau résidentiel, toutes arrivées à quelques heures d'intervalle.
La solution n'a exigé ni nouvelles règles antifraude ni équipe d'examen plus nombreuse. Elle exigeait d'en savoir plus sur la connexion derrière chaque inscription, au moment où elle se produisait. Chaque demande comporte déjà une adresse IP. La question est de savoir si cette adresse appartient à une connexion internet domestique, à un centre de données ou à un proxy ouvert connu, et si elle partage un réseau avec des dizaines d'autres inscriptions de la même semaine.
C'est ce que renvoie un appel à /v1/ip : pays, région, ville, code postal, coordonnées, fuseau horaire, ASN et organisation pour l'adresse qui effectue la requête. Avec mg_extras=1 ou l'en-tête X-MG-Extras, le même appel renvoie aussi des informations sur les menaces et le réseau, le type de signal qui montre qu'une adresse se trouve dans une plage d'hébergement plutôt que dans un pool de connexions haut débit domestiques. Un FAI résidentiel et un centre de données commercial ont des champs ASN et organisation très différents, et cette différence est souvent le premier signe qu'une inscription n'est pas ce qu'elle prétend être.
Le prêteur a intégré cette vérification directement dans le gestionnaire d'inscription, côté serveur, avant même la création de l'enregistrement de la demande. Une inscription provenant d'un ASN d'hébergement connu n'était pas rejetée automatiquement, elle était dirigée vers une file d'attente manuelle. Une inscription dont le pays de l'IP ne correspondait pas à l'adresse de facturation saisie dans le formulaire recevait le même traitement. Aucun de ces signaux n'est à lui seul une preuve de fraude. Appliqués de façon cohérente à des milliers d'inscriptions, ils ont ensemble réduit le nombre de demandes nécessitant un examen humain, parce que les demandes saines ont cessé de disputer le temps d'examen aux demandes manifestement suspectes.
Ce type de contrôle vient s'ajouter, et non se substituer, à la vérification d'identité et de revenus qu'un prêteur réglementé effectue déjà dans le cadre de sa procédure de connaissance du client (KYC). La géolocalisation IP ne confirmera ni les revenus ni l'identité d'une personne. Ce qu'elle fait bien, c'est confirmer ou contredire l'histoire que raconte un formulaire d'inscription, à moindre coût et en temps réel, avant que quoi que ce soit d'autre ne se produise.
Le coût comptait aussi. Le prêteur est resté dans les 2 500 requêtes gratuites par jour fournies avec chaque clé My Geocode, puisqu'un contrôle d'IP par inscription représente une charge légère pour la plupart des sites. Au-delà de ce quota, les appels passent sur le crédit prépayé à 0,0001 € par requête, ce qui, pour un contrôle exécuté sur chaque formulaire d'inscription, reste une petite ligne de dépense à côté du coût d'un seul mauvais prêt.
Rien de tout cela ne remplace le jugement d'une équipe antifraude. Cela donne à cette équipe de meilleurs éléments pour juger. Une file d'attente remplie d'inscriptions venant de plages de centres de données et de pays incohérents mérite un examen manuel. Une file d'attente où les données réseau concordent avec l'histoire du demandeur peut avancer plus vite, et c'est précisément l'intérêt d'effectuer ce contrôle.
Le détail complet des requêtes et des réponses pour les deux familles d'adresses se trouve sur /docs/ipv4-lookup/ et /docs/ipv6-lookup/, et les méthodes de clé disponibles sont décrites sur /docs/authentication/.