Ein kostenloser Test ist eine Wette: Sie verschenken ein paar Tage Ihres Produkts und hoffen, dass die richtigen Leute bleiben. Missbrauch kostenloser Tests liegt vor, wenn dieselbe Person oder dasselbe Skript die Wette immer wieder eingeht. Eine neue E-Mail, ein neues Konto, weitere 14 Tage oder ein weiteres Paket Gratis-Guthaben. Der Markt nennt das Multi-Accounting oder Promo-Missbrauch (promo abuse); für Sie sind es Kosten, die mit jedem neuen Konto wachsen und sich nie bezahlt machen.
Wie der Missbrauch kostenloser Tests funktioniert
- Von Hand. Eine Person registriert sich nach Ablauf des Tests mit einer neuen Adresse erneut. E-Mail-Aliasse (
name+1@) und Wegwerf-Postfächer machen daraus eine Sache von Sekunden. - Mit einem Skript. Ein Registrierungs-Bot legt Konten in Serie an, jedes, um Gratis-Guthaben, API-Kontingent oder KI-Tokens einzusammeln, oft zum Weiterverkauf.
- Mit einer Farm. Anti-Detect-Browser und Residential-Proxies geben jedem Konto einen neuen Fingerprint und eine neue IP-Adresse, sodass die Konten auf den ersten Blick nichts miteinander zu tun haben.
Der erste Fall ist lästig. Der zweite und dritte sind die, bei denen das Geld verloren geht, und bei denen ein Produkt, das Rechenzeit, Speicher oder Modellaufrufe verschenkt, am meisten verliert.
Was Multi-Accounting verrät
Wer missbraucht, kann E-Mail, IP-Adresse und Browser-Fingerprint wechseln. Schwer ist es, alles andere für jedes Konto gleichzeitig und stimmig zu ändern:
- Ein Gerät, viele Konten. Derselbe Browser hinter mehreren Netzen, oder ein Session-Token, das von mehreren Orten aus genutzt wird.
- Ein Fingerprint, viele Sessions. Ein Anti-Detect-Browser, der ein Profil wiederverwendet, taucht in vielen Sessions und vielen Subnetzen auf.
- Neue Sessions in Folge. Zehn neue Sessions aus einem Subnetz mit einem User-Agent in wenigen Minuten sind kein Haushalt.
- Wie das Formular ausgefüllt wurde. Menschen bewegen eine Maus oder berühren den Bildschirm und tippen Taste für Taste; Skripte fügen den Text ein und klicken, ohne sich zu bewegen.
- Ein Browser, der sich widerspricht. Ein User-Agent, der ein System angibt, während der Browser ein anderes meldet.
Keines dieser Signale ist allein ein Beweis, und ein VPN allein ist es nie. Zusammen, über ein Fenster von Minuten, sehen sie aus wie eine Farm.
Bei der Registrierung prüfen, bei der Belohnung handeln
Fragen Sie auf Ihrem Server nach einer Entscheidung, bevor das Konto angelegt wird, mit der IP des Besuchers, dem User-Agent und dem Token, das der Tag im Browser hinterlassen hat. Entscheiden Sie dann, was das Konto bekommt, nicht nur, ob es existiert:
- bot high: Registrierung ablehnen.
- bot: Konto ohne Gratis-Guthaben anlegen; das Guthaben folgt, sobald die E-Mail bestätigt ist, eine Karte hinterlegt ist oder eine Telefonnummer geprüft wurde.
- unknown, human, human high: der volle Test, wie gewohnt.
Die Belohnung zurückzuhalten, statt das Formular zu sperren, hält die Kosten eines Irrtums niedrig: Ein echter Interessent mit einem ungewöhnlichen Setup kommt trotzdem hinein und wartet nur auf das Guthaben. Ein Skript, das es nicht einsammeln kann, hat keinen Grund wiederzukommen.
Den Kreis schließen
Wird ein Konto zum zahlenden Kunden, teilen Sie es Bot Protection per Feedback mit; stellt sich eines als Missbrauch heraus, ebenfalls. Die nächsten Besuche eines guten Kunden gelten als vertrauenswürdig, ein Gerät, das mit Missbrauch verbunden ist, nicht. Und speichern Sie die Klasse zu jedem neuen Konto, damit Ihre Test-Conversion an Menschen gemessen wird, nicht an Skripten.
Fail-open bleiben
Die Prüfung sitzt in Ihrer Registrierung, also darf sie die Registrierung nie lahmlegen. Nutzen Sie einen kurzen Timeout und lassen Sie den Besucher bei jedem Fehler durch: Ein paar zusätzliche Tests während eines Ausfalls kosten weniger als eine Registrierungsseite, die nicht mehr funktioniert. Mehr dazu in warum eine Bot-Prüfung fail-open sein muss.