Una prova gratuita è una scommessa: regali qualche giorno del tuo prodotto e speri che restino le persone giuste. L'abuso delle prove gratuite è quando la stessa persona, o lo stesso script, rifà la scommessa ancora e ancora. Una nuova email, un nuovo account, altri 14 giorni o un altro pacchetto di crediti gratuiti. Il mercato lo chiama multi-accounting o abuso delle promozioni (promo abuse); per te è un costo che cresce a ogni nuovo account e non rende mai.
Come funziona l'abuso delle prove gratuite
- A mano. Una persona si registra di nuovo con un altro indirizzo quando la prova finisce. Gli alias email (
nome+1@) e le caselle usa e getta lo rendono questione di secondi. - Con uno script. Un bot di registrazione crea account in serie, ognuno per raccogliere crediti gratuiti, quota di API o token di IA, spesso per rivenderli.
- Con una farm. Browser anti-detect e proxy residenziali danno a ogni account un fingerprint e un indirizzo IP nuovi, così gli account sembrano scollegati a prima vista.
Il primo caso è un fastidio. Il secondo e il terzo sono quelli in cui si perdono soldi, e in cui un prodotto che regala calcolo, spazio o chiamate a un modello perde di più.
Cosa tradisce il multi-accounting
Chi abusa può cambiare email, indirizzo IP e fingerprint del browser. Difficile è cambiare tutto il resto, per ogni account, nello stesso momento e in modo coerente:
- Un dispositivo, molti account. Lo stesso browser dietro più reti, o un token di sessione usato da più posti.
- Un fingerprint, molte sessioni. Un browser anti-detect che riusa un profilo compare in molte sessioni e molte sottoreti.
- Sessioni nuove in fila. Dieci sessioni nuove da una sottorete e uno User-Agent in pochi minuti non sono una famiglia.
- Come è stato compilato il modulo. Le persone muovono un mouse o toccano lo schermo e digitano tasto per tasto; gli script incollano il testo e cliccano senza muoversi.
- Un browser che si contraddice. Uno User-Agent che dichiara un sistema mentre il browser ne riporta un altro.
Nessuno di questi segnali da solo è una prova, e una VPN da sola non lo è mai. Insieme, in una finestra di minuti, hanno l'aspetto di una farm.
Controlla alla registrazione, agisci sulla ricompensa
Chiedi una decisione sul tuo server, prima di creare l'account, con l'IP del visitatore, lo User-Agent e il token che il tag ha lasciato nel browser. Poi decidi cosa riceve l'account, non solo se esiste:
- bot high: rifiuta la registrazione.
- bot: crea l'account senza i crediti gratuiti; assegnali quando l'email è verificata, c'è una carta registrata o un numero di telefono è confermato.
- unknown, human, human high: la prova completa, come sempre.
Trattenere la ricompensa, invece di bloccare il modulo, tiene basso il costo di un errore: un vero potenziale cliente con una configurazione insolita entra comunque e aspetta solo i crediti. Uno script che non può incassarli non ha motivo di tornare.
Chiudi il cerchio
Quando un account diventa un cliente pagante, dillo a Bot Protection con un feedback; quando uno si rivela un abuso, dillo pure. Le visite successive di un buon cliente ottengono fiducia; un dispositivo legato a un abuso, no. E salva la classe con ogni nuovo account, così la conversione della prova si misura sulle persone, non sugli script.
Resta fail-open
Il controllo sta nella tua registrazione, quindi non deve mai bloccarla. Usa un timeout breve e lascia passare il visitatore a qualunque errore: qualche prova in più durante un guasto costa meno di una pagina di registrazione che smette di funzionare. Di più in perché un controllo anti-bot deve essere fail-open.