Een gratis trial is een gok: je geeft een paar dagen van je product weg en hoopt dat de juiste mensen blijven. Trialmisbruik is wanneer dezelfde persoon, of hetzelfde script, die gok steeds opnieuw neemt. Een nieuw e-mailadres, een nieuw account, nog eens 14 dagen of nog een lading gratis credits. De markt noemt het multi-accounting of promomisbruik (promo abuse); voor jou zijn het kosten die met elk nieuw account groeien en nooit iets opleveren.
Hoe trialmisbruik werkt
- Met de hand. Iemand registreert zich opnieuw met een ander adres als de trial afloopt. E-mailaliassen (
naam+1@) en wegwerpinboxen maken er een kwestie van seconden van. - Met een script. Een registratiebot maakt accounts in batches, elk om gratis credits, API-quota of AI-tokens op te halen, vaak om door te verkopen.
- Met een farm. Anti-detect-browsers en residentiële proxy's geven elk account een nieuwe fingerprint en een nieuw IP-adres, zodat de accounts op het eerste gezicht niets met elkaar te maken hebben.
Het eerste is hinderlijk. Het tweede en derde zijn waar het geld weglekt, en waar een product dat rekenkracht, opslag of modelaanroepen weggeeft het meest verliest.
Wat multi-accounting verraadt
Een misbruiker kan het e-mailadres, het IP-adres en de browserfingerprint wisselen. Moeilijk is om al het andere te veranderen, voor elk account, tegelijk en consistent:
- Eén apparaat, veel accounts. Dezelfde browser achter meerdere netwerken, of één sessietoken dat vanaf meerdere plekken wordt gebruikt.
- Eén fingerprint, veel sessies. Een anti-detect-browser die een profiel hergebruikt, duikt op in veel sessies en veel subnetten.
- Nieuwe sessies achter elkaar. Tien nieuwe sessies uit één subnet met één User-Agent in een paar minuten zijn geen huishouden.
- Hoe het formulier is ingevuld. Mensen bewegen een muis of raken het scherm aan en typen toets voor toets; scripts plakken de tekst en klikken zonder te bewegen.
- Een browser die zichzelf tegenspreekt. Een User-Agent die het ene systeem noemt terwijl de browser een ander meldt.
Geen van deze signalen is op zichzelf een bewijs, en een VPN alleen is het nooit. Samen, binnen een venster van minuten, zien ze eruit als een farm.
Controleer bij de registratie, stuur op de beloning
Vraag op je server om een beslissing voordat het account wordt aangemaakt, met het IP-adres van de bezoeker, de User-Agent en het token dat de tag in de browser achterliet. Beslis daarna wat het account krijgt, niet alleen of het bestaat:
- bot high: weiger de registratie.
- bot: maak het account aan zonder de gratis credits; geef ze zodra het e-mailadres is bevestigd, er een kaart is vastgelegd of een telefoonnummer klopt.
- unknown, human, human high: de volledige trial, zoals altijd.
De beloning achterhouden in plaats van het formulier te blokkeren, houdt de kosten van een vergissing laag: een echte prospect met een vreemde set-up komt er toch in en wacht alleen op de credits. Een script dat ze niet kan innen, heeft geen reden om terug te komen.
Sluit de cirkel
Wordt een account een betalende klant, meld het dan aan Bot Protection met feedback; blijkt er een misbruik te zijn, meld dat ook. De volgende bezoeken van een goede klant worden vertrouwd; een apparaat dat aan misbruik gekoppeld is niet. En sla bij elk nieuw account de klasse op, zodat de conversie van je trial wordt gemeten op mensen, niet op scripts.
Blijf fail-open
De controle zit in je registratie, dus mag hij de registratie nooit platleggen. Gebruik een korte timeout en laat de bezoeker bij elke fout door: een paar extra trials tijdens een storing kosten minder dan een registratiepagina die niet meer werkt. Meer in waarom een botcontrole fail-open moet zijn.