無料トライアルの不正利用と複数アカウント対策

無料トライアル、新規利用者向けクレジット、モデル推論、ストレージ、メッセージ送信、プロキシ接続など、運営コストのかかる特典や機能が、複数のアカウントから繰り返し利用されることがあります。メールアドレスは変更しやすく、同じ利用環境が複数アカウントから繰り返し現れることもあるため、メール認証だけでは判断しにくい問題です。

新しいメールアドレスが新しいデバイスを意味するとは限りません

異なるメールアドレスが同じデバイスから使われる場合があります。家庭、学校、チームで端末を共有する正当な利用もあります。一つのメールアドレスを複数デバイスで使う場合もあります。アカウント情報とデバイス情報では、確認できる内容が異なります。

EchoScan は保護対象操作ごとに、デバイス、ブラウザ環境、ネットワーク、自動化、継続性の情報を提供します。導入先は登録時刻、トライアルの利用可否、決済、招待関係、アクセス頻度、認証状態と組み合わせて、トライアルの繰り返し利用を判定するポリシーを構築できます。

トライアルフローへの接続

トライアル申請や特典・機能の利用ページで Browser Verifier を実行し、送信成功後にサーバー発行の { imprint } を受け取ります。
Imprint を対象のリクエストと一緒に導入先バックエンドへ送ります。
バックエンドから Secret API Key で Report API v1 を照会します。
Lite と Pro 共通の基本 Report から risk.status、デバイス継続性、リスク理由、取得できた最近の活動を確認します。期間を指定した履歴照会には、Lite と Pro の両方で利用できる独立した History API を使います。
トライアルの利用条件、制限、追加認証、確認に関するポリシーを導入先バックエンドで実行します。

Secret API Key はサーバーだけに保存します。ブラウザコードでは公開可能な Environment ID を使い、EchoScan が正確な Allowed Origins を確認します。

PASS、SUSPICIOUS、DECEPTIVE の使い方

PASS は、現在のアクセスで注意が必要なリスクが見つからなかった状態です。本人であることやトライアルの利用資格を証明するものではありません。導入先は通常のアカウント、利用条件、決済ルールを引き続き適用します。収集や Report 照会の失敗は PASS として扱いません。

SUSPICIOUS は確認が必要なリスクがあり、DECEPTIVE には達していない状態です。トライアルの繰り返し利用を確認する場面では、メールアドレスや電話番号の認証、コストの高い機能の制限、特典付与の保留、担当者による確認を優先できます。

DECEPTIVE は、より明確な高リスクの兆候がある状態です。導入先は強い追加認証や制限を使い、アカウント情報や業務上の判断材料を合わせて拒否の要否を決めます。

EchoScan は特定の人物がトライアルを不正利用していると断定せず、導入先の最終操作も返しません。リスク状態はアクセス環境を示します。トライアルの利用条件や利用可否は導入先が決定します。

同じデバイスの再訪だけでは証拠になりません

共有パソコン、家庭用端末、企業端末、テスト端末、サポート対応、正当な再訪でもデバイス記録は繰り返されます。seen_before: true や大きい access_count を確認した場合は、追加情報を調べてから判断します。

実用的なポリシーでは次の情報を合わせて確認します。

デバイスが現れた回数と時間分布
複数アカウントで共有されるデバイスやネットワーク情報
ネットワークやブラウザ環境の不自然な変化
自動化や高リスクネットワークの結果
導入先が持つ利用条件、決済、招待、認証の記録

Lite と Pro の選択

Lite と Pro は同じ基本 Report 構造を使い、デバイス継続性、現在のアクセスリスクと理由、ブラウザ、OS、ネットワーク、最近の活動を提供します。任意フィールドは取得できたシグナルとデータに応じて返します。

Lite と Pro はどちらも History と任意の Account Map に対応し、新しい関連付けと既存スナップショットの読み取りを利用できます。Pro はリクエスト枠、レート上限、Browser Environment の容量を拡大します。History は指定期間を照会する操作です。基本 Report の継続性の概要と最近の活動は両プランで利用できます。

実装を始める場合は開発者向け導入フローと Lite・Pro Report の資料をご覧ください。

判断に関する質問

同じデバイスが二度現れたら、すぐ拒否するべきですか？

その事実だけで拒否するのは適切ではありません。共有端末、正当な再訪、サポート対応などでも同じデバイスが現れます。アカウント、利用資格、決済、アクセス頻度、追加認証の情報と組み合わせて判断します。

EchoScan は利用者がトライアルを不正利用していると断定しますか？

EchoScan が返すのはデバイス識別とアクセスリスクです。トライアルの適用条件と、許可、追加認証、確認、拒否の最終判断は、導入先が自社の業務データを使って決めます。

トライアルの繰り返し対策に Lite で十分ですか？

Lite と Pro は同じ基本 Report 構造を使い、デバイス継続性、現在のアクセスリスクと理由、ブラウザ、OS、ネットワーク、最近の活動を提供します。任意フィールドは取得できたシグナルとデータに応じて返します。Lite と Pro はどちらも History と任意の Account Map に対応し、新しい関連付けと既存スナップショットの読み取りを利用できます。Pro はリクエスト枠、レート上限、Browser Environment の容量を拡大します。History は指定期間を照会する操作です。基本 Report の継続性の概要と最近の活動は両プランで利用できます。

PASS ならトライアルを利用できると判断できますか？

PASS は、現在のアクセスで注意が必要なリスクが見つからなかった状態です。利用資格の証明ではなく、導入先はアカウント、利用条件、決済、認証のルールを引き続き適用します。収集や Report 照会の失敗は PASS として扱いません。