無料トライアルの不正利用と複数アカウント対策
無料トライアル、新規利用者向けクレジット、モデル推論、ストレージ、メッセージ送信、プロキシ接続など、運営コストのかかる特典や機能が、複数のアカウントから繰り返し利用されることがあります。メールアドレスは変更しやすく、同じ利用環境が複数アカウントから繰り返し現れることもあるため、メール認証だけでは判断しにくい問題です。
新しいメールアドレスが新しいデバイスを意味するとは限りません
異なるメールアドレスが同じデバイスから使われる場合があります。家庭、学校、チームで端末を共有する正当な利用もあります。一つのメールアドレスを複数デバイスで使う場合もあります。アカウント情報とデバイス情報では、確認できる内容が異なります。
EchoScan は保護対象操作ごとに、デバイス、ブラウザ環境、ネットワーク、自動化、継続性の情報を提供します。導入先は登録時刻、トライアルの利用可否、決済、招待関係、アクセス頻度、認証状態と組み合わせて、トライアルの繰り返し利用を判定するポリシーを構築できます。
トライアルフローへの接続
- トライアル申請や特典・機能の利用ページで Browser Verifier を実行し、
{ imprint }を受け取ります。 - Imprint を対象のリクエストと一緒に導入先バックエンドへ送ります。
- バックエンドから Secret API Key で Report API v1 を照会します。
risk.statusを読み、プランに応じてデバイス継続性、Pro のリスク理由、最近の活動、History を利用します。- トライアルの利用条件、制限、追加認証、確認に関するポリシーを導入先バックエンドで実行します。
Secret API Key はサーバーだけに保存します。ブラウザコードでは公開可能な Environment ID を使い、EchoScan が正確な Allowed Origins を確認します。
PASS、SUSPICIOUS、DECEPTIVE の使い方
PASS は、現在のアクセスについて公開製品の判定上リスクが確認されなかった状態です。導入先は通常のアカウント、利用条件、決済ルールを引き続き適用します。
SUSPICIOUS は確認が必要なリスクがあり、DECEPTIVE には達していない状態です。トライアルの繰り返し利用を確認する場面では、メールアドレスや電話番号の認証、コストの高い機能の制限、特典付与の保留、担当者による確認を優先できます。
DECEPTIVE は、より明確な高リスクの兆候がある状態です。導入先は強い追加認証や制限を使い、アカウント情報や業務上の判断材料を合わせて拒否の要否を決めます。
EchoScan は特定の人物がトライアルを不正利用していると断定せず、導入先の最終操作も返しません。リスク状態はアクセス環境を示します。トライアルの利用条件や利用可否は導入先が決定します。
同じデバイスの再訪だけでは証拠になりません
共有パソコン、家庭用端末、企業端末、テスト端末、サポート対応、正当な再訪でもデバイス記録は繰り返されます。seen_before: true や大きい access_count を確認した場合は、追加情報を調べてから判断します。
実用的なポリシーでは次の情報を合わせて確認します。
- デバイスが現れた回数と時間分布
- 複数アカウントで共有されるデバイスやネットワーク情報
- ネットワークやブラウザ環境の不自然な変化
- 自動化や高リスクネットワークの結果
- 導入先が持つ利用条件、決済、招待、認証の記録
Lite と Pro の選択
Lite は全体の risk.status、再訪状態、アクセス回数、基本的な環境結果から導入を始める場合に適しています。追加認証や確認フローへの振り分けを実装できます。
Pro はリスクカテゴリの説明、初回・前回時刻、最近のアクセス密度、詳細なネットワーク情報、History の調査が必要なチームに適しています。Lite と Pro は同じ Report Endpoint を使うため、アップグレード後も接続経路を維持できます。
実装を始める場合は 開発者向け導入フロー と Lite・Pro Report の資料 をご覧ください。
判断に関する質問
同じデバイスが二度現れたら、すぐ拒否するべきですか？
その事実だけで拒否するのは適切ではありません。共有端末、正当な再訪、サポート対応などでも同じデバイスが現れます。アカウント、利用資格、決済、アクセス頻度、追加認証の情報と組み合わせて判断します。
EchoScan は利用者がトライアルを不正利用していると断定しますか？
EchoScan が返すのはデバイス識別とアクセスリスクです。トライアルの適用条件と、許可、追加認証、確認、拒否の最終判断は、導入先が自社の業務データを使って決めます。
トライアルの繰り返し対策に Lite で十分ですか？
Lite は全体のリスク状態、基本的なデバイス継続性、ブラウザ、OS、ネットワーク情報を返します。Pro では製品向けリスク理由、初回・前回時刻、ネットワーク詳細、最近の活動、History が加わります。必要な深さは運用ポリシーと確認手順によって決まります。