Appartenenza di base
Verifica se questo IP ha una route BGP attuale e se il paese di registrazione coincide con la posizione reale: se coincidono sembra un vero utente locale, se non coincidono sembra un'uscita cloud transfrontaliera, e l'assenza totale di route viene segnalata a parte come «non annunciato».
Il paese registrato dall'operatore per questo IP coincide con la posizione effettivamente rilevata, ad esempio un IP di China Telecom rilevato in Cina. Di solito è una connessione domestica o un datacenter locale; le piattaforme tendono a trattarlo con favore.
Il paese registrato dall'operatore è diverso da quello effettivamente rilevato: è frequente con servizi cloud multinazionali come Cloudflare e AWS, che annunciano lo stesso blocco di IP in tutto il mondo. Le piattaforme di account, pagamenti e streaming tendono a trattare questo tipo di IP con più cautela.
Nella tabella BGP pubblica attuale non si trova alcun ASN di origine né una route visibile per questo IP. Potrebbe essere già assegnato a un'organizzazione ma semplicemente non annunciato al momento; non equivale a un IP broadcast e non può essere valutato come una normale uscita con ASN.
Colori di rischio
La barra colorata in cima alla scheda del punteggio assume uno di 6 colori in base al punteggio totale, in corrispondenza dei livelli A+/A/B/C/D/F della sezione «Voto complessivo» qui sotto. Dal colore capisci subito in quale fascia si trova il punteggio.
Tipi di IP
A cosa serve questo IP: connessione domestica, dati mobili, linea aziendale, server in datacenter o infrastruttura pubblica (DNS / CDN). La stragrande maggioranza degli IP rientra in una delle 12 categorie seguenti.
Un IP assegnato da un operatore a un abbonato con connessione domestica: il tipo più comune per gli utenti reali che navigano su Internet. Per scenari sensibili come registrazione di account, pagamenti, streaming e abbonamenti IA, le piattaforme preferiscono questo tipo di uscita.
L'uscita della rete cellulare 4G / 5G di un telefono. Utenti reali, ma gli operatori mettono molte persone dietro lo stesso IP (CGNAT) e l'IP cambia spesso: da tenere d'occhio per gli account da conservare a lungo.
L'uscita di una linea dedicata aziendale o di una rete d'ufficio. Sembra più «professionale» di un IP residenziale, ma il rischio resta basso: è comune per i dipendenti che navigano o accedono agli account aziendali.
Reti di scuole, università e istituti di ricerca. In genere pulite, ma il Wi-Fi di dormitori e campus è stato talvolta usato dagli studenti per scraping o abusi, quindi attenzione a eventuali residui in blacklist.
Reti di enti governativi, istituzioni pubbliche, difesa o forze armate. Mostrato come categoria a sé anziché valutato come normale rete aziendale o residenziale: verifica attentamente la titolarità prima di decidere un caso d'uso.
Resolver DNS pubblici come 1.1.1.1, 8.8.8.8 e 9.9.9.9. È un servizio di risoluzione dei domini, non la reale uscita di navigazione di un utente.
Uno dei soli 13 gruppi di server root al mondo (a.root-servers.net, ecc.). L'infrastruttura più basilare di Internet, raramente vista come uscita per uso aziendale.
Nodi edge di CDN come Cloudflare, Akamai, Fastly e AWS CloudFront. Chiunque visiti un sito dietro una di queste CDN può ottenere questo IP dalla risoluzione: non rappresenta l'IP reale di un utente finale.
IP di datacenter, VPS, hosting in colocation e server cloud. Adatti a far girare server, ma usarli per accedere ad account, registrarne di nuovi o effettuare pagamenti porta facilmente i sistemi antifrode delle piattaforme a considerarti un «utente non umano».
L'uscita di relay per la privacy come iCloud Private Relay. I dispositivi Apple passano da questo tipo di IP quando è attivo «Relay privato»: tecnicamente non è un proxy, ma maschera comunque la posizione reale.
Un nodo di uscita della rete Tor (il Tor Project ne pubblica un elenco pubblico). I sistemi antifrode delle piattaforme li rifiutano quasi sempre direttamente: usarne uno per lavoro equivale ad autosabotarsi.
I segnali di più fonti di dati sono in conflitto o mancano del tutto, rendendo impossibile la classificazione. Non è necessariamente un IP cattivo: mancano solo prove sufficienti per concludere; cercare un altro IP o riprovare può chiarire la situazione.
Badge dei segnali comportamentali
Indicatori di rischio mostrati accanto al tipo di IP nella scheda di dettaglio. Un IP residenziale può avere allo stesso tempo un tag comportamentale come «Proxy residenziale» o «Abuso». Proxy / VPN / uscita Tor / IP relay sono già tipi di IP e non sono ripetuti qui.
Un vero IP residenziale venduto a un provider di proxy come nodo di uscita, comune nei pool di scraping di terze parti / reti di raccolta dati. La titolarità di fondo è residenziale, ma il comportamento è da proxy: i sistemi antifrode delle piattaforme lo trattano come un'uscita proxy.
Identificato come traffico di crawler / scraping automatizzato. Cause comuni sono richieste ad alta frequenza, assenza delle normali impronte del browser e chiamate API in massa: i flussi di registrazione e accesso agli account vengono in genere bloccati.
Identificato per l'invio di email di spam, commenti spam in massa o comportamenti abusivi simili. I servizi di invio email e di pubblicazione nelle community rifiutano in genere questo tipo di uscita.
Segnalato più volte nei database pubblici di abusi per comportamenti malevoli come tentativi di accesso brute force, scansione di vulnerabilità e credential stuffing. Incide sul livello di purezza di questo IP.
Intervalli riservati dalle RFC, privati o di documentazione, che non dovrebbero mai comparire sull'Internet pubblico. Questi indirizzi non vengono registrati e non partecipano alle classifiche.
Punteggio a 6 dimensioni
Ogni dimensione riceve un punteggio indipendente da 0 a 100; i punteggi vengono ponderati e sommati, poi moltiplicati per un coefficiente di idoneità d'uso (massimo per gli IP residenziali, più basso per gli IDC) per ottenere il punteggio totale finale.
Se l'IP ha un ASN di origine BGP attuale, se il paese di registrazione coincide con la posizione reale e se la route è firmata legittimamente. Riflette quanto è chiara l'«identità» di questo IP.
Se l'IP si comporta come un'uscita di anonimizzazione: proxy / VPN / Tor / proxy residenziale / relay per la privacy. Questa dimensione ha il peso maggiore e determina direttamente se l'IP può essere usato per attività da utente reale.
L'intensità cumulativa delle segnalazioni nei database pubblici di abusi, quanto sono recenti e se l'IP è segnalato come ad alto abuso. Riflette quante vittime hanno segnalato questo IP nel tempo.
Il numero di presenze in blacklist pubbliche come DNSBL per email, honeypot HTTP e feed di threat intelligence. Più presenze indicano un IP storicamente più sporco.
Conteggi storici di comportamenti di attacco specifici, come tentativi di accesso brute force, registrazioni spazzatura in massa e spam nei commenti. Riflette lo storico di attacchi avviati da questo IP.
Blacklist/whitelist proprie di CleanIP e registro degli eventi di minaccia. Gli IP segnalati o messi in blacklist sul sito in passato emergono in questa dimensione.
Voto complessivo
La somma ponderata delle 6 dimensioni più il coefficiente di idoneità d'uso produce un punteggio da 0 a 100, mostrato come uno dei 6 livelli seguenti: A+ / A / B / C / D / F. La barra colorata in cima alla scheda di dettaglio corrisponde esattamente.
Il coefficiente di idoneità d'uso consente alle reti normali (residenziali / mobili / istruzione / pubblica amministrazione) di avvicinarsi al punteggio massimo, lascia le reti aziendali leggermente sotto e comprime le reti di datacenter / IDC in una fascia più bassa; l'infrastruttura pubblica (DNS / CDN) è considerata informativa ed esclusa dalla valutazione normale. Un IP residenziale pulito si colloca per impostazione predefinita nella fascia medio-alta: per raggiungere il massimo A+ servono prove positive complete, come un monitoraggio a lungo termine, una verifica di pulizia su più fonti e l'inserimento nella whitelist locale.