Perguntas frequentes (FAQ)

A CleanIP organiza os tipos de IP com base em consistência de titularidade, finalidade da rede e risco de anonimato. Os tipos mais comuns são estes:

As cores indicam apenas uma tendência de risco, não uma conclusão absoluta. O veredito final ainda depende do histórico de abuso, da reputação do ASN e do cenário de negócio específico.

Uma abordagem comum é verificar o tipo do dono do ASN. No entanto, isso só mostra que o IP pertence a um provedor (ISP), não que ele seja de fato usado em banda larga residencial. Por exemplo, na China a maioria dos IPs tradicionais de servidores IDC está registrada em nome das três grandes operadoras (China Telecom, China Unicom e China Mobile); como elas são ISPs, o ASN aparece como ISP, mas esses IPs são usados, na prática, em servidores de datacenter.

A CleanIP combina tipo de ASN, nome da organização, DNS reverso, portas abertas, banners de serviço, sinais de proxy/VPN e comportamento histórico para chegar a essa conclusão. Isso ajuda a distinguir dois casos fáceis de confundir: IPs de servidores de datacenter registrados em nome de uma operadora e saídas de proxy residencial disfarçadas de banda larga doméstica.

IP nativo é um IP cujo país de registro do bloco coincide com o país de geolocalização selecionado. Países diferentes significam broadcast. O país de registro do bloco é o país que consta nos arquivos diários de delegação dos cinco RIRs, ou seja, o país do titular a quem o RIR alocou o bloco, a mesma base do país registrado da MaxMind e de outras bases de dados convencionais. Só recorremos ao whois e ao RDAP quando o arquivo de delegação traz apenas um código de região. O país do inetnum no whois é preenchido pelo próprio titular e não define o veredito. Um país de registro do ASN diferente gera um aviso separado de região cruzada e nunca altera este veredito. Tanto redes residenciais quanto de datacenter podem usar IPs nativos.

Alguns provedores de IDC globais e multinacionais (como AWS, GCP e Azure) compram grandes blocos de IP para facilitar a gestão e os anunciam em vários países. Esse tipo de IP é chamado de IP broadcast.

Quando um IP é marcado como nativo, isso costuma indicar que ele pertence a uma banda larga residencial ou a um provedor de IDC local. Quando aparece como broadcast, isso costuma indicar que ele não é de banda larga residencial nem de um provedor de IDC local.

A CleanIP determina se um IP é nativo com base no local de registro. Se o país de registro coincide com o país do endereço geolocalizado, ele aparece como “IP nativo”; caso contrário, aparece como “IP broadcast”. A tabela “Histórico de registro” abaixo permite ver o local de registro do IP e seus registros históricos.

Três motivos típicos, em ordem de frequência:

1. IP broadcast: o país de registro do IP é diferente do país do endereço geolocalizado. É comum em IDCs multinacionais, provedores de nuvem, nós no exterior de operadoras ou datacenters que anunciam blocos em outros países. A CleanIP sinaliza isso com um selo amarelo de IP broadcast.
2. Infraestrutura pública: DNS públicos, CDNs ou nós de plataformas de nuvem globais podem usar os mesmos blocos de endereços em várias regiões, então as bases de geolocalização podem informar países ou cidades diferentes conforme o local da sondagem e o ponto de vista do roteamento.
3. Defasagem da base de geolocalização: depois que um bloco de IP muda de dono, cada provedor de geolocalização atualiza em uma velocidade diferente (as bases comerciais costumam atualizar toda semana, enquanto algumas fontes gratuitas atualizam uma vez por mês ou mais devagar). Com o tempo, isso tende a convergir; dados desatualizados de uma minoria de fontes precisam de validação cruzada para serem identificados.

A CleanIP compara lado a lado os dados de geolocalização, ASN e titularidade de rede de várias fontes. Quanto maior a consistência, maior a confiança; quando há uma discrepância clara, a CleanIP prioriza sinalizar causas prováveis, como IPs broadcast, infraestrutura pública ou defasagem das bases.

A CleanIP oferece duas pontuações independentes que apontam em sentidos opostos. Não as confunda:

Na maioria dos IPs, as duas pontuações têm correlação negativa (uma pontuação de limpeza alta normalmente significa uma pontuação de risco mais baixa), mas não são complementares exatas. Elas são calculadas de formas diferentes: a limpeza é uma nota composta de qualidade, enquanto a pontuação de risco pende mais para decisões de ameaça e bloqueio.

A pontuação de limpeza (0–100, quanto maior, mais limpo) é uma combinação ponderada de 6 dimensões:

• Confiança de identidade (20%): consistência entre o país de registro da faixa de IPs e o país indicado pela geolocalização, validação RPKI e verificação de pertencimento a uma infraestrutura pública conhecida
• Anonimização e evasão (25%): detecção de proxy / VPN / Tor / proxy residencial (quanto mais oculto, maior o desconto)
• Histórico de abuso (20%): número de denúncias de abuso e idade das denúncias, validado de forma cruzada entre várias fontes de dados
• Cobertura em listas negras (15%): 21 fontes DNSBL, bases de honeypot (HTTPBL) e listas de IPs comprometidos conhecidos
• Comportamento de ataque (10%): contagem de ataques em toda a rede, refletindo varreduras ativas ou registros de força bruta
• Reputação local (10%): avaliação de reputação da própria CleanIP e eventos de ameaça dos últimos 30 dias

Mapeamento de classificação:

A pontuação não resulta de um único campo: é um julgamento composto, formado pela atuação conjunta de seis dimensões: identidade, anonimato, abuso, listas negras, ataques e reputação local.

A pontuação de risco é uma pontuação separada, independente da limpeza (0–100, quanto maior, mais perigoso, o sentido oposto ao da limpeza). Ela é usada especificamente em decisões antifraude de negócio sobre bloquear ou colocar um IP na lista negra:

Os dados de antifraude vêm de monitoramento de honeypots, denúncias de abuso, listas negras DNSBL, análise comportamental e outras fontes multidimensionais. O valor de risco de um IP diminui com o tempo, à medida que os registros de risco envelhecem.

Observação: o número grande da página inicial é a pontuação de limpeza, não a de risco. Quanto maior a limpeza, melhor; quanto maior a pontuação de risco, mais perigoso.

A pontuação de risco não está diretamente ligada ao fato de o IP ser de banda larga residencial. Se um IP residencial já foi usado para varredura, força bruta, crawling ou ataques de saída, sua pontuação de risco pode ser alta. Por outro lado, até um IP de datacenter pode ter pontuação de risco baixa se não houver registro de comportamento malicioso.

Motivos comuns para uma pontuação alta em banda larga residencial:

• • Contaminação histórica: um usuário anterior rodou tráfego de proxy, crawler ou ataque nesse IP e as fontes de dados mantiveram o registro
• • Marcação do prefixo inteiro: existe um IP malicioso em outro ponto do mesmo bloco /24 e as fontes de dados marcaram o bloco inteiro
• • Dispositivo comprometido: um dispositivo IoT da casa foi comprometido e passou a fazer parte de uma botnet
• • Cliente de proxy residencial: um software de proxy residencial, como ProxyScrape ou 911, está rodando na rede

A classificação da CleanIP em nível de bloco de IP tem precisão relativamente alta. No entanto, o uso dos endereços IP não é estático: um grande número de IPs muda de mãos todos os dias. No geral, a precisão dos dados fica em torno de 95%.

Para saber se um IP mudou de dono recentemente, veja o carimbo de “primeira vez visto” nos dados de ASN. Se os dados desse IP forem recentes, isso pode indicar que a titularidade ou o status dele mudou.

A classificação de segurança por plataforma estima a probabilidade de este IP disparar verificações, restrições ou bloqueios em diferentes cenários de negócio. Ela considera o tipo de IP, o risco de anonimato, a consistência geográfica, o histórico de abuso e a tolerância da plataforma. As classificações têm três níveis:

• Seguro (Safe): em geral adequado para uso de longo prazo, com baixa probabilidade de disparar verificações extras
• Risco (Risk): pode disparar verificações ou restrições de vez em quando
• Bloqueio (Block): alta probabilidade de restrição ou banimento

A classificação de segurança por plataforma não é uma garantia. O histórico da conta, a impressão digital do dispositivo, a forma de pagamento, a região e o comportamento de acesso influenciam o resultado final do antifraude.

As plataformas variam no rigor do antifraude:

• Tolerantes (YouTube, X/Twitter, Facebook, e-commerce, jogos): observam principalmente Tor, proxies públicos e abuso grave
• Rígidas (Netflix, Disney+, TikTok): bloqueiam ativamente IPs de datacenter e VPNs
• Nível de pagamentos: mais sensíveis a serviços de anonimização, IPs de datacenter, divergências geográficas e dispositivos incomuns
• Plataformas de IA: bastante sensíveis a proxies e IPs de datacenter

A impressão digital do navegador (browser fingerprinting) coleta uma série de atributos do navegador e do dispositivo (como versão do navegador, sistema operacional, resolução de tela, fontes instaladas, fuso horário e saída de Canvas/WebGL) e os combina em um identificador quase único, usado para reconhecer ou rastrear o mesmo dispositivo sem precisar de cookies.

Os sinais de impressão digital mais comuns incluem: User-Agent, resolução/profundidade de cor da tela, configurações de fuso horário/idioma, saída de renderização de Canvas/WebGL, diferenças na medição de fontes, impressão digital de áudio, concorrência de hardware e mais. Mesmo que você limpe os cookies ou use uma janela anônima, a impressão digital ainda pode identificar você.

Um vazamento de WebRTC acontece quando o processo de conexão WebRTC do navegador (troca de candidatos ICE) expõe sem querer o seu endereço IP local ou o IP público real. Ou seja, mesmo usando VPN ou proxy, o site de destino ainda pode enxergar o seu IP real.

• Chrome: instale a extensão “WebRTC Network Limiter” (do Google) ou “WebRTC Leak Prevent”
• FirefoxNa página about:config, defina media.peerconnection.enabled como false

A impressão digital JA3 é um hash gerado a partir da análise dos campos da mensagem Client Hello enviada pelo cliente durante o handshake TLS (versão SSL, cipher suites, extensões, curvas elípticas etc.), que identifica de forma única a implementação do cliente. Navegadores e aplicativos diferentes usam combinações diferentes de parâmetros TLS ao estabelecer conexões HTTPS, e essas diferenças formam uma espécie de “impressão digital da camada de rede”.

JA4 é uma versão aprimorada do JA3 que resolve a sensibilidade do JA3 a mudanças de ordem, permitindo distinguir melhor implementações levemente modificadas.

“Dual ISP” só significa que o dono do IP é um ISP; não quer dizer que o IP seja realmente usado em banda larga residencial. Por exemplo, o IP 110.242.68.66 retornado por ping baidu.com pertence à China Unicom e tem tipo de ASN ISP, mas na prática é um dos IPs de servidor do Baidu.

O mecanismo de detecção de servidores da CleanIP usa DNS reverso, varredura de portas, análise de banners e outras técnicas para identificar IPs de servidores reais dentro de redes de ISP, oferecendo uma classificação mais precisa.

A CleanIP combina feeds comerciais de inteligência de IP, dados de rede públicos, bancos de dados de roteamento, listas negras de DNS e dados de comportamento próprios. Cada fonte cobre dimensões diferentes:

• Geolocalização e titularidade de ASN
• Detecção de proxy, VPN, Tor e proxy residencial
• Denúncias de abuso e registros de listas negras
• Tráfego de ASN e perfil de rede
• Roteamento BGP e histórico de registro
• Portas abertas e impressões digitais de serviços
• Honeypots próprios e monitoramento de comportamento
• Base de marcas e infraestrutura pública curada manualmente

Quando as fontes de dados divergem, a CleanIP prioriza mostrar uma conclusão explicável e mantém aberto um canal de feedback dos usuários para corrigir amostras anômalas.

“Usuários compartilhados” é uma estimativa do número de usuários distintos associados a um endereço IP, com base no monitoramento e na análise de big data em toda a rede. Um IP compartilhado por muitos usuários normalmente indica um IP de proxy público ou de VPN.

Como o NAT é amplamente usado na China continental, um grande número de usuários finais acessa a internet pelo mesmo IP público, o que é um comportamento de rede normal. Por isso, o sistema não mostra por padrão a métrica de usuários compartilhados para endereços IP da China continental.

Os endereços IP de banda larga residencial costumam permanecer registrados em um ASN e uma organização fixos, com baixa taxa de mudança. Quando o ASN ou a organização titular de um IP muda com frequência, isso indica uma titularidade instável, algo comumente chamado de IP “sujo”.

As tabelas de histórico de ASN e de histórico de empresa permitem ver com clareza todos os registros de mudança do IP, ajudando a avaliar sua estabilidade.

O módulo de coleta de dados da CleanIP identifica IPs que pertencem a CDNs conhecidas (incluindo Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN e outras). Se você roda um proxy reverso no seu servidor e o domínio atendido por ele usa uma CDN, o IP do seu servidor pode ser identificado como IP de CDN.

A CleanIP faz uma varredura de conexão TCP em 26 portas comuns do IP de destino. Além de descobrir portas abertas, ela também faz:

• Captura de banners: identifica o software e a versão específicos que estão rodando nas portas abertas
• Mapeamento CPE: associa o software identificado a identificadores CPE padronizados
• Inferência de tags: infere o tipo de IP a partir de combinações de portas e dados CPE (por exemplo, CDN, banco de dados, IoT etc.)
• Correspondência com vulnerabilidades CVE: compara as versões de software identificadas com bancos de dados de vulnerabilidades CVE conhecidas

CPE (Common Platform Enumeration) é um esquema padronizado de nomenclatura de software; por exemplo, cpe:/a:nginx:nginx:1.24.0 representa o Nginx 1.24.0.

CVE (Common Vulnerabilities and Exposures) é o identificador padrão de vulnerabilidades de segurança conhecidas; por exemplo, o CVE-2024-6387 é uma vulnerabilidade de execução remota de código no OpenSSH. A CleanIP compara automaticamente as versões de software encontradas na varredura com CVEs conhecidos de alta gravidade.