VPN, proxy e IP de datacenter no cadastro: o que o endereço de rede diz

Todo cadastro chega acompanhado de um endereço de IP. Ele não custa nada para coletar, aparece de graça em qualquer log de servidor e, talvez por isso, é o sinal antifraude que mais gera regra apressada. Quem monta a primeira política de risco quase sempre escreve a mesma linha: se o IP for de VPN ou de datacenter, reprove.

A linha parece razoável e produz dois efeitos previsíveis. O primeiro é bloquear gente honesta em lote, porque milhares de pessoas legítimas compartilham endereço ou usam VPN por motivos banais. O segundo é uma falsa sensação de proteção, porque quem realmente quer burlar troca de endereço em segundos, sem tocar em mais nada da tentativa.

Este texto separa o que o endereço permite afirmar com alguma confiança, o que ele não permite de jeito nenhum, e como usá-lo do jeito honesto: como um peso entre outros, nunca como veredito.

O que o endereço realmente diz

Um endereço de IP não pertence a uma pessoa, pertence a um bloco, e o bloco pertence a uma organização. Essa cadeia é pública e consultável no WHOIS dos registros regionais de internet: no Brasil e no restante da América Latina e do Caribe, o LACNIC; na Europa, Oriente Médio e Ásia Central, o RIPE NCC. A consulta devolve o bloco alocado, a organização responsável e o sistema autônomo, o número que identifica a rede que anuncia aquele prefixo na internet.

Com isso dá para afirmar, com razoável confiança, duas coisas:

• A que rede o endereço pertence, incluindo o nome da organização e o sistema autônomo correspondente.
• Que tipo de rede é aquela, na medida em que a organização responsável seja um provedor de hospedagem, uma operadora de acesso residencial, uma operadora móvel ou uma rede corporativa.

E é praticamente só isso. O WHOIS não diz quem estava no teclado, não diz se havia uma VPN no caminho e não garante que o endereço continua com o mesmo dono da última vez que você consultou: blocos são transferidos, realocados e reaproveitados. Cache de consulta ajuda no custo, mas precisa de prazo de validade, senão a sua base descreve a internet do ano passado.

Datacenter e VPN são sinal, não veredito

Descobrir que o endereço pertence a um provedor de hospedagem é informação útil. Uma pessoa física preenchendo cadastro pelo celular normalmente não sai por um endereço de datacenter, e automação em escala frequentemente sai. O erro é transformar isso em sentença.

VPN é ferramenta legítima e amplamente usada. Empresas inteiras roteiam o tráfego dos funcionários por um concentrador, e todo o time aparece saindo pelo mesmo endereço, frequentemente numa faixa que não parece residencial. Serviços de VPN comerciais são vendidos abertamente nas lojas de aplicativo e usados por gente que só quer privacidade, ou que está viajando, ou que segue uma política de segurança do próprio empregador. Há também o caminho inverso, e ele é mais desconfortável: existe um mercado de proxies residenciais, que alugam endereços de conexões domésticas reais. Por construção, esses endereços pertencem a faixas de acesso residencial, então o sinal de datacenter não os alcança. Ou seja, o sinal pega o usuário desatento e não pega justamente quem se preparou para não ser pego.

A conclusão prática é modesta e útil. Endereço de hospedagem eleva o risco e pode justificar uma verificação adicional. Sozinho, ele não sustenta uma recusa, e uma recusa baseada só nisso é indefensável quando o cliente reclama.

CGNAT: um endereço público, milhares de assinantes

O argumento mais forte contra bloqueio por IP é estrutural. Com a escassez de endereços IPv4, operadoras adotaram tradução de endereços em larga escala, o CGNAT, em que muitos assinantes compartilham um mesmo endereço público. A RFC 6598 reservou justamente para isso o Espaço de Endereçamento Compartilhado 100.64.0.0/10, usado entre o assinante e o equipamento da operadora, distinto das faixas privadas clássicas da RFC 1918.

A consequência é direta: o endereço público que o seu servidor registra pode representar centenas ou milhares de assinantes ao mesmo tempo, e o mesmo assinante pode trocar de endereço público em minutos. Bloquear um IP nesse cenário é punir gente inocente em lote, e monitorar reincidência por endereço mede a operadora, não a pessoa. É a mesma armadilha discutida em rede de fraude e falso positivo: agrupar por um identificador que não individualiza fabrica vínculos que não existem.

O CGNAT também explica por que a geolocalização por IP é aproximação, e não endereço. Em rede móvel, o ponto de saída pode estar em outra cidade ou outro estado, longe de onde a pessoa está. Não é acaso nem defeito de fornecedor: a própria RFC 6598 registra a geolocalização entre os serviços degradados pelo compartilhamento de endereço em larga escala. Usar essa informação para conferir coerência é defensável; usá-la como prova de que alguém mentiu a residência, não. A distância entre as duas leituras é exatamente onde nasce o falso positivo em verificação.

O endereço que seu servidor enxerga pode ser o que o cliente escreveu

Antes de pesar qualquer sinal, uma pergunta mais básica: o endereço que a sua aplicação registrou é mesmo o da origem? Numa arquitetura com balanceador, CDN e proxy reverso, a conexão que chega à aplicação vem do último salto, não do usuário. O endereço original só sobrevive porque alguém o copia para um cabeçalho HTTP.

E cabeçalho é texto que qualquer cliente pode escrever. O X-Forwarded-For nunca foi padronizado em RFC; o cabeçalho padronizado para essa finalidade é o Forwarded, definido na RFC 7239, que registra a cadeia de intermediários. A própria RFC 7239 é explícita ao tratar da confiança: as informações do cabeçalho só valem na medida em que venham de nós confiáveis, porque qualquer parte no caminho pode inserir ou alterar valores.

Na prática, isso vira uma regra de implementação que muita aplicação erra:

1. Saiba quantos proxies confiáveis existem entre a internet e a aplicação.
2. Descarte o excedente e leia o endereço na posição correspondente a esse número de saltos, contando a partir do proxy mais próximo da aplicação.
3. Nunca aceite o primeiro valor da lista como origem, porque é justamente o que o cliente controla.

Quem lê o primeiro valor sem contar saltos permite que qualquer pessoa declare o IP que quiser, e todo o edifício de sinais construído sobre o endereço desaba em silêncio: a regra continua rodando, aprovando e reprovando, apenas com dados forjados.

Peso combinado, e o registro que fica

O uso honesto do IP é como um peso entre vários, e não como chave de decisão. Ele ganha valor quando combina com outros elementos: endereço de hospedagem somado a horário atípico, a preenchimento rápido demais e a um documento de qualidade duvidosa desenha um caso; sozinho, desenha uma suspeita frágil. Ele também rende mais como sinal de correlação do que de reprovação, ajudando a perceber que muitas tentativas partiram do mesmo lugar em pouco tempo. O limite é o mesmo que o SMS tem quando usado como prova de posse, e pelo mesmo motivo: o canal não é a pessoa, como discutido em SIM swap e o limite do SMS.

Por fim, o registro desse endereço tem regime jurídico próprio. A Lei 12.965/2014, o Marco Civil da Internet, no artigo 15, obriga o provedor de aplicações de internet constituído como pessoa jurídica com fins econômicos a guardar os registros de acesso a aplicações por seis meses, sob sigilo e em ambiente controlado, tema tratado em detalhe no artigo sobre guarda de logs pelo Marco Civil. Vale a leitura conjunta com o resto deste texto: o mesmo dado que decide mal quando usado sozinho é o dado que a lei manda guardar com cuidado.

Fontes citadas

• RFC 6598, IANA-Reserved IPv4 Prefix for Shared Address Space (100.64.0.0/10).
• RFC 7239, Forwarded HTTP Extension.
• RFC 1918, Address Allocation for Private Internets.
• LACNIC, registro regional de internet para a América Latina e o Caribe, e RIPE NCC, registro regional para a Europa, o Oriente Médio e a Ásia Central, serviços de WHOIS citados por nome no texto.
• Lei 12.965/2014 (Marco Civil da Internet), artigo 15, citada por nome no texto.