O cadastro de uma conta em um serviço com peso financeiro ou reputacional não se resume a um número para o código de confirmação. A plataforma enxerga de uma vez um conjunto de vários elementos: o número de telefone, a caixa de e-mail e o endereço IP de onde veio a requisição. Enquanto todos os componentes desse conjunto apontam para um único país, o sistema trata a sessão como comum. Basta um dos elementos destoar do quadro geral para começarem captchas, pedidos repetidos de código e verificações manuais. Vamos ver do que se compõe o stack de cadastro, o que exatamente a plataforma confere e em que ordem faz sentido montá-lo.

Os três componentes do stack e por que mantê-los no mesmo país

O stack tem três elementos: o número de telefone para receber o código de confirmação, a caixa de e-mail para a mensagem de cadastro e a recuperação de acesso, e o endereço IP a partir do qual toda a sessão é feita. Isoladamente, qualquer um deles pode ser pego "de qualquer lugar" — a plataforma não bloqueia isso diretamente. Mas um conjunto de três elementos de geografias diferentes parece estatisticamente raro: num usuário comum, o número, o e-mail e o ponto de saída para a rede quase sempre vêm do mesmo país, porque é o país onde ele mora. Os modelos antifraude levam em conta justamente essa raridade da combinação, e não um parâmetro isolado.

O que exatamente a plataforma cruza

O primeiro sinal é o país do número: ele é lido pelo código e pela faixa, e a base antifraude sabe a quais operadoras de cada país pertence o prefixo. O segundo é o país e o ASN do endereço IP: um endereço residencial aponta para um provedor doméstico, um móvel aponta para uma operadora de celular, e ambos são locais para o seu país, ao contrário de um host de datacenter (a análise desse parâmetro está no artigo o que é ASN e por que ele importa). O terceiro sinal é o domínio do e-mail: parte das plataformas mantém estatísticas de qual país costuma originar as mensagens de cadastro de determinado domínio e compara com o domínio da sua caixa; outra parte olha de forma mais simples — para o IP e o fuso horário do último acesso ao próprio e-mail. O quarto e o quinto sinais são o idioma da interface e o fuso horário: ambos são lidos dos cabeçalhos da requisição e das configurações do sistema do dispositivo e devem coincidir com o país dos três primeiros parâmetros.

Ordem de montagem: primeiro o número, depois o endereço, por fim o e-mail

A ordem prática de montagem do stack é o inverso da intuitiva. É preciso começar pelo número do país desejado na seção de ativações — a disponibilidade de números por país e operadora oscila mais e muda mais rápido do que a disponibilidade de proxies, então sai mais barato ajustar o segundo e o terceiro elemento ao primeiro do que o contrário. Depois que o número é obtido e o país dele está definido, escolhe-se um endereço da mesma geografia no catálogo de proxies — o tipo de canal, residencial, móvel ou de datacenter, depende do rigor com que a plataforma de destino verifica a origem do tráfego (a comparação entre os tipos está no artigo proxies móveis versus residenciais). O e-mail entra por último: é o elemento mais flexível do stack — ele é criado para o par número+IP já escolhido, por isso convém criá-lo pelo mesmo proxy, para que o serviço de e-mail não guarde uma geolocalização alheia como se fosse a de casa.

Divergências típicas e como o serviço as enxerga

A plataforma lê cada divergência de um jeito um pouco diferente. Número de um país e IP de outro é o sinal mais evidente e costuma gerar captcha ou novo pedido de código já na etapa de cadastro. Número e IP coincidentes com um e-mail criado um dia em outra geografia e em outro dispositivo é um sinal mais brando: pode não atrapalhar o cadastro, mas aumenta o risk score em operações com dinheiro mais adiante. Idioma de interface em inglês ou neutro com número e IP locais é um sinal independente, que os modelos antifraude consideram em pé de igualdade com a geografia: ele é lido como indício de que a conta não é controlada por um morador do país declarado. O acúmulo de várias divergências ao mesmo tempo não são vários pontinhos a mais de risco, e sim um salto qualitativo: o sistema passa de "esclarecer" para "bloquear até a verificação".

O que fazer se não há número do país desejado em estoque

Se o pool de números do país desejado está temporariamente vazio, há duas opções que funcionam e uma que não funciona. A primeira que funciona é esperar a reposição: o pool é atualizado, e um pequeno atraso sai mais barato do que refazer o stack inteiro. A segunda é, se o país tem várias operadoras, tentar outra operadora do mesmo país: o conjunto de prefixos é outro, mas o país e o perfil antifraude continuam os mesmos. A opção que não funciona é trocar o país do número por um em que há proxy em estoque no momento: isso não resolve o problema, apenas transfere a incompatibilidade do número para todo o resto, porque o e-mail e o histórico da conta já podem estar atrelados à geografia original.

Perguntas frequentes

É obrigatório que fuso horário e idioma coincidam se número e IP já coincidiram?

Para a maioria dos cadastros, basta que número e IP coincidam, mas em serviços com componente financeiro os dois sinais adicionais — idioma da interface e fuso horário — também entram no risk score e podem acrescentar uma etapa de verificação, mesmo que os dois primeiros parâmetros estejam perfeitos.

O que fazer se o e-mail já foi cadastrado para um país e agora preciso de um número de outro?

Para o novo conjunto, é mais lógico criar uma caixa separada para o novo par número+IP, em vez de reaproveitar o e-mail antigo: levar um e-mail com histórico de acessos alheio para um novo stack traz justamente a divergência que o stack existe para evitar.

Com que rapidez a plataforma reconhece a incompatibilidade entre os elementos do stack?

Na maioria das vezes, logo no cadastro ou no primeiro login: os sinais básicos — país do número, país e ASN do IP, idioma — são verificados automaticamente em segundos. Sinais mais sutis, como o histórico de acessos do e-mail, podem aparecer depois — ao tentar trocar a senha ou o meio de pagamento vinculado.

O jeito mais prático de escolher um número do país desejado e, depois, o proxy e o e-mail para ele é na seção de ativações — ali você vê a disponibilidade em tempo real por país e operadora. Um exemplo de como as particularidades geográficas de uma região influenciam a escolha do canal é o artigo proxy Peru.