پلتفرم پرداخت و ثبات IP: چرا ورود شما مشکوک می‌شود؟

دوشنبه مسئول مالی پرداخت‌ها را از دفتر تأیید می‌کند. سه‌شنبه از خانه کار می‌کند، چهارشنبه از لابی یک هتل، پنجشنبه در قطار از هات‌اسپات گوشی‌اش. جمعه پنل پذیرنده کد تأییدی می‌خواهد که هرگز نخواسته بود و پرداخت صبح در وضعیت «در حال بررسی» می‌ماند. هیچ رمز عبوری لو نرفته است. آنچه از دید پلتفرم عوض شده این است که یک حساب در چهار روز از چهار شبکه ظاهر شده است.

این نوشته برای کسب‌وکارهایی است که حساب پذیرنده، حساب تسویه یا حساب بانکی شرکتی روی پلتفرم‌هایی مانند Stripe، Adyen، Wise یا Payoneer دارند. توضیح می‌دهیم ارائه‌دهنده هنگام ورود کدام سیگنال‌ها را می‌خواند، یک ورود علامت‌خورده چه چیزی را فعال می‌کند، چرا تیم مالی‌ای که بین شبکه‌ها جابه‌جا می‌شود مدام به این قواعد برمی‌خورد، یک نشانی خروجی ثابت چه می‌دهد و چه نمی‌دهد، چگونه راه‌اندازی می‌شود و کلیدهای API و وب‌هوک‌ها کجا لیست سفید جداگانه می‌خواهند. این نوشته مشاوره مالی یا حقوقی نیست؛ اینکه با حساب خود چه می‌توانید بکنید را شرایط استفاده ارائه‌دهنده تعیین می‌کند.

پلتفرم پرداخت هنگام ورود چه چیزی را بررسی می‌کند؟#

بانک بررسی می‌کند که شما خودتان هستید. پلتفرم پرداخت علاوه بر آن باید قضاوت کند که آیا کسی که الان در حساب است می‌خواهد پول را از آن بیرون ببرد یا نه؛ پس پنل پذیرنده به چیزی بیش از رمز عبور نگاه می‌کند.

ارائه‌دهنده نشانی IP عمومی شما، مرورگر و دستگاه، زمان و همه ورودهای قبلی حساب را می‌بیند. از نشانی، کشور و شهر تقریبی، اپراتور شبکه (ASN) و نوع شبکه را استخراج می‌کند: خط خانگی، اپراتور موبایل، شرکت میزبانی، سرویس VPN یا پروکسی شناخته‌شده. مرکز امنیت Payoneer این را احراز هویت تطبیقی می‌نامد که شاخص‌های ریسک مانند موقعیت، نشانی IP و مبلغ تراکنش را بررسی می‌کند و وقتی چیزی غیرعادی باشد یک مرحله تأیید اضافه می‌خواهد. هیچ‌کدام از این سیگنال‌ها به‌تنهایی حکم نیست؛ با هم جمع می‌شوند.

ورود چگونه امتیاز می‌گیرد؟#

مدل دقیق راز هر ارائه‌دهنده است، اما اجزای آن عمومی است و در مستندات هر سیستم هویت بزرگی دیده می‌شود. فهرست Microsoft از تشخیص‌های ریسک ورود نقشه خوبی از دسته‌هاست و همان دسته‌ها برای پنل پرداخت هم صادق است.

1. اعتبار IP. آیا این نشانی در حمله‌های credential stuffing، در فهرست‌های عمومی پروکسی یا در فهرست‌های سیاه سوءاستفاده دیده شده است؟ آیا خروجی Tor یا یک VPN مصرفی است؟ سابقه بد پیش از آنکه چیز دیگری خوانده شود امتیاز را بالا می‌برد. نوشته ما درباره IP Fraud Score نشان می‌دهد این پایگاه‌های داده چه چیزی نگه می‌دارند.
2. موقعیت جغرافیایی در برابر حساب. نشانی به یک کشور و یک شهر نسبت داده می‌شود. اگر کشور با کشور ثبت شرکت شما، یا با همه ورودهای قبلی، فرق کند امتیاز بالا می‌رود. موقعیت استخراج‌شده از IP تخمینی است؛ به‌ویژه نشانی‌های موبایل ممکن است به شهری صدها کیلومتر دورتر نسبت داده شوند.
3. سفر ناممکن (Impossible Travel). دو ورود از دو مکان که فاصله‌شان بیش از آن است که کسی بتواند در فاصله زمانی بین دو ورود طی کند. Microsoft این را «سفر غیرمعمول» می‌نامد و یادآوری می‌کند که مثبت‌های کاذب آشکار مانند VPN شرکتی را عمداً نادیده می‌گیرد. پلتفرم پرداخت درباره شرکت شما کمتر می‌داند و شاید نادیده نگیرد.
4. اثر انگشت دستگاه. مرورگر، سیستم‌عامل، صفحه‌نمایش، فونت‌ها، کوکی‌ها و توکن‌های ذخیره‌شده. دستگاه شناخته‌شده از نشانی تازه ناهنجاری کوچک‌تری است تا دستگاه تازه از نشانی تازه.
5. سرعت تغییر. ورودها، تلاش‌های ناموفق، بازنشانی رمز عبور یا تغییر مقصد تسویه در بازه‌ای کوتاه. پنج نشانی در یک هفته خودش یک سیگنال سرعت است، حتی اگر تک‌تک نشانی‌ها پاک باشند.
6. تصمیم. جمع امتیازها در یکی از این بازه‌ها می‌افتد: اجازه دادن، درخواست مدرک بیشتر، محدود کردن یا نگه داشتن برای بررسی انسانی.

ورود علامت‌خورده چه چیزی را فعال می‌کند؟#

واکنش پله‌ای است و پله‌های اول خودکارند:

• تأیید تکمیلی. کد از راه پیامک یا اپ احراز هویت، اعلان روی گوشی ثبت‌شده یا درخواست passkey. برای نمونه مرکز راهنمای Wise می‌گوید ورود از دستگاه تازه اول باید ثابت کند شما مالک دستگاه هستید.
• محدودیت موقت. توقف تسویه‌ها، کاهش سقف برداشت، مسدود ماندن مقصدهای تازه تسویه برای یک دوره انتظار یا کلیدهای API که تا زمانی که کسی تغییر را تأیید کند مجوزهای حساس را از دست می‌دهند.
• بررسی. یک نفر حساب را بررسی می‌کند: دوباره مدارک هویتی، مدرک نشانی کسب‌وکار یا توضیحی درباره الگوی ورود. بررسی از چند ساعت تا چند روز طول می‌کشد و در این مدت پول منتظر می‌ماند.

چرا تیم‌های مالی به این قواعد برمی‌خورند؟#

چون تیم مالی امروزی دقیقاً همان نوع کاربری است که این قواعد برای گرفتنش تنظیم شده‌اند:

• خط‌های خانگی نشانی عوض می‌کنند. بیشتر اتصال‌های خانگی پس از راه‌اندازی دوباره مودم یا یک پنجره تعمیرات نشانی عمومی تازه‌ای می‌دهند؛ ببینید تفاوت IP ثابت و پویا.
• داده موبایل CGNAT است. اپراتورها هزاران مشترک را پشت یک نشانی عمومی مشترک می‌گذارند و آن را می‌چرخانند. ورود از هات‌اسپات مانند ورود از نشانی شلوغ، مشترک و در حال حرکت به نظر می‌رسد که اغلب به شهر اشتباهی نسبت داده می‌شود.
• هتل‌ها، فرودگاه‌ها و فضاهای کار اشتراکی یک نشانی را با صدها غریبه شریک‌اند که بعضی از آن‌ها به اعتبار آن نشانی آسیب زده‌اند.
• VPN مصرفی نشانی مشترک، شبکه از نوع میزبانی و اغلب کشور اشتباه را با هم ترکیب می‌کند. بانک هم همین را می‌بیند، همان‌طور که چرا بانک ورود از یک مکان غیرعادی را مشکوک می‌داند؟ شرح می‌دهد.
• چند نفر، یک حساب. مالک، حسابدار و دستیاری که از سه شهر وارد یک حساب می‌شوند الگوی سفری می‌سازند که هیچ آدم واحدی نمی‌تواند طی کند.

تک‌تک ورودها مشروع‌اند. اما به‌عنوان یک دنباله، تاریخچه مثل تصاحب حسابی در جریان خوانده می‌شود.

IP خروجی ثابت چه چیزی به شما می‌دهد#

نشانی خروجی ثابت یعنی ایستگاه کاری مالی همیشه از یک نشانی ⁦IPv4⁩ عمومی به ارائه‌دهنده می‌رسد، در هر شبکه محلی‌ای که فیزیکی قرار داشته باشد. سیگنال‌ها را مقایسه کنید:

ردیف آخر بیش از آنچه به نظر می‌رسد اهمیت دارد. وقتی ارائه‌دهنده سؤالی می‌پرسد، «همه ورودهای این حساب از ⁦203.0.113.10⁩، خروجی مالی ما، انجام می‌شود» پاسخی است که می‌توانید با گزارش‌های خودتان پشتیبانی کنید. دو نتیجه به دنبال می‌آید: یک نشانی برای لیست سفید دارید، هر جا که ارائه‌دهنده از آن پشتیبانی کند، و کشوری که ارائه‌دهنده از نشانی استخراج می‌کند هر بار با حساب منطبق است، چون نشانی به نام خطی در همان کشور ثبت شده است.

IP خروجی ثابت چه کاری نمی‌کند#

• راهی برای جای دیگر به نظر رسیدن نیست. خروجی باید در کشوری باشد که کسب‌وکار در آن ثبت شده و حساب در آن باز شده است. استفاده از یک نشانی برای اینکه به نظر برسد در کشوری هستید که ارائه‌دهنده به آن خدمات می‌دهد، در حالی که نیستید، اظهار خلاف واقع است و شرایط هر ارائه‌دهنده‌ای آن را ممنوع می‌کند. اگر پلتفرمی به کشور شما خدمات نمی‌دهد، پاسخ یک پلتفرم دیگر است.
• کشور حساب را عوض نمی‌کند. ارائه‌دهنده‌ها حساب را به کسب‌وکار و نشانی تأییدشده گره می‌زنند. نشانی ورود یکنواخت آن سابقه را تقویت می‌کند؛ نمی‌تواند جای آن را بگیرد.
• KYC و ⁦2FA⁩ همچنان برقرارند. بررسی هویت، تأیید کسب‌وکار و احراز هویت دوعاملی الزام قراردادی و قانونی‌اند. نشانی ثابت این درخواست‌ها را کم‌تکرارتر می‌کند، نه اختیاری.
• مخفیگاه نیست. ارائه‌دهنده می‌تواند ببیند نشانی به یک شرکت پروکسی یا میزبانی تعلق دارد و بعضی از آن‌ها، همان‌طور که پایین‌تر می‌بینید، به پذیرنده‌ها اجازه می‌دهند چنین منابعی را با یک سیاست مسدود کنند. شرایط ارائه‌دهنده خود را بخوانید؛ اگر دسترسی به پنل از راه پروکسی یا VPN را منع کرده است، به جای آن از نشانی ثابت ارائه‌دهنده اینترنت یا خط دفتر استفاده کنید.

راه‌اندازی خروجی ثابت برای ایستگاه کاری مالی#

هدف یک نشانی، یک حساب، یک ایستگاه کاری است. نشانی یا یک IP ثابت از ارائه‌دهنده اینترنت روی خط دفتر است، یا یک نشانی پروکسی استاتیک اختصاصی شما؛ اولی وقتی در دسترس باشد پاک‌ترین گزینه است و دومی چیزی است که تیم پراکنده یا دفتری با خط پویا استفاده می‌کند.

1. نوع نشانی را انتخاب کنید. برای ورود به پنل، نشانی باید مانند یک خط معمولی خانگی یا شرکتی در کشور شما به نظر برسد، نه یک بلوک دیتاسنتر. پروکسی مسکونی ثابت (ISP)، که با نام آی‌پی ثابت رزیدنتال هم شناخته می‌شود، دقیقاً همین است: نشانی‌ای که به نام یک ارائه‌دهنده خدمات اینترنت ثبت شده، فقط به شما اختصاص دارد و تا وقتی آن را پس ندهید تغییر نمی‌کند. جزئیات این محصول در صفحه پروکسی ISP و تفاوت آن با استخرهای چرخشی در صفحه پروکسی استاتیک آمده است.

2. برای هر حساب یک نشانی. دو حساب پذیرنده، یا یک حساب پذیرنده و یک حساب شخصی، را پشت یک خروجی نگذارید. خروجی مشترک همان راهی است که حساب‌های بی‌ربط در سوابق ارائه‌دهنده به هم گره می‌خورند.

3. هرگز از استخر مشترک دیتاسنتر استفاده نکنید. نشانی استخری را مشتریان دیگر هم‌زمان استفاده می‌کنند؛ اعتبار و سرعت تغییر آن‌ها به ارث شما می‌رسد.

4. آن را به ایستگاه کاری یا روتر ببندید. پروکسی را در پروفایل مرورگری تنظیم کنید که فقط برای کار مالی استفاده می‌شود، یا در دفتر روی روتر، تا کل شبکه مالی از آن خارج شود. وب‌گردی شخصی را از آن پروفایل دور نگه دارید.

5. پیش از اعتماد، خروجی را بررسی کنید. این فرمان را از رایانه مالی چند بار در طول یک روز اجرا کنید؛ نشانی باید هر بار یکسان باشد و به کشور شما نسبت داده شود:

   bash

   curl -x http://user:pass@pr.proxynet.io:8000 https://api.ipify.org

   اینکه چه چیزهای دیگری را باید آزمود در چگونه پروکسی را آزمایش کنیم آمده است.

6. یک بار عمداً از نشانی تازه وارد شوید. اولین ورود از هر نشانی تازه یک رویداد «دستگاه تازه» است؛ تأیید تکمیلی را کامل کنید و از آن پس تاریخچه یکنواخت می‌ماند.

7. ثبت کنید. نشانی، حساب و ایستگاه کاری را در مستندات امنیتی خود یادداشت کنید. وقتی نشانی کنار گذاشته شد، همان روز آن را از همه لیست‌های سفید حذف کنید.

کدهای دوعاملی همچنان می‌توانند به گوشی‌ای بروند که سفر می‌کند: گوشی عامل دوم است، نه نشانی ورود.

کلیدهای API و وب‌هوک‌ها: لیست سفید هر جا که ارائه‌دهنده پشتیبانی کند#

یکپارچه‌سازی شما نشست دیگری با قواعد دیگری است و اینجا ارائه‌دهنده‌ها ابزار صریح در اختیارتان می‌گذارند.

اعتبارنامه‌های API را به نشانی محدود کنید. مستندات اعتبارنامه‌های API در Adyen اجازه می‌دهد به یک اعتبارنامه بازه IP مجاز اضافه کنید و پس از آن فقط درخواست‌های آن بازه پذیرفته می‌شود. مستندات کلیدهای API در Stripe سیاست‌های دسترسی را شرح می‌دهد که یک کلید را به نشانی‌های ⁦IPv4⁩ یا بازه‌های CIDR مشخص محدود می‌کنند، یا در شکل پیشرفته به اپراتورهای شبکه و کشورهای مشخص، و هم‌زمان VPN ناشناس، پروکسی عمومی، پروکسی مسکونی و گره‌های خروجی Tor را مسدود می‌کنند. آن بند آخر را با دقت بخوانید: Stripe صریحاً به پذیرنده‌ها کلیدی می‌دهد تا منابع پروکسی مسکونی را از API خود مسدود کنند. پس ترافیک API شما باید از نشانی ثابت سرور خودتان خارج شود، نه از پروکسی، و سیاست روی کلید باید همان نشانی را نام ببرد.

نشانی‌های ارائه‌دهنده را در سمت خود مجاز کنید. وب‌هوک‌ها از سرورهای ارائه‌دهنده می‌آیند. Stripe نشانی‌های IP مبدأ وب‌هوک‌هایش و دامنه‌هایی را که یکپارچه‌سازی باید به آن‌ها برسد منتشر می‌کند و پیش از تغییر اطلاع می‌دهد. آن‌ها را در لیست سفید ورودی فایروال خود بگذارید و امضای وب‌هوک را هم بررسی کنید.

جهت‌ها را از هم جدا نگه دارید. خروجی ایستگاه کاری برای پنل است، نشانی سرور برای کلید API و نشانی‌های منتشرشده ارائه‌دهنده برای فایروال شما. نشانه رفتن کلید API به سمت پروکسی ایستگاه کاری قاعده اول IP ثابت برای API را می‌شکند: نشانی ثبت‌شده باید به سیستمی تعلق داشته باشد که فراخوانی‌ها را انجام می‌دهد. همین انضباط برای API صرافی‌ها در لیست سفید IP برای API صرافی رمزارز آمده است.

مقایسه راه‌های رسیدن به نشانی یکنواخت#

موارد استفاده#

• تیم مالی پراکنده روی یک حساب پذیرنده: کل تیم از یک خروجی در کشور ثبت به پنل می‌رسد؛ صفحه پروکسی برای امور مالی ما را ببینید.
• حسابداری که به چند مشتری خدمت می‌دهد: برای هر حساب مشتری یک نشانی اختصاصی، هرگز یک نشانی برای همه.
• کارکنانی که با ایستگاه کاری سفر می‌کنند: لپ‌تاپ در هتل و قطار خروجی خود را نگه می‌دارد، در حالی که گوشی‌ای که کدها را می‌گیرد آزادانه جابه‌جا می‌شود؛ نسخه شخصی این موضوع را در اپلیکیشن بانک در خارج از کشور کار نمی‌کند؟ مقایسه کنید.
• حفاظت از داده‌های رایانه مالی: نشانی خروجی یکی از چند کنترل است؛ صفحه امنیت داده ما را ببینید.

اشتباه‌های رایج#

• استفاده از خروجی در کشور اشتباه. نشانی باید با کشور حساب منطبق باشد. هر چیز دیگری مشکل شرایط استفاده است، نه مشکل فنی.
• یک نشانی، چند حساب. ارائه‌دهنده‌ها حساب‌هایی را که نشانی مشترک دارند به هم گره می‌زنند؛ محدودیت روی یکی می‌تواند به بقیه سرایت کند.
• خاموش کردن احراز هویت دوعاملی چون درخواست‌ها کم شده‌اند. عامل دوم همان چیزی است که وقتی نشانی کافی نیست از شما محافظت می‌کند.
• نشانه رفتن کلید API به پروکسی ایستگاه کاری. جای کلید روی سرور است، با نشانی سرور در سیاست دسترسی.
• اعتماد به یک پایگاه داده موقعیت جغرافیایی. پایگاه‌های داده با هم اختلاف دارند، همان‌طور که آیا از آدرس IP می‌توان موقعیت را یافت توضیح می‌دهد؛ ببینید پایگاه داده ارائه‌دهنده شما چه می‌گوید.

راهنمای انتخاب#

پرسش‌های متداول#

آیا IP خروجی ثابت همه درخواست‌های تأیید را متوقف می‌کند؟#

خیر. درخواست‌هایی را که از تغییر نشانی ناشی می‌شوند حذف می‌کند و برای یک تیم سیار بیشتر درخواست‌ها همین‌ها هستند. دستگاه تازه، تغییر رمز عبور، مقصد تازه تسویه و مبلغ غیرعادی همچنان بررسی را فعال می‌کنند.

آیا استفاده از پروکسی برای پنل پذیرنده مجاز است؟#

به شرایط ارائه‌دهنده بستگی دارد و این شرایط با هم فرق دارند: بعضی سرویس‌های ناشناس‌ساز را منع می‌کنند، بعضی چیزی نمی‌گویند و بعضی، مانند Stripe برای کلیدهای API، به پذیرنده اجازه می‌دهند تصمیم بگیرد کدام نوع شبکه مسدود شود. اگر ارائه‌دهنده شما آن را منع کرده است، از IP ثابت ارائه‌دهنده اینترنت یا خط دفتر استفاده کنید.

نشانی دیتاسنتر بگیرم یا نشانی ISP؟#

برای ورود انسانی، نشانی ثبت‌شده به نام ISP، چون مانند خط شرکتی یا خانگی در کشور شما به نظر می‌رسد. برای سروری که API را فراخوانی می‌کند، نشانی خود سرور که در سیاست دسترسی کلید ثبت شده است.

آیا ارائه‌دهنده پروکسی نشست پنل مرا می‌بیند؟#

محتوا را نه. پنل از HTTPS استفاده می‌کند، پس پروکسی می‌بیند به کدام میزبان وصل می‌شوید و چقدر داده رد و بدل می‌شود، در حالی که صفحه، رمز عبور و کد دوعاملی شما داخل تونل رمزگذاری‌شده می‌ماند.

آیا می‌توانم یک نشانی خروجی را برای حساب پذیرنده و حساب بانکی شرکت با هم استفاده کنم؟#

برای هر حساب یک نشانی استفاده کنید. دو حساب روی یک خروجی اعتبار مشترک پیدا می‌کنند و در سوابق ارائه‌دهنده‌ها به هم گره می‌خورند؛ محدودیت روی یکی می‌تواند دیگری را هم گرفتار کند.

اگر ارائه‌دهنده باز هم ورود از نشانی ثابت را علامت بزند چه؟#

تأیید را کامل کنید و بعد ببینید چه چیز دیگری عوض شده است: پروفایل تازه مرورگر، کوکی‌های پاک‌شده، لپ‌تاپ تازه. نشانی یک سیگنال است؛ دستگاه سیگنال دیگری است.

خلاصه#

پلتفرم‌های پرداخت هر ورود را بر پایه اعتبار نشانی، کشوری که نشانی نشان می‌دهد، فاصله از ورود قبلی، دستگاه و سرعت تغییر امتیاز می‌دهند و با تأیید تکمیلی، محدودیت و بررسی پاسخ می‌دهند. تیم مالی‌ای که بین خانه، دفتر، هتل و نشانی‌های CGNAT موبایل جابه‌جا می‌شود همان الگویی را می‌سازد که این مدل‌ها برای شکار آن ساخته شده‌اند. یک نشانی خروجی ثابت که به کسب‌وکار شما اختصاص دارد، در کشور ثبت حساب قرار دارد و یک ایستگاه کاری را برای یک حساب پوشش می‌دهد، آن تاریخچه را یکنواخت می‌کند و چیزی به شما می‌دهد که بتوانید در لیست سفید بگذارید و ممیزی کنید. این نشانی جای کسب‌وکار را عوض نمی‌کند، جای احراز هویت دوعاملی را نمی‌گیرد و شرایط ارائه‌دهنده را بی‌اثر نمی‌کند. کلیدهای API را روی نشانی خود سرور نگه دارید، نشانی‌های وب‌هوک ارائه‌دهنده را در فایروال خود مجاز کنید و گزینه‌های نشانی ثابت را در صفحه خدمات پروکسی ما مقایسه کنید.