Como detectar uma VPN oculta pelo relógio e pelo idioma do navegador

Resposta curta

Compare o fuso horário e os idiomas do navegador com o país do IP. Um relógio e um idioma de outra região, num IP de país que paga bem, é uma evidência forte de VPN ou proxy, ainda mais com vazamento de WebRTC ou muitos fusos vistos no mesmo IP. Use como evidência que se soma a outras, não como banimento sozinho.

O que as listas não veem

Proxies residenciais e servidores VPN novos demais para estarem listados.

Relógio x IP

Um fuso horário do navegador em outra região que o país do IP.

Idiomas x IP

Idiomas do navegador que apontam outro país, num IP de país que paga bem.

O sinal mais forte

Muitos fusos horários sem relação vistos no mesmo IP em uma semana.

Por que listas de IP não bastam

A maior parte da detecção de VPN começa com listas: faixas de empresas de hospedagem, endereços que os provedores de VPN publicam, nós de saída do Tor, proxies abertos. Essas listas são úteis, e o CashoutGuard as atualiza todo dia, mas elas só conhecem o que já viram.

O tráfego que mais prejudica sites de recompensas é justamente o que as listas não veem. Proxies residenciais fazem uma fazenda passar por conexões reais de casas e celulares, alugadas por hora. Um servidor VPN novo está limpo até alguém denunciá-lo. Num offerwall, esse tráfego converte como se viesse de um país que paga bem, é pago e é estornado semanas depois, quando o anunciante confere a qualidade.

O jeito de contornar isso é parar de perguntar só «o que é este IP» e perguntar também «este dispositivo combina com o lugar que o IP diz». O navegador responde a essa pergunta de graça.

O relógio do navegador

Todo navegador informa seu fuso horário, como Asia/Kolkata ou America/New_York. Um celular ou computador ajusta o fuso pela localização ou pela rede, e quase ninguém mexe nisso. Uma VPN muda o IP, não o relógio. Então um dispositivo na Índia navegando por uma saída nos EUA continua dizendo Asia/Kolkata.

Cada fuso horário corresponde a um país, então a comparação é entre dois países, mais seus deslocamentos. Quando a base de IP não tem fuso para um endereço, a pergunta alternativa é se algum fuso do país do IP tem o mesmo deslocamento do navegador. Se tiver, não há divergência.

Dois detalhes mantêm isso honesto. Compare regiões e deslocamentos UTC, não só nomes, porque países vizinhos costumam ter o mesmo deslocamento. E dê mais peso quando o IP está num país que paga mais do que aquele para onde o relógio aponta: é a direção da fraude, porque ninguém ganha fingindo um país que paga menos.

Os idiomas do navegador

Os navegadores também enviam os idiomas preferidos do usuário, muitas vezes com região: es-MX, ar-EG, hi-IN. Uma lista que começa com ar-EG num IP dos Estados Unidos ou da Itália diz que o dispositivo está configurado para o Egito. Sozinho é fraco, porque há quem more fora do seu país, mas junto com o relógio é uma segunda testemunha independente.

• Ignore en-US e en-GB: são padrões em todo lugar e não dizem nada.
• Aceite grandes comunidades locais: espanhol nos EUA, francês no Canadá, árabe nos países do Golfo.
• Considere apenas em IPs de países que pagam bem, onde falsificar a localização compensa.
• Dê mais peso quando o primeiro idioma aponta outro país e não é inglês.

Vazamentos de WebRTC e um IP com muitos fusos

Algumas configurações de VPN vazam o IP real pelo WebRTC, o recurso do navegador usado em chamadas de vídeo. Quando o navegador revela um segundo IP público em outro país que o da requisição, o dispositivo está atrás de um túnel. É quase uma prova, e tem peso de acordo.

O sinal mais forte de proxy residencial vem de olhar entre usuários em vez de um só dispositivo. Uma conexão doméstica pertence a uma casa, então mostra um ou dois fusos. A saída de um proxy é compartilhada por desconhecidos do mundo todo, então o mesmo IP mostra Asia/Manila, Africa/Lagos e America/Bogota na mesma semana. Três ou mais fusos sem relação num IP é um proxy, digam o que disserem as listas.

Saídas de proxy passam de um site para outro, então essa verificação funciona melhor com o histórico somado: o CashoutGuard conta os fusos vistos num IP em todos os sites que protege e guarda só o número, nunca qual site viu o quê.

Falsos positivos a evitar

• Viajantes e expatriados: celulares atualizam o fuso ao pousar, mas notebooks e alguns usuários não. Trate uma divergência sozinha como motivo de revisão, não de bloqueio.
• Relays de privacidade: o iCloud Private Relay esconde a localização real de propósito e é usado por donos comuns de iPhone. Reconheça suas faixas e pule a comparação para elas.
• Regiões de fronteira e deslocamentos compartilhados: compare deslocamentos e regiões, nunca só nomes de países.
• Apps em WebView: alguns apps definem o idioma por conta própria. Confira o sinal de idioma com o tráfego do seu app antes de dar peso a ele.

A regra que mantém os falsos positivos baixos é simples: nenhum sinal do navegador bloqueia alguém sozinho. Uma divergência de relógio mais um idioma estrangeiro mais um IP de país que paga bem é um padrão. Qualquer um deles sozinho é uma pergunta.

Como o CashoutGuard faz isso

O script do navegador coleta o fuso horário, os idiomas e os candidatos de WebRTC, e o servidor os compara com o IP em cada evento. Os motivos aparecem como timezone_mismatch, locale_country_mismatch, webrtc_ip_leak e ip_multi_timezone, cada um com sua evidência (o fuso do navegador, os idiomas, os países) para quem revisa entender o porquê. Os pesos sobem quando o IP está num país que paga bem e o dispositivo aponta para outro lugar.

Você pode ver como um IP se parece sozinho com o verificador de IP gratuito, e a página de Tráfego mostra quanto do seu tráfego parece residencial mas esconde uma VPN. Sites novos começam no modo sombra, então você vê o efeito antes de bloquear qualquer coisa.