Bots detecteren aan de hand van het IP-adres

Om bots op IP-adres te detecteren, zoek je het client-IP op bij gevoelige endpoints en kijk je uit wat voor netwerk het komt. Het meeste geautomatiseerde verkeer komt uit hosting- en datacenternetwerken, via proxy's, VPN's of Tor, dus die netwerkklassen en de reputatie van het IP zijn het eerste filter. Crawlers die zich Googlebot of GPTBot noemen, controleer je tegen de IP-ranges die hun operators publiceren, en de rest krijgt een score.

Waarom IP zo'n sterk botsignaal is

Een serieuze botoperatie draaien betekent veel requests versturen. Om eenvoudige rate limiting te ontwijken, routeren operators via proxy's, VPN's, Tor of cloudservers. Elk van die opties laat een vingerafdruk achter op IP-niveau:

• Datacenter-/hosting-IP's: bots houden van goedkope cloudcompute.
• Proxy's: vooral roterende residential proxy's die echte gebruikers nabootsen.
• VPN's: om herkomst te maskeren en eenvoudige geo-regels te omzeilen.
• Tor exit-nodes: voor volledige anonimiteit.

Een request vanaf een van deze bronnen is niet automatisch een bot, maar wel automatisch verdachter dan een request via een stabiele residentiële verbinding.

Het duidelijkst zie je dit in je analytics: een piek van "gebruikers" uit China of Singapore zonder enige betrokkenheid, bijna allemaal vanaf cloudnetwerken. Zie botverkeer uit China en Singapore.

De IP-signalen die bots blootleggen

1. Hosting-herkomst. Verkeer vanuit een cloud- of hosting-ASN dat zich voordoet als toevallige bezoeker is het klassieke botverraad. ASN-data legt dit bloot.
2. Proxytype. Residential proxy's zijn de sterkste indicator van bewuste ontwijking, zie wat is een residential proxy.
3. VPN-gebruik. Gebruikelijk bij credential stuffing en multi-accounting.
4. Tor. Volledige anonimisering; wees voorzichtig bij gevoelige endpoints.
5. Reputatie. Eerder misbruik vanaf het IP of de reeks verhoogt het risico.

Van signalen naar een beslissing

In plaats van op elke vlag apart te reageren, breng je ze samen in een score. Een IP-fraudescore combineert proxy-, VPN-, Tor-, hosting- en reputatiesignalen tot één waarde tussen 0 en 100, zodat je regel zo simpel kan zijn als:

• score < 30 → toestaan
• 30–70 → uitdagen (CAPTCHA, verificatie)

• 70 → blokkeren of doorsturen naar review

Zo blijft de logica in je app simpel, terwijl het zware werk in de lookup gebeurt.

Een praktische opzet

Een solide IP-gebaseerde botverdediging ziet er zo uit:

1. Op gevoelige endpoints (login, registratie, checkout, zoeken, API) het client-IP opzoeken via de proxydetectie-API.
2. Bekende goede bots op een allowlist zetten: zoekmachinecrawlers en je eigen monitoring, via hun gepubliceerde ranges.
3. Al het overige scoren en frictie toepassen in verhouding tot de score.
4. Gedrag toevoegen als extra laag voor de lastige gevallen: requestsnelheid, ontbrekende headers, onmogelijke interactietiming.

Vertrouw niet alleen op IP voor de lastigste bots

De meest geavanceerde bots kopen verse residentiële IP's en bootsen menselijk gedrag na. IP-signalen verhogen hun kosten nog steeds en onderscheppen de meerderheid, maar combineer ze met gedragsanalyse voor verdediging in de diepte. IP is het goedkoopste, snelste eerste filter, niet de hele strategie.

Kortom

De meeste bots verraden zichzelf op netwerkniveau door via proxy's, VPN's, Tor of hosting-IP's te routeren. Controleer het client-IP op gevoelige endpoints, breng de signalen samen in een score en blokkeer of daag uit op basis daarvan, en voeg daarna gedragssignalen toe voor de geavanceerde minderheid.