Om VPN-gebruikers op je website te blokkeren, controleer je het IP van elke bezoeker met een VPN-detectie-API en beslis je per actie: VPN's met een hoge betrouwbaarheidsscore blokkeer of verifieer je bij registratie, inloggen en afrekenen, lezers laat je door. De check draait met één API-call in je backend, of zonder code vóór je site via een Cloudflare Worker, een WordPress-plugin of een gate voor Traefik, Caddy of nginx. Elke VPN blokkeren is zelden goed, want veel VPN-gebruikers zijn gewone klanten.
Bepaal wat je eigenlijk wilt
Voordat je iets implementeert, scheid je het doel van de methode:
- Compliance / licenties: je moet mogelijk daadwerkelijk toegang blokkeren vanaf geanonimiseerde IP's in bepaalde regio's.
- Fraudebeperking: je hoeft niet te blokkeren, je moet wrijving toevoegen waar het risico hoog is.
- Misbruikpreventie: je wilt multi-accounting en trial-misbruik stoppen, en dat gaat over registraties, niet over browsen.
De meeste sites vallen in de tweede of derde categorie, waar uitdagen beter werkt dan blokkeren.
Controleer of een IP een VPN gebruikt
Stap 1: detecteer VPN-verkeer betrouwbaar
Je kunt niet reageren op wat je niet ziet. Gebruik een detectiedienst die zowel een oordeel als een betrouwbaarheidsscore teruggeeft in plaats van een simpele ja/nee-lijst. Waarom die score ertoe doet, lees je in hoe VPN-detectie werkt. De VPN-detectie-API geeft beide voor elke IP.
Stap 2: kies blokkeren vs. uitdagen per actie
Koppel de betrouwbaarheidsscore aan een reactie die past bij het risico van de actie:
| Actie | Lage score | Gemiddelde score | Hoge score |
|---|---|---|---|
| Inhoud lezen | toestaan | toestaan | toestaan |
| Registreren | toestaan | e-mail-/telefoonverificatie | verificatie + beoordeling |
| Inloggen | toestaan | step-up-authenticatie | step-up-authenticatie |
| Afrekenen / opnemen | toestaan | verifiëren | blokkeren of handmatige beoordeling |
Zo wordt een privacybewuste lezer nooit gehinderd, terwijl een VPN met hoge betrouwbaarheidsscore bij het afrekenen de juiste controle krijgt.
Stap 3: implementeer server-side
Voer de check uit op je backend, niet in de browser, zodat hij niet omzeild kan worden en je API-sleutel geheim blijft. De flow:
- De gebruiker start een gevoelige actie.
- Je server roept de detectie-API aan met het IP van de klant.
- Je leest het oordeel en de score uit en past de bovenstaande tabel toe.
Voor een concrete implementatie, zie hoe je VPN detecteert in Node.js.
Kun je niet aan de backend komen? Draai dezelfde check dan vóór je site, met de Cloudflare Worker, de WordPress-plugin of de integraties voor Traefik, Caddy en nginx. Ze starten allemaal in monitor-modus, zodat je eerst ziet wat er geblokkeerd zou worden; blokkeren vraagt een betaald plan.
Stap 4: geef de voorkeur aan scoring boven harde regels
Als je merkt dat je veel if-statements schrijft, consolideer dan. Voeg het VPN-signaal samen met proxy, Tor en reputatie toe aan een IP-fraudescore en stuur op dat ene getal. Dat is makkelijker af te stellen en moeilijker te omzeilen.
Valse positieven voorkomen
- Gebruik de score, geen binaire vlag. Reserveer harde blokkades voor hoge betrouwbaarheid.
- Zet bekend zakelijk/cloudverkeer op de allowlist waar je echte gebruikers legitiem vandaan komen.
- Geef gebruikers een uitweg. Als je moet blokkeren, toon dan een duidelijk bericht en een manier om te verifiëren in plaats van een doodlopende weg.
Kortom
Blokkeer niet elke VPN-gebruiker: detecteer VPN-verkeer met een betrouwbaarheidsscore en blokkeer of daag vervolgens uit op basis van het risico van de actie. Voer de check server-side uit, geef de voorkeur aan uitdagingen boven harde blokkades, en bundel de logica in één fraudescore zodat hij makkelijk af te stellen blijft.
FAQ