Ко мне регулярно приходят с одним и тем же вопросом, только с двух сторон. Антифрод-инженеры спрашивают, почему нельзя просто забанить подсеть, с которой летит мусор. Разработчики парсеров спрашивают, почему после смены IP их всё равно узнают. Оба вопроса упираются в одну механику, которую обычно рисуют как смартфон, облачко и стрелочку.

Я решил вместо облачка взять телеметрию нашей сети за одни сутки и посмотреть, как эта механика выглядит в числах. Это продолжение статьи «IP сменился, отпечаток остался»: там было про отпечатки, здесь про сам адрес. И начну с поправок к той статье, потому что часть цифр в ней оказалась неверной.

Коротко о главном. Мобильный адрес дорого банить не потому, что прокси какие-то особенные. За одним публичным адресом оператора в один и тот же момент сидят разные абоненты, и это видно даже по нашим собственным модемам: больше половины адресов за сутки побывали у двух и более из них. Откуда это и что из этого следует для обеих сторон, ниже.

Смена мобильного IP каждые две минуты не делает клиента новым для антибота. Разбираю четыре слоя, по которым его узнают за прокси (TCP/IP, TLS, HTTP/2, поведение), и показываю на суточном логе из 2 272 207 смен IP на 9 067 модемах, почему сама ротация по таймеру превращается в поведенческий отпечаток. Плюс честный список того, что в этом разборе не получилось.