IP欺诈分数怎么看？IPQS、Scamalytics评分与风险字段详解

　　查代理 IP 时，最容易踩的坑就是只盯着 Fraud Score 看。看到 20 分觉得不错，看到 80 分马上想换 IP，但这个数字脱离检测工具其实没有统一含义。IPQS 和 Scamalytics 都使用 0—100 分，却不是同一把尺子：IPQS 当前把 75+ 视为可疑信号，而 Scamalytics 的公开结果里，20 分也可能标为 Medium Risk。

　　实际判断时，先按当前工具自己的定义读分，再看 Proxy、Recent Abuse、Bot Status、Abuse Velocity、Connection Type 等字段；两个工具结果冲突时，去找具体信号差异，而不是比较数字大小。因此，“多少分算正常”没有脱离具体工具的统一答案。

一、IP欺诈分数不是统一的“IP纯净度分”

　　Fraud Score 是风险检测服务根据自己的数据和评分方法，对当前 IP 或连接给出的风险评价。不少工具恰好都使用 0—100，看起来像一套通用考试分数，实际上各自代表什么，要回到对应服务自己的定义里看。

　　所以网上常见的“0—30 纯净、30—70 一般、70 以上很差”不能直接套到所有检测网站。至少要说明讨论的是 IPQS、Scamalytics，还是其他数据库，否则区间本身没有太大参考意义。

　　Fraud Score 也别和黑名单、网络类型混在一起。黑名单回答的是 IP 有没有被特定名单收录；Connection Type 判断它更接近 Residential、Mobile、Corporate 还是 Data Center；Recent Abuse 记录的则是近期有没有经过确认的滥用行为。这些信号可能互相关联，却不是同一个指标。

　　第三方 Fraud Score 更不能直接换算成某个平台的“账号安全率”“注册成功率”或“信任度”。它反映的是当前风险数据库如何评价这条连接，并不代表目标网站最终一定会做出相同判断。

　　如果实际出口 IP、网络类型、黑名单和浏览器侧泄露都还没有核对，可以先按代理IP纯净度完整检测流程完成基础检查。已经拿到 IPQS 或 Scamalytics 结果，再继续解释分数和字段会更有效率。

二、IPQS Fraud Score怎么看？75、85、90别当成三条硬门槛

　　IPQualityScore 的 Fraud Score 范围为 0—100，数字越高，说明它识别到的风险越明显。

　　IPQS 当前 Proxy Detection API 字段说明明确写着：Fraud Score ≥75 属于 suspicious，但不一定代表欺诈；≥90 属于 high risk，并建议对这类流量进行标记或阻止。与此同时，Best Practices 又把 85+ 描述为存在 suspicious activity，把 90+ 描述为 abusive and malicious behavior。

　　这几处官方说明更适合拿来理解风险是怎样逐渐升高的，而不是自行拼成一张“0—74、75—84、85—89、90+”绝对分级表。

　　测到 75 左右，可以理解为已经值得继续查看风险来源；到了 85 附近，更应该看看代理属性、近期滥用或自动化活动是否异常；90 以上则已经进入 IPQS 明确建议谨慎处理的区域。但别写成“74 能用，75 不能用”，IPQS 官方同样说明，实际阈值可以根据业务风险承受能力调高或调低。

总分之外，更要看是什么把风险推高了

　　IPQS 当前官方字段中，与 Fraud Score 一起值得看的包括 recent_abuse、abuse_velocity、bot_status、frequent_abuser、proxy、 和 connection_type。官方也明确建议把这些信息用于更细的风险判断。

　　这比只记一个数字有用得多。两条 IP 即使 Fraud Score 接近，风险来源也可能完全不同：一条主要表现为代理属性，另一条却刚出现过近期滥用。

为什么同一条IP在IPQS里也可能测出不同分数

　　IPQS 的 Fraud Score 不一定只使用 IP 地址。官方字段说明显示，它还可以结合 User-Agent、语言以及其他可选变量；IPQS Advanced Options 中则可以调整 strictness、lighter_penalties、allow_public_access_points 等设置。

　　strictness 范围为 0—3，级别越高检查越严格，但 IPQS 明确提醒 2 以上更容易产生误报。开启 lighter_penalties 后，一些 mixed-quality IP 的 Fraud Score 和代理检测惩罚也可能降低。所以，同一个 IP 在网页查询和不同 API 设置下得到的结果不完全一样，并不奇怪，比较之前最好先确认检测条件是否一致。

看到Risk Score时，也别和Fraud Score混为一谈

　　部分 IPQS API 在传入交易或用户数据后，还会返回 transaction_details.risk_score。它同样采用 0—100，但官方定义是对“用户或交易是否表现出恶意行为”的置信度，而且相较整体 Fraud Score，Risk Score 对 IP reputation 的权重更低。只有传入相关交易数据后，这组字段才会被填充。

　　因此，把它概括成“Fraud Score 看历史、Risk Score 看现在”虽然方便记忆，却不够准确。更合适的理解是：两者处理的数据范围和权重不同，普通 IP 查询也未必会返回 Risk Score。

三、Scamalytics Fraud Score怎么看？别拿IPQS的尺子来量

　　Scamalytics 同样给出 0—100 的 Fraud Score，但它解释分数的方式与 IPQS 不同。

　　当 Scamalytics 能直接观察到相关 Web 流量时，公开查询页会把分数解释为：在它能够看到的 Web traffic 中，有多少比例被怀疑可能属于欺诈流量。同时它也明确提醒，这个结论只针对其可见数据，non-web traffic 可能呈现不同风险。

　　如果某条 IP 缺少足够的直接数据，Scamalytics 还可能参考该 IP 所属运营商或网络在其可见流量中的整体表现。官方公开页面中就存在“没有直接看到该 IP Web 流量，因此根据运营商整体风险给分”的情况。

　　所以，Scamalytics 的 60 分不适合直接翻译成“这条 IP 有 60% 的概率是恶意 IP”。更准确的是，它在自己能够观察的数据范围内，对相关 Web 流量风险给出的估计。

Scamalytics多少分算正常？

　　与其自己造一张区间表，不如看当前查询页同时显示的 Fraud Score 和 Risk 标签。公开结果中可以直接找到 Fraud Score 20 对应 Medium Risk、Fraud Score 64 对应 High Risk，以及 Fraud Score 93 对应 Very high Risk 的情况。

　　这些例子已经足够说明，Scamalytics 不能套用 IPQS 的 75、85、90。查完之后，把 Fraud Score、页面自身的 Risk，以及 Operator、ISP、Proxy、 等信息放在一起看，比套用第三方“统一风险区间”可靠得多。

四、IPQS很低、Scamalytics很高，到底听谁的？

　　比如一条 IP 在 IPQS 只有十几分，Scamalytics 却显示 High Risk，这时候没必要先挑一个工具“相信”。两家公司能观察到的数据范围不同，评分方法也不同；IPQS 还可以把 User-Agent、语言、strictness 等变量带进检测，而 Scamalytics 的网页结果可能来自 IP 本身，也可能在数据不足时参考所属网络。

　　因此，IPQS 50 和 Scamalytics 50 没有直接换算关系，更不适合把两个分数相加或取平均。

　　碰到明显冲突，直接把两个结果页面放在一起看：是不是一边发现了 Recent Abuse？Proxy标记是否一致？Connection Type 是否相同？Scamalytics 是在评价这条 IP 自身，还是参考了整个 Operator？数字差多少只是现象，具体风险信号差在哪里，才决定下一步该查什么。

五、Proxy、Recent Abuse、Bot Status这些字段怎么读

　　IPQS 一页可能返回十几个字段，没必要把每一项都当成同等重要的分数。实际看结果时，重点放在连接属性、近期行为和网络来源这三类信息即可。

Proxy看的是连接属性

　　proxy 用来标记疑似代理连接；

　　因此看到 Proxy: Yes，最直接的含义是检测服务发现了代理或匿名连接特征，而不是自动得出“IP 信誉很差”的结论。

Recent Abuse和Abuse Velocity看近期发生了什么

　　recent_abuse 表示 IPQS 最近几天是否在自己的网络中确认到滥用行为，官方列出的例子包括账号接管攻击、受感染设备、虚假申请或注册、Bot 攻击等。

　　abuse_velocity 看的是滥用出现的频率，取值包括 high、medium、low 和 none；bot_status 则表示近期是否发现 Bot 或其他非人工流量参与自动化欺诈。

　　Enterprise 数据中还可能出现 frequent_abuser，用于识别持续 6 个月或更长时间存在滥用历史的 IP，以区别长期高风险地址和短期被恶意软件、Botnet 或住宅代理网络利用的情况。所以一条 IP Fraud Score 不高，却出现 recent_abuse=true，仍然值得继续查。

Connection Type只说明它来自什么网络

　　IPQS 当前把 Connection Type 分为 Residential、Corporate、Education、Mobile 和 Data Center。这里最容易出现的误会，是把网络类型直接当成信誉。

　　Residential 也可能有较高 Fraud Score，因为住宅地址同样可能出现滥用、Bot 或代理活动；Data Center 也不等于 Fraud Score 必然很高。网络来源和风险历史是两个维度。

　　如果问题已经变成“买的是住宅 IP，为什么 ISP、Organization、ASN 看起来像云厂商”，就该继续核对住宅IP纯净度怎么判断，而不是从 Fraud Score 反推真假。

六、分数和其他结果打架时，按组合看更清楚

　　实际检测代理时，最常见的并不是所有指标一起变红，而是几项结果看起来互相矛盾。

　　其中有两种情况尤其容易误判。Fraud Score 高，但没有公开黑名单并不冲突，Fraud Score 可以受到近期滥用、Bot、代理特征以及服务商自己的风险数据影响，而公开 blacklist 有各自的收录条件。没有进入公开名单，不能反推出 Fraud Score 应该很低。

　　反过来，Fraud Score 不高但 Recent Abuse=true 也不能直接忽略。IPQS 自己就建议把 Recent Abuse、Abuse Velocity、Bot Status 等字段与总分一起判断。至于 Spamhaus 不同名单、AbuseIPDB 举报时间和风险类型分别代表什么，留给对应子页处理，这里不重复展开。

举个模拟结果

　　假设一条 IP 查询后得到以下结果：

• · Fraud Score：82
• · Proxy：false
• · Bot Status：false
• · Recent Abuse：true
• · Abuse Velocity：medium
• · Connection Type：Residential

　　82 分本身还解释不完这个结果。Residential 说明 IPQS 把它归为住宅连接；Proxy 都是 false，也没有明显匿名网络标记。真正值得注意的是 Recent Abuse=true 和 Abuse Velocity=medium：近期存在经过确认的滥用，而且频率并非 none 或 low。

　　这时候问题已经不是“82 能不能用”，而是这条住宅 IP 为什么最近出现过滥用。如果只是继续换几个网站测试，希望找到一个更低的数字，意义不大。更实际的是继续核对近期滥用发生在什么时候、其他数据库有没有对应记录；如果业务对网络信誉要求较高，也没必要因为 Residential 这个标签就强行保留它。

七、最后怎么决定：继续用、复核，还是直接换IP

　　Fraud Score 看懂以后，不需要再给 IP 自己设计一套新的“纯净度100分”。结果整体正常，就继续使用。 Fraud Score 没有明显异常，Recent Abuse、Bot Status、Abuse Velocity 也没有值得警惕的信号，网络类型符合购买预期，几个主要检测结果之间也能互相解释，没有必要为了追求一个更低的数字频繁换 IP。

　　出现明显矛盾，就继续复核。 IPQS 与 Scamalytics 差距很大、Residential 同时带 Proxy、Fraud Score 不高却出现 Recent Abuse，或者同一条 IP 在相同检测条件下结果明显变化，都值得把实际出口、网络类型、黑名单、近期滥用，以及 WebRTC、DNS、IPv6 等重新核对一遍。此时回到代理IP纯净度完整检测流程，比继续纠结单个分数更有效率。

　　多个独立高风险信号同时出现，直接换 IP 更省时间。 例如较高 Fraud Score 同时伴随 Recent Abuse、Bot Status 或持续性的 Abuse Velocity，并且复测后仍然一致，再给这条 IP 找“还能不能用”的理由通常价值不大。换一条代理，在相同条件下重新检测，判断会更清楚。

IP和指纹浏览器最好一起管理

　　对于多账号场景，只换代理 IP 通常还不够。IP 解决的是网络出口问题，而浏览器指纹、Cookie、本地存储、语言、时区等属于浏览器环境的另一层信息。如果多个账号长期混用同一套浏览器环境，即使代理地址不同，也可能留下更多相似的环境特征。想进一步降低环境混用带来的关联风险，更合适的做法是把代理 IP 和指纹浏览器搭配使用。

　　比特浏览器可以为不同账号建立相对独立的浏览器窗口，并分别配置对应代理、Cookie 和本地存储。这样网络出口和浏览器环境都能按账号分开管理，在批量验收或长期使用多条代理时，也更容易确认每个窗口实际对应哪条 IP，减少不同账号之间因为代理、Cookie 或浏览器环境混用带来的关联风险。

　　看 IP Fraud Score，最终就是把结果转成动作：风险信号基本一致且正常，可以继续用；结果互相冲突，继续查原因；多个独立高风险信号同时存在，优先换 IP。 至于这个数字本身是不是 20、50 或 80，只有放回对应检测工具和具体字段里，才真正有意义。