Doku

Agent auf die Anmeldeseite, einen Endpoint vom Server aufrufen, nach der Entscheidung handeln.

Schnellstart

1. Agent auf der Anmeldeseite einbinden

Er sammelt Gerätesignale und legt ein kurzlebiges Besucher-Token in ein verstecktes Feld namens attrelix_visitor in jedem Formular der Seite. Für Single-Page-Apps gibt es window.attrelix.token().

<script src="https://attrelix.com/v1.js?v=0bbe74b52d" data-key="pk_live_…" async></script>

// single-page apps: wait for the token before you submit
const visitor = await window.attrelix.token();

2. Anmeldung vom Server prüfen

Senden Sie E-Mail, Client-IP und Besucher-Token mit Ihrem geheimen Schlüssel. Optional: external_id (Ihre Nutzer-ID), user_agent und card_fingerprint (zum Beispiel card.fingerprint von Stripe).

curl https://attrelix.com/v1/check \
  -H "Authorization: Bearer $ATTRELIX_SECRET" \
  -H "Content-Type: application/json" \
  -d '{"email":"jdoe+7@gmail.com","ip":"203.0.113.9","visitor":"vt1.…"}'

# Python
r = requests.post("https://attrelix.com/v1/check", timeout=3,
    headers={"Authorization": f"Bearer {SECRET}"},
    json={"email": email, "ip": ip, "visitor": form["attrelix_visitor"]})
decision = r.json().get("decision", "allow") if r.ok else "allow"

3. Nach der Entscheidung handeln

allow: Gratis-Credits vergeben. review: etwas verlangen, das eine Farm Geld kostet — eine Karte, eine Telefonnummer — oder weniger Credits vergeben. block: Konto oder Credits verweigern. Schlägt der Aufruf fehl, zulassen: sperren Sie nie echte Nutzer wegen uns aus.

Schlüssel und Tokens

• Öffentlicher Schlüssel (pk_live_…): absichtlich öffentlich. Er steht in Ihrer Seite und kann nur Signale sammeln, von den Origins, die Sie im Dashboard erlauben.
• Geheimer Schlüssel (sk_live_…): nur auf dem Server. Führt Prüfungen aus und liest Ergebnisse. Wir speichern nur seinen Hash: kopieren Sie ihn beim Erstellen.
• Besucher-Token: von uns signiert, 15 Minuten und für eine einzige Prüfung gültig, an Ihr Projekt gebunden. Ein zweimal genutztes Token oder eines aus einem anderen Netz als die Anmeldung erhöht den Score.

POST /v1/check

Request-Body (JSON). Senden Sie mindestens eines von email, ip oder visitor.

Antwort

decision ist allow, review oder block. score reicht von 0 bis 100: die Summe der Punkte der Gründe, gedeckelt. Jeder Grund hat einen stabilen Code zum Loggen oder Anzeigen.

{
  "id": "chk_3fJ8kQ2mN7pX1aZb",
  "decision": "block",
  "score": 100,
  "reasons": [
    { "code": "linked_accounts_10", "points": 45, "detail": "14" },
    { "code": "alias_of_existing", "points": 30, "detail": "3 variants of jdoe@gmail.com" },
    { "code": "datacenter_ip", "points": 25, "detail": "aws" }
  ],
  "email":   { "normalized": "jdoe@gmail.com", "disposable": false, "relay": false, "mx": "yes", … },
  "network": { "ip": "3.88.0.1", "type": "datacenter", "provider": "aws", "signups_24h": 2 },
  "device":  { "id": "dev_9c1e…", "token": "valid", "browser": "Firefox 144", "flags": ["canvas_noise"] },
  "linked":  { "accounts": 14, "by_device": 12, "by_card": 0, "cluster": "cl_7q2f…" },
  "latency_ms": 38
}

Fehler

Fehler kommen als JSON: {"error": code, "message": text}.

Bewertung

Punkte addieren sich, gedeckelt bei 100. Standard: prüfen ab 50, blockieren ab 80 — beides einstellbar. Ein Wegwerf-Postfach allein führt zu „prüfen“; kein einzelnes Geräte- oder Netzsignal tut das.

Datenquellen

Wegwerf-Domains: das Projekt disposable-email-domains (CC0) und disposable/disposable-email-domains (MIT), täglich aktualisiert. Rechenzentrumsbereiche: die veröffentlichten Listen von AWS, Google Cloud, Oracle Cloud, DigitalOcean und Linode. Tor: die Exit-Liste des Tor Project, stündlich aktualisiert.

Aktuell: 98,644 Wegwerf-Domains und 21,665 Bereiche.