Comment détecter les utilisateurs qui ont plusieurs comptes
Bonus de parrainage, offres gratuites et limites par compte récompensent ceux qui ouvrent de nombreux comptes. Les liens qui relient ces comptes, et comment agir équitablement sur un groupe.
Pourquoi les gens ouvrent plusieurs comptes
Le multi-compte, c'est une personne qui gère plusieurs comptes sur un service qui n'en prévoit qu'un par personne. La motivation est presque toujours que quelque chose est accordé par compte :
- Essais et offres gratuites — recommencer quand le quota est épuisé.
- Bonus de parrainage et d'inscription — se parrainer soi-même et toucher des deux côtés.
- Limites par compte — plafonds d'usage, un coupon par client, un vote par utilisateur.
- Bannissements — revenir après avoir été banni pour abus.
Tout second compte n'est pas un abus. Certains ont un compte pro et un compte perso, et les familles partagent un ordinateur. Une bonne détection distingue ces cas au lieu de traiter chaque lien comme une faute.
Les liens qui relient les comptes
Chaque compte paraît propre isolément ; ce qui trahit le multi-compte, c'est la connexion entre les comptes. Voici les liens à enregistrer à l'inscription, à peu près du plus fort au plus faible :
La même boîte e-mail
Deux adresses qui livrent dans une même boîte — variantes Gmail avec point et plus — constituent le lien le plus clair qui soit. Voir Points et alias + de Gmail pour la normalisation.
La même carte bancaire
Les prestataires de paiement exposent une empreinte de carte stable pour un même numéro de carte, d'un client à l'autre (Stripe l'appelle card.fingerprint). Deux comptes vérifiés avec la même carte sont très probablement une seule personne.
Le même appareil
Un navigateur qui a créé un compte et en crée maintenant un autre est un lien fort — sauf si l'appareil est partagé. Reconnaissez-le avec un script sur la page d'inscription plutôt que par l'adresse IP. Les cookies seuls sont faibles ici, car les effacer ou ouvrir une fenêtre privée est la première chose que fait un multi-compte.
Le même réseau
Beaucoup de comptes depuis une IP ou un sous-réseau en peu de temps est un schéma, mais les IP sont partagées par les bureaux, les universités et les opérateurs mobiles. Utilisez le réseau uniquement comme élément d'appui.
Des liens aux groupes
Les liens deux à deux sont difficiles à exploiter. Regroupez-les : si le compte A partage un appareil avec B, et B une carte avec C, alors A, B et C forment un groupe. La taille et la composition du groupe en disent bien plus que n'importe quel lien isolé :
| Groupe | Explication probable | Action raisonnable |
|---|---|---|
| 2 comptes, même appareil, boîtes et cartes différentes | Ordinateur partagé, ou une personne avec un compte pro et un compte perso | Autoriser ; peut-être sans second essai gratuit |
| 3–5 comptes, variantes de la même boîte | Une personne qui relance l'essai | Examiner : demander une carte ou proposer la connexion |
| 10+ comptes, même appareil ou sous-réseau, boîtes jetables | Ferme scriptée | Bloquer les nouvelles inscriptions du groupe |
Une structure union-find, ou une simple colonne « id de groupe » que vous fusionnez à chaque nouveau lien, suffit à tenir les groupes à jour à la vitesse des inscriptions.
Agir équitablement sur un groupe
- Agissez sur l'incitation. Si l'abus porte sur l'essai gratuit, le remède est « pas de second essai », pas « pas de compte ».
- Laissez une issue. Demandez une carte ou un téléphone, ou proposez l'offre payante. Ne laissez pas une vraie personne dans une impasse parce que sa sœur a utilisé le même ordinateur.
- Gardez des preuves, pas seulement un verdict. Enregistrez quels liens ont relié les comptes, pour que le support puisse expliquer et annuler une décision.
- Respectez les durées de conservation. Les données d'appareil et de réseau sont des données personnelles dans de nombreuses juridictions (RGPD notamment) ; ne les gardez que le temps nécessaire à cette finalité, et dites-le dans votre politique de confidentialité.
Mesurez avant d'appliquer
Faites d'abord tourner la détection en silence. Au bout de deux semaines environ, examinez les plus gros groupes et un échantillon des groupes de deux comptes. Les gros vous disent combien d'abus il y a ; les petits, combien d'utilisateurs honnêtes chaque règle toucherait. Fixez vos seuils à partir de là.
Comment Attrelix s'y prend
Chaque vérification Attrelix relie la nouvelle inscription aux comptes précédents de votre projet par boîte normalisée, appareil et, si vous l'envoyez, empreinte de carte. La réponse indique le nombre de comptes liés et un identifiant de groupe, le tableau de bord les regroupe sur une page de clusters, et les liens ajoutent des points de risque par paliers : un, trois et dix comptes liés pèsent de plus en plus. L'historique est conservé pendant la durée de votre offre.
En résumé
- Le multi-compte suit les incitations par compte ; identifiez-les d'abord.
- Enregistrez les liens : boîte, carte, appareil, réseau — du plus fort au plus faible.
- Regroupez les liens et agissez selon la taille et la forme du groupe.
- Adaptez le remède à l'incitation et laissez toujours une issue.