Come prevenire l'abuso della prova gratuita senza bloccare gli utenti reali

Perché le persone riavviano la tua prova gratuita con account nuovi, i segnali che collegano quegli account e un flusso decisionale che ferma le prove ripetute mentre gli utenti onesti mantengono una prova senza carta.

8 min di lettura · Aggiornato il 2026-10-31 · Attrelix

Com'è davvero l'abuso della prova gratuita

Abuso della prova gratuita significa che una persona riavvia la tua prova più e più volte con account nuovi, così da non pagare mai. Raramente sembra un attacco: niente ondata di traffico, nessuna carta rubata. Quello che vedi è un flusso costante di account che, uno per uno, sembrano normali:

Una nuova casella usa e getta. Un indirizzo temporaneo di uno delle decine di migliaia di domini usa e getta, usato una volta per confermare l'account e poi mai più.
Lo stesso Gmail, scritto in un altro modo. jane.doe@gmail.com, janedoe+2@gmail.com e j.a.n.e.doe@gmail.com arrivano tutti nella stessa casella.
Lo stesso portatile e la stessa connessione di casa. Browser, schermo, font e indirizzo IP sono identici a quelli di un account creato un mese fa.

Tutti questi account superano la verifica dell'e-mail, quindi un semplice “conferma la tua e-mail” non serve a nulla. La domanda da porsi alla registrazione non è “questa e-mail è reale?” ma “abbiamo già visto questa persona?”.

Perché le soluzioni abituali fanno più danni che altro

Chiedere la carta per ogni prova

Un muro della carta di credito ferma la maggior parte delle prove ripetute, ma ferma anche molti visitatori onesti che vogliono solo provare il prodotto prima. Scambi un problema di abuso con un problema di conversione. E una carta può essere riusata su più account, quindi da sola non prova nemmeno che si tratti di una persona nuova.

Bloccare solo per dominio e-mail

Una lista di domini usa e getta ferma gli abusatori più pigri. Ignora del tutto gli alias di Gmail, e una lista copiata nel codice invecchia in fretta, perché compaiono continuamente nuovi domini usa e getta. Ne parliamo in dettaglio in Come bloccare le e-mail usa e getta alla registrazione.

Bloccare per indirizzo IP

Il blocco per IP è lo strumento più grossolano. Interi uffici, università e operatori mobili condividono gli indirizzi, e un abusatore determinato cambia rete in pochi secondi. L'IP è un segnale utile in un punteggio, non un motivo per rifiutare da solo.

I segnali che collegano un nuovo account a uno vecchio

Invece di una regola rigida, osserva più segnali deboli e sommali. Nessuno dovrebbe decidere da solo, ma insieme rendono evidenti le prove ripetute.

Segnale	Cosa individua	Rischio di falsi positivi
La casella normalizzata esiste già	Varianti Gmail con punto e più di un account esistente	Basso: è letteralmente la stessa casella
Dominio usa e getta	Caselle usa e getta create per una sola registrazione	Basso, se la lista è aggiornata
Il dominio non riceve posta	Errori di battitura e domini inventati	Basso
Stesso dispositivo di un account esistente	Lo stesso browser che crea un secondo account	Medio: famiglie e computer condivisi
Molte registrazioni da un IP oggi	Raffiche da una rete	Medio: uffici, campus, NAT degli operatori
Indirizzo di datacenter o Tor	Script su server, traffico anonimizzato	Medio: alcuni utenti VPN

Lo schema è chiaro: i segnali con basso rischio di falsi positivi possono pesare molto, quelli che colpiscono anche utenti onesti dovrebbero alzare il punteggio solo di poco.

Un flusso decisionale che non scontenta gli utenti onesti

Le configurazioni più efficaci che vediamo bloccano poco. Danno una prova senza carta quasi a tutti e aggiungono attrito solo quando il punteggio è alto:

Valuta la registrazione sul server, dopo l'invio del modulo e prima che inizi la prova.
Consenti (punteggio basso): avvia la prova normale. Dovrebbe essere la grande maggioranza.
Verifica (punteggio medio): avvia la prova, ma chiedi qualcosa che costi più a un abusatore che a un utente reale — una carta, un numero di telefono o una quota ridotta fino alla verifica.
Blocca (punteggio alto): non avviare la prova. Offri il piano a pagamento o un link di contatto invece di un vicolo cieco, perché i punteggi sono probabilità, non prove.

Regola pratica: chi condivide il portatile con la sorella non deve mai essere bloccato solo per questo. Somma i segnali di dispositivo condiviso solo a qualcosa di più forte, come una casella coincidente.

Come integrarlo nella registrazione

Ti servono due cose: qualcosa nella pagina di registrazione che riconosca il browser e un controllo lato server prima di concedere la prova. Con Attrelix sono un tag script e una chiamata API:

<!-- pagina di registrazione -->
<script src="https://attrelix.com/v1.js" data-key="pk_live_…" async></script>

# server, prima di avviare la prova (Python)
r = requests.post("https://attrelix.com/v1/check", timeout=3,
    headers={"Authorization": f"Bearer {SECRET}"},
    json={"email": email, "ip": ip, "visitor": form["attrelix_visitor"]})
decision = r.json().get("decision", "allow") if r.ok else "allow"

if decision == "allow":
    start_trial(user)
elif decision == "review":
    start_trial(user, require_card=True)
else:
    offer_paid_plan(user)

Nota il ripiego: se il controllo va in timeout, l'utente passa. Un controllo antifrode non deve mai essere il motivo per cui la tua registrazione è giù.

Misura prima di stringere

Parti in sola osservazione: registra la decisione per una o due settimane senza agire, poi guarda gli account che sarebbero finiti in verifica. Se sono quasi tutti prove ripetute, attiva la conseguenza. Se ci trovi utenti onesti, alza la soglia o abbassa il peso del segnale che li ha portati lì. Regola sui tuoi dati, non sui valori predefiniti di qualcun altro.

In sintesi

Le prove ripetute sembrano pulite account per account. Cerca i legami con account precedenti.
Normalizza le e-mail, controlla i domini usa e getta e riconosci il dispositivo.
Somma i segnali in un punteggio; solo i segnali forti decidono da soli.
In verifica aggiungi attrito invece di bloccare, e lascia passare in caso di guasto.