Guide

Come fermare l'abuso dei crediti gratuiti in un'app di IA

I crediti gratuiti di un prodotto di IA costano inferenza reale. Come funzionano le farm di crediti, perché i limiti per account non le fermano e in quale punto della registrazione decidere.

8 min di lettura · Aggiornato il 2026-10-31 · Attrelix

Perché i crediti gratuiti di un prodotto di IA sono diversi

Nella maggior parte dei SaaS un account falso costa una riga nel database e un po' di rumore nelle metriche. In un prodotto di IA ogni account gratuito può spendere soldi veri: ogni prompt esegue inferenza su GPU che paghi tu. I crediti gratuiti sono di fatto denaro, e tutto ciò che si trasforma in denaro attira l'automazione.

Questo cambia chi abusa del piano gratuito. Oltre a chi vuole semplicemente più uso gratis, arrivano le farm di crediti: script che creano molti account, raccolgono i crediti gratuiti di ciascuno e poi rivendono l'accesso o lo usano per far girare i propri carichi attraverso la tua API.

Come funziona una farm di crediti

I dettagli cambiano, ma la forma è sempre la stessa:

  1. Gli account sono creati da uno script, di solito un browser headless guidato da Puppeteer, Playwright o Selenium, a volte un browser anti-detect che rende casuale la propria impronta.
  2. Le caselle sono usa e getta: domini usa e getta, domini catch-all del farmer o un account Gmail scritto in decine di modi con punti e segni più.
  3. Il traffico arriva da server: cloud e hosting costano poco, quindi molte farm girano lì, a volte dietro proxy o Tor.
  4. I crediti si esauriscono in fretta, spesso nei primi minuti, prima che qualsiasi allarme sull'uso possa reagire.

Perché i limiti per account non aiutano

I rate limit ti proteggono da un account che consuma troppo. Una farm non lo fa mai: ogni account resta educatamente nella sua quota gratuita. L'abuso sta nel numero di account, quindi la difesa deve avvenire alla registrazione, prima di concedere i crediti — non dopo, a livello di utilizzo.

La domanda giusta non è “questa richiesta è abusiva?” ma “questo nuovo account deve ricevere crediti gratuiti, e quanti?”.

I segnali che rivelano una farm alla registrazione

Automazione

I browser controllati dall'automazione lasciano tracce: navigator.webdriver a true, uno user agent HeadlessChrome, un client del protocollo DevTools collegato, rendering WebGL software, una finestra di dimensione zero. Un operatore attento può correggerle una a una, per questo funzionano meglio combinate. La nostra guida per rilevare i browser headless le analizza una per una.

Rete

Gli utenti reali si registrano da reti domestiche e mobili. Le registrazioni da intervalli cloud (AWS, Google Cloud, Oracle, DigitalOcean, Linode) e da nodi di uscita Tor meritano più attenzione, come qualunque indirizzo o sottorete che oggi ha creato molti account.

Casella

Domini usa e getta, domini che non ricevono posta e alias Gmail di un account esistente. Vedi Punti e alias + di Gmail.

Legami tra account

Il segnale più forte di una farm è che i suoi account stanno insieme: stesso dispositivo, stessa casella normalizzata, stessa impronta della carta. Un account collegato è un indizio debole; dieci sono una farm.

Dove mettere il controllo

Chiama il controllo antifrode sul server dopo l'invio del modulo di registrazione e prima di accreditare l'account. Se i crediti vengono concessi da un job in background o alla conferma dell'e-mail, metti il controllo subito prima di quel passaggio. L'importante è che la decisione esista prima dei crediti.

// Node.js, prima di concedere crediti gratuiti
const res = await fetch("https://attrelix.com/v1/check", {
  method: "POST",
  headers: { Authorization: `Bearer ${process.env.ATTRELIX_SECRET}`, "Content-Type": "application/json" },
  body: JSON.stringify({ email, ip, visitor: req.body.attrelix_visitor }),
  signal: AbortSignal.timeout(3000),
}).catch(() => null);
const decision = res?.ok ? (await res.json()).decision : "allow";

const credits = { allow: 100, review: 10, block: 0 }[decision] ?? 100;
await grantCredits(user.id, credits);

Crediti graduati meglio dei blocchi netti

Uno schema che funziona bene per i prodotti di IA è scalare i crediti gratuiti in base al rischio invece di scegliere tra tutto o niente:

  • Consenti: la quota gratuita completa.
  • Verifica: una quota piccola — sufficiente per provare il prodotto — e il resto dopo una carta, un telefono o un'e-mail verificata.
  • Blocca: nessun credito gratuito; offri il piano a pagamento.

Gli utenti onesti che finiscono in verifica possono comunque provare il prodotto, e una farm che riceve un decimo dei crediti per account perde gran parte del suo guadagno.

Sapere quanto ti costa

Dai un numero al problema: moltiplica il valore dei crediti gratuiti che riceve un nuovo account per il numero di account che il tuo controllo avrebbe mandato in verifica o bloccato. È il costo mensile del non fare nulla, e ti dice quanto attrito vale la pena aggiungere. La dashboard di Attrelix fa questo calcolo partendo dal valore dei tuoi crediti.

In sintesi

  • Le farm di crediti restano nei limiti per account; fermale alla registrazione.
  • Combina segnali di automazione, rete, casella e legami tra account.
  • Decidi prima che i crediti esistano, e lascia passare se il controllo non è disponibile.
  • Scala i crediti in base al rischio invece di bloccare subito.

Altre guide