Resumen: recuento de diversidad de dispositivos en logins compartidos
- La detección de compartición basada en IP es un placebo. Ocho colegas en una red de oficina comparten una sola IP pública, así que cada sesión pasa mientras un asiento financia a todo el equipo.
- cside cuenta huellas de hardware distintas por cuenta desde más de 250 señales de navegador, y aguanta incógnito y VPN. Cinco huellas en un login en 24 horas es confirmación, no sospecha.
- Si tu modelo de churn trata los logins compartidos como usuarios retenidos, conecta el conteo de dispositivos por cuenta a un aviso de upgrade en producto. Si no, sigue a ciegas sobre los ingresos por asiento.
El software de detección de cuentas compartidas más fiable trabaja en la capa del dispositivo. Genera un fingerprint de cada sesión y cuenta cuántos dispositivos distintos hay detrás de un mismo inicio de sesión, que es la única señal que las credenciales compartidas no pueden ocultar. Las herramientas basadas en direcciones IP o en comprobaciones de autenticación se pierden el caso más habitual: un titular legítimo de la cuenta que comparte una sola plaza con todo un equipo.
Los inicios de sesión compartidos son difíciles de detectar porque usan nombres de usuario y contraseñas válidos. Las comprobaciones de autenticación se superan, los límites de tasa no se activan y las cuentas parecen normales en la analítica de producto. La capa del dispositivo es donde aparece la verdad. Si una cuenta inicia sesión desde cinco fingerprints de dispositivo distintos en 24 horas, son cinco personas diferentes, no una persona cambiando de equipo.
| Herramienta | Enfoque | Detecta uso compartido en la misma red | Detecta sin añadir fricción | Plan gratuito | Precio inicial |
|---|---|---|---|---|---|
| cside | Fingerprinting de dispositivos, cuenta perfiles de hardware distintos por cuenta | Sí | Sí, recopilación pasiva y silenciosa | Sí, 1,000 llamadas API/mes | Desde $99/mes |
| FingerprintJS Pro | Fingerprinting de dispositivos, ID de visitante por sesión de navegador | Sí | Sí | No | Planes de pago |
| Detección basada en IP | Marca inicios de sesión desde varias IP por cuenta | No, una misma oficina comparte una IP | Sí | Varía | Varía |
Por qué la detección basada en IP falla con las cuentas compartidas
El primer intento habitual de detección de cuentas compartidas se basa en IP: marcar cualquier cuenta que inicie sesión desde más de un número determinado de direcciones IP al día. Esto detecta algunas anomalías geográficas, pero se pierde el escenario de uso compartido más habitual.
Imagina a ocho compañeros en una oficina que comparten una única conexión a internet y una única dirección IP pública. La detección basada en IP ve una sola fuente y deja pasar todas las sesiones, de modo que todo el equipo puede compartir un mismo inicio de sesión indefinidamente sin disparar ninguna alerta. Los equipos distribuidos en una VPN corporativa reducen la señal todavía más, porque todo el tráfico sale por la misma pasarela.
Los datos de IP son una señal de fraude útil en otros contextos, pero estructuralmente no pueden identificar el uso compartido de credenciales dentro de la misma red.
Cómo cside detecta el abuso de plazas con fingerprinting de dispositivos
cside construye un fingerprint de dispositivo estable a partir de más de 250 señales de navegador por sesión: salida de renderizado de canvas, características de la GPU, métricas de fuentes, comportamiento de WebGL, contexto de audio y decenas de atributos derivados del hardware. Como el fingerprint procede del hardware físico y no de identificadores almacenados, se mantiene aunque se borren las cookies, se use el modo incógnito o se use una VPN.
La lógica de detección de cuentas compartidas se basa en la diversidad de fingerprints. Cuando una cuenta se autentica desde varios fingerprints distintos dentro de una ventana configurable, cside devuelve una señal en tiempo real que muestra cuántos dispositivos distintos han accedido a esa cuenta. Dos fingerprints en 24 horas son una alerta. Cinco fingerprints son una confirmación casi segura de uso compartido activo.
Para cada sesión, cside devuelve un veredicto en tiempo real: un identificador de fingerprint de dispositivo, si ese dispositivo ya es conocido para la cuenta y el recuento de dispositivos distintos vistos en la cuenta dentro de la ventana móvil. Tu aplicación puede usar estas señales para lanzar un aviso de ampliación de plazas, exigir autenticación reforzada desde un dispositivo no reconocido o registrar el evento para la revisión de la cuenta.
La recopilación es pasiva. Los usuarios legítimos en sus propios dispositivos no ven fricción adicional, y solo las sesiones que cruzan el umbral de diversidad aparecen en la lógica de detección. Todo funciona a partir de una sola etiqueta de script, sin cambios de SDK en tu aplicación.
FingerprintJS Pro
FingerprintJS Pro es una biblioteca de fingerprinting de dispositivos centrada en generar un ID de visitante estable por sesión de navegador. Su fingerprinting principal es fiable y su documentación para desarrolladores es exhaustiva.
Para la detección de cuentas compartidas, FingerprintJS Pro te da el ID de visitante por sesión, y tu backend construye encima la lógica de diversidad de dispositivos. El producto no incluye funciones de cuentas compartidas de fábrica, así que el recuento de diversidad, la lógica de umbrales y las señales de respuesta son trabajo a medida que tú mantienes. Además, no tiene plan gratuito, así que probar su precisión con tu tráfico real implica un compromiso por adelantado.
Si quieres que la señal de uso compartido se devuelva directamente en la API en lugar de ensamblarla en tu propio backend, las señales a nivel de cuenta de cside son más directas. Para una visión más completa función por función, consulta la comparación entre Fingerprint y cside.
Qué evaluar al elegir
- ¿Detecta el uso compartido en la misma red? El fingerprinting de dispositivos sí; la detección basada en IP no.
- ¿Devuelve la API una señal de diversidad integrada o solo un ID de dispositivo en bruto? Las señales integradas recortan el tiempo de implementación.
- ¿Añade fricción para los usuarios legítimos de un solo dispositivo? La recopilación pasiva debería permanecer invisible para ellos.
- ¿Puede lanzar avisos de ampliación de plazas de forma automática? La integración con tu facturación o gestión de usuarios decide si la detección se convierte en ingresos.
- ¿Cubre el caso del iGaming? Las cuentas compartidas en contextos con derecho a bonos necesitan bloqueos firmes, no solo avisos.
