Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
AI 앱의 무료 티어 남용을 막기 위해서는 다층적인 방어 전략(레이어링)이 필수적입니다. 단순히 이메일 인증이나 IP 제한만으로는 부족하며, 글로벌 일일 예산 설정과 계정당 가치 하향 조정이 핵심입니다. 이러한 접근법은 악용을 억제하면서도 정직한 사용자를 유지할 수 있게 합니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 Dev.to AI tag의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기대부분의 SaaS 제품에서 가짜 무료 계정 하나는 데이터베이스에 한 줄(row)을 비용으로 발생시킵니다. 하지만 AI 앱에서는 토큰(tokens)이 비용입니다. 무료 크레딧을 소진하는 새로운 계정은 곧 청구서가 되며, 무료 티어를 악용하는 사람들은 이를 알고 있습니다. 즉, 새 이메일 주소, 새 브라우저 프로필, 때로는 VPN을 사용하며 어제와 동일한 작업량을 수행합니다.
일반적인 해결책들은 모두 허점이 있습니다. 일회성 받은 편지함(disposable inbox)을 가진 사람들을 막는 것은 이메일 인증으로는 불가능합니다. 무료 티어에 신용카드를 요구하면 남용과 대부분의 가입자를 막을 수 있습니다. IP 비율 제한(IP rate limits)은 하나의 NAT 뒤에 있는 전체 사무실을 차단해 버립니다.
작동하는 방법은 '레이어링(layers)'입니다. 각 레이어는 자체적으로 저렴하며, 가장 먼저 배치되어 사용자가 누구인지 파악하기도 전에 청구서가 발생하는 것을 막아줍니다. 이것이 우리가 구축할 순서대로의 설정입니다.
무언가를 감지하려고 시도하기 전에, 최악의 경우를 사용자가 정한 숫자로 제한해야 합니다.
// 무료 티어 사용자를 위해 모델을 호출하기 전
async function canSpendFree(userId: string, estTokens: number) {
const today = new Date().toISOString().slice(0, 10);
...
}
이것만으로는 남용을 막지 못합니다. 하지만 남용을 지루하고 제한된 활동으로 만들 수 있으며, 이것이 가장 큰 승리입니다.
남용은 경제학 문제입니다. 계정당 지급액(payout)을 낮추면 대부분의 악용자는 멈춥니다.
결심한 사람들을 막기 위함이 아니라, 오후의 작업 시간으로 만들고 가장 게으른 '파밍(farming)' 활동을 제거하기 위함입니다.
const DISPOSABLE = new Set(disposableDomains); // 예: 오픈 소스 "disposable-email-domains" 목록
export function normalizeEmail(raw: string) {
...
}
정규화된 이메일을 고유 인덱스와 함께 저장하고, 계정이 삭제될 때 해당 해시값을 유지하여 '삭제 후 재가입'을 통해 무료 티어가 초기화되는 것을 방지합니다.
단 하나의 신호만으로는 아무것도 증명할 수 없습니다. VPN 사용은 프라이버시를 중시하는 사용자에게 흔하며, 공유 IP는 모든 사무실과 이동통신사에서 볼 수 있는 일반적인 현상입니다. '파머(farmer)'들을 드러내는 것은 그들의 계정들이 서로 비슷하게 보인다는 점입니다:
첫날부터 모든 가입에 대해 이러한 신호들을 기록하십시오. 기록하지 않은 역사는 군집화(cluster)할 수 없습니다.
이제 이 신호들을 부드럽게 사용합니다:
| 신호 | 대응 방식 |
|---|---|
| 특이 사항 없음 | 정상적인 무료 티어 이용 허용 |
| ... |
정직한 대다수의 사용자들은 이러한 과정을 전혀 경험하지 못합니다. 하지만 파머는 모든 계정에서 이를 경험하게 됩니다.
공개 정보: 저희는 FindIP Shield라는 무료 도구를 만들었는데, 이 도구는 4단계와 5단계의 네트워크 부분을 담당합니다. 이는 각 방문과 양식 제출을 0점에서 100점 사이로 점수화하며 (VPN, 프록시, Tor, 호스팅 또는 데이터센터 네트워크, 알려진 악성 IP, 세션 중 IP 변경 등) 그 이유를 함께 제공합니다. 또한 위험도가 높은 제출에 대해서만 짧은 대기 시간 추가, Turnstile 확인, 또는 중지 메시지를 추가할 수 있으며, 이 기능은 사용자가 활성화할 때까지 비활성화되어 있습니다. 이는 기기를 점수화하는 것이 아니라 네트워크를 점수화하므로 (장치 지문 인식(device fingerprinting)이 없으므로), 자체적으로는 새로운 프로필에서 같은 노트북을 인식하지 못합니다. 또한 양식 값을 절대 읽지 않습니다.
브라우저 측은 하나의 스크립트 태그로 구성됩니다:
<script
src="https://cdn.findip.net/shield/v1.js"
data-site-key="pub_xxxxxxxxx"
...
가입 요청 시 Shield 세션 ID를 함께 전송하고 (FindIP.getSession().sessionId), 서버에서 결정을 내리도록 하십시오. 왜냐하면 브라우저에서 결정된 것은 우회될 수 있기 때문입니다:
async function shieldVerdict(sessionId: string) {
const res = await fetch('https://shield.findip.net/v1/shield/sessions/verify', {
method: 'POST',
...
이 판정 결과를 3단계와 4단계에서 얻은 자체 신호들과 결합하여 5단계의 표에 입력하십시오. Shield는 사이트당 하루 최대 10,000 이벤트까지 무료이며, 가입 페이지가 직접 작성된 것이 아니라면 WordPress 플러그인, Shopify 앱, GTM 템플릿, 그리고 코드가 필요 없는 Cloudflare 통합 기능도 제공됩니다.
당신은 모든 의지가 강한 사람들을 막을 수는 없습니다. 그럴 필요도 없습니다. 당신이 필요한 것은 '파밍(farming)' 비용이 절약되는 비용보다 더 들게 만드는 것이며, 정직한 사용자들은 여전히 한 번의 클릭만으로 진입할 수 있게 하는 것입니다.