Cómo añadir geolocalización IP a tu SaaS en 20 minutos

Característica 1: selección automática de moneda al finalizar la compra

Mostrar la moneda incorrecta al finalizar la compra elimina las tasas de conversión. Un visitante de Alemania ve "$49,99" y tiene que convertir mentalmente a euros antes de decidir. Peor aún, podrían suponga que no sirve a su región.

Solucione este problema con middleware que asigne el país IP del visitante a una moneda predeterminada:

const COUNTRY_CURRENCY = {
  US: "USD", GB: "GBP", DE: "EUR", FR: "EUR", JP: "JPY",
  IN: "INR", BR: "BRL", AU: "AUD", CA: "CAD", CN: "CNY",
  KR: "KRW", MX: "MXN", SE: "SEK", CH: "CHF", SG: "SGD",
};

async function currencyMiddleware(req, res, next) {
  const ip = req.headers["x-forwarded-for"]?.split(",")[0] || req.ip;

  try {
    const response = await fetch("https://api.botoi.com/v1/ip/lookup", {
      method: "POST",
      headers: {
        "Content-Type": "application/json",
        "X-Api-Key": process.env.BOTOI_API_KEY,
      },
      body: JSON.stringify({ ip }),
    });

    const { data } = await response.json();
    req.defaultCurrency = COUNTRY_CURRENCY[data.country] || "USD";
  } catch {
    req.defaultCurrency = "USD";
  }

  next();
}

// Usage in Express
app.get("/checkout", currencyMiddleware, (req, res) => {
  res.render("checkout", { currency: req.defaultCurrency });
});

El mapa de país a moneda cubre los 15 principales mercados de SaaS. Amplíelo para su audiencia. La alternativa al USD maneja las fallas de API con gracia; ningún visitante ve nunca una caja rota porque se agotó el tiempo de espera de una llamada de geolocalización.

Característica 2: banner de cookies GDPR solo para visitantes de la UE

Mostrar un banner de consentimiento de cookies a cada visitante es innecesario y molesto. El RGPD se aplica a los visitantes de la Unión Europea. Todos los demás pueden omitirlo.

Este middleware compara el país IP del visitante con la lista de estados miembros de la UE. y establece una cookie en la interfaz que dice:

const EU_COUNTRIES = new Set([
  "AT", "BE", "BG", "HR", "CY", "CZ", "DK", "EE", "FI", "FR",
  "DE", "GR", "HU", "IE", "IT", "LV", "LT", "LU", "MT", "NL",
  "PL", "PT", "RO", "SK", "SI", "ES", "SE",
]);

async function gdprMiddleware(req, res, next) {
  const ip = req.headers["x-forwarded-for"]?.split(",")[0] || req.ip;

  try {
    const response = await fetch("https://api.botoi.com/v1/ip/lookup", {
      method: "POST",
      headers: {
        "Content-Type": "application/json",
        "X-Api-Key": process.env.BOTOI_API_KEY,
      },
      body: JSON.stringify({ ip }),
    });

    const { data } = await response.json();
    req.isEU = EU_COUNTRIES.has(data.country);
  } catch {
    // Default to showing the banner when the lookup fails
    req.isEU = true;
  }

  next();
}

// Set a cookie so the frontend knows whether to show the banner
app.use(gdprMiddleware, (req, res, next) => {
  res.cookie("gdpr_applies", req.isEU ? "1" : "0", {
    httpOnly: false,
    maxAge: 86400 * 1000,
  });
  next();
});

En la interfaz, lea la cookie y active el banner:

// Frontend: read the cookie and conditionally show the banner
function shouldShowCookieBanner() {
  const match = document.cookie.match(/gdpr_applies=(\d)/);
  return match ? match[1] === "1" : true; // default to showing
}

if (shouldShowCookieBanner()) {
  document.getElementById("cookie-banner").style.display = "block";
}

El comportamiento predeterminado en caso de error es mostrar el banner. Esto peca del lado del cumplimiento; Si la búsqueda geográfica falla, aún cumple con los requisitos del RGPD. La galleta dura 24 horas, por lo que solo llamas a la API una vez por visitante al día.

Característica 3: Detección de fraude con discrepancia geográfica

Cuando alguien realiza el pago con una dirección de facturación en Alemania pero su IP se geolocaliza en Nigeria, esa es una señal que vale la pena investigar. Esto no significa que la transacción sea fraudulento; la gente viaja, usa VPN y compra regalos para amigos en el extranjero. pero es un dato punto que su equipo de revisión de fraude necesita.

async function checkGeoMismatch(ip, billingCountry) {
  const response = await fetch("https://api.botoi.com/v1/ip/lookup", {
    method: "POST",
    headers: {
      "Content-Type": "application/json",
      "X-Api-Key": process.env.BOTOI_API_KEY,
    },
    body: JSON.stringify({ ip }),
  });

  const { data } = await response.json();

  const mismatch = data.country !== billingCountry;

  return {
    mismatch,
    ipCountry: data.country,
    ipCity: data.city,
    billingCountry,
    riskNote: mismatch
      ? \`IP located in \${data.countryName} but billing address is \${billingCountry}\`
      : null,
  };
}

// Usage during checkout
app.post("/checkout", async (req, res) => {
  const ip = req.headers["x-forwarded-for"]?.split(",")[0] || req.ip;
  const { billingCountry } = req.body;

  const geo = await checkGeoMismatch(ip, billingCountry);

  if (geo.mismatch) {
    // Flag for manual review instead of blocking
    await flagOrder(req.body.orderId, geo.riskNote);
  }

  // Continue processing the order
  await processOrder(req.body);
  res.json({ success: true });
});

La función devuelve un objeto estructurado con el indicador de no coincidencia y un texto legible por humanos. nota de riesgo que su equipo de soporte puede revisar. Marcar el pedido para revisión manual en lugar de bloqueándolo por completo. Combine esto con otras señales (antigüedad del dominio de correo electrónico, pago velocidad, huella digital del dispositivo) para obtener una imagen más completa.

Característica 4: Panel de análisis con distribución de usuarios

Saber dónde están sus usuarios le ayuda a decidir qué idiomas admitir y qué regiones. a los que dirigirse con marketing y dónde colocar los servidores perimetrales. Este script procesa un lote de IP de visitantes y produce una distribución de países ordenada:

async function buildCountryDistribution(ips) {
  const counts = {};

  // Process in batches to respect rate limits
  for (const ip of ips) {
    try {
      const response = await fetch("https://api.botoi.com/v1/ip/lookup", {
        method: "POST",
        headers: {
          "Content-Type": "application/json",
          "X-Api-Key": process.env.BOTOI_API_KEY,
        },
        body: JSON.stringify({ ip }),
      });

      const { data } = await response.json();
      const country = data.countryName || "Unknown";
      counts[country] = (counts[country] || 0) + 1;
    } catch {
      counts["Unknown"] = (counts["Unknown"] || 0) + 1;
    }
  }

  // Sort by count descending
  return Object.entries(counts)
    .sort(([, a], [, b]) => b - a)
    .map(([country, count]) => ({
      country,
      count,
      percentage: ((count / ips.length) * 100).toFixed(1) + "%",
    }));
}

// Example output:
// [
//   { country: "United States", count: 4521, percentage: "34.2%" },
//   { country: "Germany", count: 1893, percentage: "14.3%" },
//   { country: "United Kingdom", count: 1247, percentage: "9.4%" },
//   ...
// ]

Ejecute esto como un trabajo nocturno en sus registros de acceso. La salida le dice exactamente qué Los países que generan la mayor parte del tráfico. Si el 14% de tus usuarios están en Alemania pero solo tu aplicación admite inglés, esa es una oportunidad de localización que puedes cuantificar.

estrategia de almacenamiento en caché

Las asignaciones de IP a ubicación no cambian con frecuencia. No hay motivo para volver a llamar a la API para la misma IP dentro de una sesión. Este caché utiliza un mapa simple con un TTL de 1 hora:

class GeoCache {
  constructor(ttlMs = 60 * 60 * 1000) {
    this.cache = new Map();
    this.ttlMs = ttlMs;
  }

  get(ip) {
    const entry = this.cache.get(ip);
    if (!entry) return null;
    if (Date.now() - entry.timestamp > this.ttlMs) {
      this.cache.delete(ip);
      return null;
    }
    return entry.data;
  }

  set(ip, data) {
    this.cache.set(ip, { data, timestamp: Date.now() });
  }
}

const geoCache = new GeoCache();

async function lookupWithCache(ip) {
  const cached = geoCache.get(ip);
  if (cached) return cached;

  const response = await fetch("https://api.botoi.com/v1/ip/lookup", {
    method: "POST",
    headers: {
      "Content-Type": "application/json",
      "X-Api-Key": process.env.BOTOI_API_KEY,
    },
    body: JSON.stringify({ ip }),
  });

  const { data } = await response.json();
  geoCache.set(ip, data);
  return data;
}

Para servidores Node.js de instancia única, el mapa en memoria funciona bien. Si ejecutas varios instancias detrás de un balanceador de carga, cambie el mapa por Redis. Se aplica la misma lógica TTL; almacene los datos geográficos como una cadena JSON con una caducidad de 3600 segundos.

Extrayendo la IP del cliente

La parte más complicada de la geolocalización de IP no es la llamada a la API; está obteniendo la IP correcta en primer lugar. Si su aplicación se encuentra detrás de un proxy inverso, un equilibrador de carga o una CDN, req.connection.remoteAddress devuelve la IP del proxy, no la del visitante.

A continuación se explica cómo obtener la IP del cliente real en cada entorno:

// Express
const ip = req.headers["x-forwarded-for"]?.split(",")[0]?.trim() || req.ip;

// Next.js (App Router)
import { headers } from "next/headers";
const headerList = await headers();
const ip = headerList.get("x-forwarded-for")?.split(",")[0]?.trim();

// Cloudflare Workers
const ip = request.headers.get("cf-connecting-ip");

// Vercel (edge or serverless)
const ip = request.headers.get("x-real-ip")
  || request.headers.get("x-forwarded-for")?.split(",")[0]?.trim();

Siempre dividido en la primera coma en x-forwarded-for. Este encabezado puede contener una cadena de IP cuando el tráfico pasa a través de múltiples servidores proxy. La primera entrada es la IP del cliente original.

Si estás en Cloudflare, usa cf-connecting-ip. Cloudflare establece este encabezado en cada solicitud y es más difícil falsificar que x-forwarded-for.