Zona horaria del navegador frente a ubicación IP: comparación de una señal de riesgo

Un navegador informa de Europe/London mientras una base de datos IP sitúa la petición en America/New_York. Es una discrepancia entre dos observaciones y merece registrarse. No es prueba de que el visitante use una VPN, y tratar eso como prueba es donde fallan la mayoría de las implementaciones. La comparación de abajo mantiene los dos valores, y sus modos de fallo, por separado.

Dos observaciones con propietarios distintos

El valor del navegador es un ajuste: la zona que el sistema operativo o el usuario eligió para formatear fechas. El valor de la base de datos es una estimación ligada a una red IP, producida por un proveedor que asigna bloques de direcciones a lugares. Ninguno es una declaración autenticada sobre dónde está el visitante, y ninguno sabe qué camino de red tomó la petición.

Como los propietarios difieren, los dos valores pueden divergir por motivos que nada tienen que ver con herramientas de privacidad. Un viajero que conserva la zona de su casa, un portátil corporativo fijado a la hora de la sede, un enlace satelital con salida regional o una fila obsoleta en la base de datos producen todos una discrepancia.

Cómo se produce realmente cada valor

Un navegador puede leer su zona resuelta con new Intl.DateTimeFormat().resolvedOptions().timeZone, que devuelve un identificador IANA derivado de la configuración del formateador. No solicita permiso de ubicación ni consulta el GPS. En el servidor, determine la dirección del cliente a partir de su configuración de proxy de confianza y luego consúltela con un proveedor aprobado. Una cabecera de reenvío aportada por el visitante no es automáticamente esa dirección.

Guarde las dos observaciones en campos separados junto con la hora de la observación y el resultado de la consulta. Llamar al campo derivado vpnDetected cuando el cálculo solo es una comparación de zonas incrusta una conclusión en una medición y dificulta la revisión posterior.

Qué demuestran la coincidencia y la discrepancia

La asimetría importa más de lo que sugiere la tabla. Una discrepancia tiene muchas explicaciones inocentes, mientras que una coincidencia tiene al menos una culpable, así que ninguna dirección sostiene una regla categórica. Las propias notas de precisión del proveedor describen precisión limitada y datos ausentes, y señalan que un servicio de anonimización puede exponer la ubicación de su servidor en lugar de la del usuario.

Por eso la señal pertenece a una puntuación de riesgo con una razón registrada y un estado desconocido explícito, no a un booleano que controla el acceso.

Los desplazamientos UTC no son un atajo

Comparar desplazamientos en lugar de identificadores de zona no repara la inferencia. Dos zonas distintas pueden compartir un desplazamiento durante parte del año, y la misma zona puede cambiar de desplazamiento en un límite de horario de verano. Si una función necesita de verdad un desplazamiento para programar, calcúlelo para el instante concreto en lugar de guardar un solo número y reutilizarlo como prueba de identidad.

La comparación de cadenas tiene su propia trampa: dos grafías de la misma zona, o un alias antiguo, diferirán como texto mientras describen el mismo ajuste. Valide los identificadores y compare mediante el manejo de zonas horarias de la plataforma en lugar de hacer coincidir cadenas en bruto.

Bloquear o puntuar: elija la respuesta deliberadamente

Para mostrar la hora, pregunte al visitante qué zona prefiere y deténgase ahí. Para un sistema de riesgo de aplicación, trate una discrepancia como una señal contextual débil junto a pruebas que encajen con el modelo de amenaza real, y deje que una consulta fallida produzca un desconocido en lugar de una detección silenciosa. Bloquear solo por la comparación convierte un hueco de medición en una acusación al usuario.

Si una decisión con consecuencias necesita una garantía más fuerte, use un paso de verificación o autenticación diseñado para ello. Una heurística de zona horaria no puede aportar esa garantía, y un detector que cuenta la evidencia ausente como éxito puede parecer eficaz mientras responde a una pregunta distinta de la que usted planteó.