Comprobaciones de visitantes de VPN: puntuar reputación y latencia con seguridad

Un panel de fraude marca a un visitante como VPN, el analista pide un bloqueo y la solicitud llega al equipo de plataforma sin nada más que un booleano del proveedor. Ese booleano es una estimación y falla en una dirección distinta a la de una medición de latencia. Antes de actuar, separe qué demuestra la propia solicitud, qué afirma un servicio de reputación y qué solo sugiere el tiempo. Después elija una respuesta que pueda revertir cuando la estimación resulte errónea.

Recoja los hechos de la solicitud que pueda defender

La única dirección que su servidor conoce con certeza es el par TCP que completó la conexión. Cuando una CDN o un proxy inverso termina esa conexión, el par es el borde, y la dirección del cliente viaja en una cabecera de reenvío en la que solo se puede confiar si la añadió su propio borde. Lea la entrada que escribió su proxy, nunca la cadena más a la izquierda, porque un cliente puede enviar cualquier valor que quiera en esa posición. Todo lo posterior debe preservar esa distinción.

Dos enriquecimientos baratos convierten la dirección en algo revisable: el sistema autónomo que la anuncia y el registro PTR que apunta de vuelta a ella. Ambos describen el registro y no el comportamiento, y ambos son reproducibles después.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

Un ASN de alojamiento es una pista fuerte y no un veredicto. Los concentradores de VPN corporativos, las salidas de nube y algunas redes universitarias también están en centros de datos, así que la misma señal que atrapa una salida comercial también atrapa una oficina legítima. Conserve la dirección solo mientras la revisión la necesite, porque una IP es un dato personal en la mayoría de los regímenes de privacidad. Bórrela según un calendario en lugar de guardarla indefinidamente.

Puntúe al visitante antes de restringirlo

Ejecute cualquier señal nueva primero en modo de observación. Registre las entradas y un código de motivo, deje pasar todas las solicitudes y compare la distribución de puntuaciones con cuentas que sepa que son legítimas. Eso produce una estimación de falsos positivos antes de que nadie pierda el acceso, y ese número es el que decide si una regla es segura de activar.

Asigne el total a tres acciones en lugar de dos: permitir, desafío de escalado, revisión manual. Un bloqueo permanente debería exigir abuso repetido confirmado por una persona, porque un falso positivo en un viajero corporativo cuesta un ticket de soporte y una sesión perdida, mientras que un falso negativo en una solicitud no cuesta casi nada.

Mantenga la consulta de reputación en el servidor y acotada

Llame al servicio de reputación desde el backend con un tiempo de espera corto, guarde el veredicto en caché durante un periodo fijo y trate un tiempo de espera como desconocido en lugar de limpio. Nunca ponga la clave de la API en código del cliente y nunca deje que la consulta bloquee el renderizado de la página; un tercero lento debe degradar la puntuación, no el sitio.

Guarde en caché por dirección y no por rango. Clasificar un /24 entero a partir de una consulta propaga un veredicto erróneo a vecinos que nunca midió. Registre el proveedor, la fecha de respuesta y el valor de clasificación junto al código de motivo, para que una revisión posterior pueda saber qué juicio estaba vigente.

Dos proveedores pueden clasificar una misma dirección de forma distinta en un día, por eso el veredicto pertenece a la columna de pruebas y no a la de identidad. También es una relación de tratamiento: enviar la dirección de cada visitante a un tercero requiere una base legal, una regla de conservación y una línea en el aviso de privacidad.

Mida la latencia con una mediana, no con una sola muestra

El tiempo de ida y vuelta describe la ruta en el momento en que la midió. Un borde anycast cercano puede atender a un usuario lejano, una red móvil añade retardo que nada tiene que ver con la geografía, y una salida de VPN en el propio país del visitante parece local. La geolocalización a nivel de ciudad suele informar del centro de datos y no de la persona.

Tome varias muestras y use la mediana para que una solicitud lenta no mueva el resultado. El bucle de abajo imprime la mediana de cinco.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Compare el número con la distribución de usuarios que se sabe que son buenos en lugar de un umbral absoluto, y combínelo con el ASN. Dos señales débiles que coinciden son más fuertes que cualquiera por separado, pero la conclusión sigue siendo sobre una ruta, no sobre una intención, así que pertenece a una puntuación y no a una prohibición.

Decida, registre y revierta

Antes de activar una regla, reproduzca un día de tráfico en modo de observación y cuente qué habría pasado. Guarde las entradas de la puntuación, el código de motivo y la versión de la regla, pero conserve las direcciones en bruto solo para la ventana de revisión. Si la regla se dispara en una cuenta legítima, el registro debería explicar por qué sin una segunda investigación.

Dé a cada regla su propio interruptor. Cuando la finalización del escalado baje o los tickets de soporte se disparen, desactive esa regla y mantenga el resto del flujo en marcha; un único interruptor global convierte un problema de ajuste en una caída. Después del cambio, vigile la tasa de finalización de los desafíos y la cola de apelaciones, no solo el número de bloqueos.

Por último, mantenga la respuesta proporcionada a la pérdida que está evitando. En el fraude publicitario, el estado de VPN es un indicador débil de un clic falso, y las señales de comportamiento como los patrones de conversión y la consistencia del dispositivo abordan el daño real. Un desafío reversible protege los ingresos y al usuario real a la vez.