Puntuación de fraude de una IP: qué significa, rangos y cómo consultarla

Una puntuación, cuatro IP reales y los motivos

Cuatro tipos de red caen en cuatro puntos distintos de la escala, y scoring.detection_methods nombra cada señal que las llevó ahí. Consultamos estas direcciones públicas el 16/10/2026 con la misma llamada a la API sin clave que puede hacer cualquiera:

Cada señal aporta un número de puntos y una confianza. La puntuación es la suma de los puntos multiplicados por la confianza, redondeada y limitada entre 0 y 100. Eso significa que puedes reconstruir cada fila anterior a partir de su lista de métodos:

• El nodo de salida de Tor: 100, block. tor_exit (45 puntos con 0,99), known_spammer (40 con 0,9) y datacenter_blocklisted (30 con 0,75) ya suman 103. La cuarta señal solo lo empuja más allá del techo.
• La dirección de VPN: 46, review. known_vpn_server (40 con 0,9) más datacenter_ip (20 con 0,5) da exactamente 46. La API la identifica como "Mullvad (31173 Services)" por la red en la que está, aunque hoy no figura en la lista publicada de servidores de Mullvad. Una VPN identificada no supone por sí sola una puntuación alta. Nada en este servidor estaba en listas de bloqueo y no se registró ningún protocolo VPN abierto, así que se queda en review.
• El relay: 9, allow. relay_ip suma 10 puntos con 0,85, que se redondea a 9. Private Relay oculta la dirección de un usuario de Apple por privacidad, y las direcciones de relay tienen un tope de 60, así que nunca pueden llegar a block. Explicamos cómo detectar el tráfico de Private Relay y WARP y por qué conviene dejarlo pasar.
• El servidor en la nube: 10, allow. datacenter_ip por sí sola son 20 puntos con 0,5. El hosting es un motivo para mirar, no para bloquear, porque las API, los monitores de disponibilidad y las pasarelas de oficina funcionan desde centros de datos.

Cada motivo y su peso están en nuestra lista de motivos campo por campo.

Hacer estas consultas nos enseñó dos cosas que la tabla de rangos no muestra. Primero, el nodo de salida de Tor y la VPN ocultan a sus usuarios, pero están a 54 puntos de distancia, porque el nodo de Tor también arrastra historial de spam y de listas de bloqueo. El mismo proveedor también puede ir en sentido contrario: el servidor de Mullvad en Fráncfort que aparece en su lista, 185.213.155.73, obtuvo 100 el mismo día, porque su entrada en la lista de Mullvad lo marca como servidor WireGuard (wireguard_open), y esa etiqueta de protocolo también convierte la señal de hosting en la más fuerte de centro de datos con VPN. Segundo, uno de los cuatro motivos del nodo de Tor es un fallo nuestro, no del nodo. no_ptr_datacenter dice que la dirección no tiene DNS inverso, pero dig -x 185.220.101.1 devuelve hoy un nombre de host de salida de Tor. A nuestra base de datos de consultas le falta ese registro almacenado y lo hemos anotado para corregirlo. El veredicto no cambia, ya que las otras tres señales ya superan 100. Aun así, es el motivo por el que recomendamos a los clientes escribir reglas sobre las señales en las que confían, no sobre el recuento bruto.

¿Qué es una buena puntuación de fraude de una IP?

Una buena puntuación es 25 o menos: no hay pruebas de riesgo relevantes y la API devuelve allow. Nuestros cuatro rangos se corresponden directamente con acciones:

Dos advertencias evitan la mayoría de los errores antes de que ocurran:

• Interpreta una puntuación según la escala de su propio proveedor. La documentación de IPQualityScore califica 75 o más como "sospechosa, pero no necesariamente fraudulenta" y recomienda marcar o bloquear a partir de 90. Nuestro rango de bloqueo empieza en 76. Un 76 de cada uno significa cosas distintas, así que nunca traslades un umbral de un proveedor a otro sin cambiarlo.
• El umbral correcto depende de la acción que se protege. Un inicio de sesión puede tolerar un umbral de bloqueo más alto que un pago, porque volver a pedir la contraseña cuesta segundos, mientras que un pedido fraudulento con tarjeta no presente cuesta un contracargo (la guía para reducir contracargos cubre esa parte). Definimos umbrales de bloqueo para inicio de sesión, registro y pago acción por acción.

Qué sube o baja el número

La puntuación responde a una pregunta concreta: ¿cuántas pruebas de riesgo rodean a la red de la que vino esta solicitud? Nunca sabe quién está detrás del teclado. Sabe cosas como estas:

Las dos últimas filas separan una puntuación cuidadosa de una tosca. Un modelo que solo suma puntos acaba marcando a todos los operadores móviles y conexiones compartidas del mundo. El nuestro combina 36 motivos ponderados y también resta: un motivo de ISP residencial quita 17 puntos (menos 20 con una confianza de 0,85) y un rastreador verificado 28,5 (menos 30 con 0,95). Las direcciones de relay tienen un tope de 60, y las direcciones CGNAT sin pruebas de amenaza propias, de 50. El peso de cada motivo, y cómo leerlo en una respuesta, está en motivos de la puntuación de riesgo, campo por campo, para que esta página se centre en lo que el número significa para ti.

¿Por qué mi IP tiene una puntuación de fraude alta?

Una puntuación alta en tu propia conexión suele deberse a la red en la que estás, no a algo que hayas hecho: una VPN o un proxy, una dirección reciclada de un abonado que cometía abusos, una dirección CGNAT compartida que otra persona hizo entrar en una lista, o una inclusión reciente del rango de tu ISP en una lista de bloqueo. Una dirección que reconocemos como CGNAT tiene un tope de 50 salvo que tenga pruebas propias de VPN, proxy, Tor, botnet o abuso, así que una dirección compartida puede revisarse pero nunca bloquearse solo por la IP. Si un sitio te dijo que pareces una VPN en lugar de mostrarte una puntuación, aquí explicamos por qué tu IP aparece marcada como VPN o proxy y qué puedes hacer.

Cómo bajar una puntuación alta

No puedes recurrir el número en sí. Se mueve cuando cambian las pruebas que lo sustentan, y estos pasos las cambian:

1. Desactiva la VPN o el proxy y vuelve a conectarte desde la línea habitual de tu ISP. Es la reducción más grande y más rápida.
2. Consigue una dirección nueva: renueva la concesión DHCP o reinicia el router. En muchos ISP esto te saca de una dirección marcada.
3. Analiza tus dispositivos. Si algo en la red está infectado por una botnet, las marcas seguirán volviendo hasta que se limpie.
4. Pide a tu ISP otra asignación si tu rango aparece en listas de forma crónica.
5. Para empresas: envía el tráfico transaccional desde infraestructura dedicada y bien configurada, con DNS inverso limpio, no desde rangos de hosting compartido.

Después, da tiempo. Nuestro paso de sondeo de VPN y proxy se ejecuta como máximo cada 12 horas y vuelve a comprobar los hallazgos de más de 7 días, las listas de Tor y de relays y las listas de bloqueo DNS se vuelven a leer cada 6 horas, y la base de datos de consultas se reconstruye a diario, así que cuando una dirección deja de figurar en esas pruebas, su número cambia en la siguiente reconstrucción.

Consultar una puntuación por API

Para una consulta puntual, el verificador gratuito enlazado al principio de esta página muestra el número de 0 a 100, la acción recomendada y las señales que hay detrás. En producción, el mismo veredicto llega con una sola llamada, y puedes probarla sin clave con un límite de frecuencia bajo. Esta es la respuesta real, recortada, para la dirección de la red de Mullvad de la tabla anterior:

El nombre del proveedor sale de nuestra tabla de redes conocidas por alojar servidores VPN, y por eso vpn_confidence es 85 y no el 95 que recibe una dirección de la propia lista de servidores de Mullvad. Explicamos cómo identificamos el proveedor de VPN detrás de una IP y por qué el código debe comparar los nombres por prefijo.

La forma de esa respuesta también sirve como lista de comprobación para evaluar cualquier proveedor: un número sobre el que puedes actuar, una acción recomendada que puedes asignar a una política, un valor de confianza y, lo más importante, las pruebas con nombre que hay detrás del veredicto. Un número sin detection_methods es imposible de auditar cuando un cliente real pregunta por qué lo bloquearon.

Calcula la puntuación en los puntos de decisión, no en cada página vista. En el inicio de sesión, la puntuación es un primer filtro contra el credential stuffing y el robo de cuentas. En el registro, ayuda a frenar registros falsos según el tipo de IP y a detectar cuentas duplicadas de un mismo operador y el abuso de cupones y referidos. En el pago y la retirada de fondos, es una capa dentro de un sistema de detección de fraude en pagos. Las mismas señales de red también ayudan a detectar el fraude de clics por dirección IP en campañas de pago. Combina la capa de IP con señales del dispositivo y de comportamiento para una cobertura completa, ya que el fingerprinting de dispositivos y la inteligencia IP ven cosas distintas. Nuestra guía de prevención del fraude muestra dónde encaja la puntuación en cada flujo, y cómo funciona la detección de VPN y proxy explica de dónde vienen las señales con más peso.

Preguntas frecuentes

¿Una puntuación de fraude alta significa que se ha cometido fraude?

No. La puntuación mide la red de la que llegó la solicitud (anonimizadores, historial de abuso, tipo de infraestructura), no la intención de la persona que la usa. Un número alto significa que la dirección merece un examen o un desafío, no que su usuario sea un estafador. Por eso los sistemas maduros combinan la puntuación con una verificación adicional en lugar de bloqueos duros silenciosos.

¿Usar una VPN sube mi puntuación?

Normalmente sí. La señal de VPN conocida por sí sola suma 40 puntos con una confianza de 0,9, lo que la sitúa en review. Una dirección de la red de Mullvad que consultamos el 16/10/2026 obtuvo 46. Las puntuaciones suben hasta block cuando se acumulan más pruebas, como un puerto abierto de un protocolo VPN o una entrada en una lista de bloqueo. Desactivar la VPN es la forma más rápida de presentar una dirección de menor riesgo.

¿Cómo consulto la puntuación de riesgo de una dirección IP?

Pega la dirección en un verificador gratuito para ver su puntuación de 0 a 100 y las señales que hay detrás, o llama a una API de inteligencia IP en el registro, el inicio de sesión o el pago. Uses el proveedor que uses, elige uno que devuelva las pruebas que contribuyen al resultado. Un número sin más que no puedes auditar es difícil de aplicar e imposible de explicar a un cliente bloqueado.