¿A partir de qué puntuación de riesgo de IP deberías bloquear?

No existe un único umbral de puntuación de riesgo de IP a partir del cual bloquear: la misma puntuación puede dejar pasar un inicio de sesión, marcar un registro para revisión y enviar un checkout a 3-D Secure. La escala de 0 a 100 de GeoIPHub, por defecto, permite hasta 25, revisa hasta 50, pide un paso adicional hasta 75 y bloquea por encima de 75, y esta guía mueve esas líneas según la acción, con pruebas sobre cinco direcciones públicas el 22 de octubre de 2026.

Una puntuación, tres puertas: cinco IP que pasamos por los umbrales

El mismo veredicto de la API se traduce de forma distinta en cada puerta, y dos topes de puntuación deciden hasta dónde puede llegar una dirección compartida. A las 04:56 UTC del 22 de octubre de 2026 consultamos cinco direcciones públicas con la API sin clave y asignamos cada resultado a los umbrales iniciales de la siguiente sección. Las dos últimas filas no son consultas. Son los techos definidos en nuestra configuración de puntuación.

Hay cuatro cosas en esa tabla sobre las que merece la pena actuar.

• Los dos 100 tienen motivos distintos. Los métodos del nodo de salida de Tor son tor_exit, datacenter_blocklisted, no_ptr_datacenter y known_spammer: un anonimizador con historial de spam. Los del servidor de Mullvad son known_vpn_server, wireguard_open, datacenter_with_vpn_proxy y no_ptr_datacenter, con threat.is_spammer en false y sin entrada en listas de bloqueo DNS. Si tus clientes usan VPN, una regla de inicio de sesión que convierta un bloqueo solo por VPN en MFA es defendible, y nunca se activaría para el nodo de salida de Tor.
• La fila del medio es donde los umbrales por acción demuestran su valor. AhrefsBot con 35 pasa el inicio de sesión, se marca en el registro y va a 3-D Secure en el checkout. Sin embargo, un rastreador SEO verificado no tiene ningún motivo para enviar ninguno de esos formularios, y eso la puntuación por sí sola no te lo dice.
• Esa fila del medio cambió en dos semanas. La misma dirección obtuvo 23 el 8 de octubre y 59, step_up, el 19 de octubre, con abusive_listed entre sus métodos. El 22 de octubre ese método había desaparecido y la puntuación era 35, así que el inicio de sesión pasó de MFA a un inicio de sesión normal. Analizamos esa dirección en cómo investigar una dirección IP. Guarda la puntuación, los métodos y la fecha con cada decisión, y repite la consulta antes de actuar sobre un veredicto antiguo.
• Las direcciones compartidas no pueden llegar al bloqueo. Private Relay tiene un tope de 60 (relay_max_score), así que nunca puede superar la línea de bloqueo predeterminada de 76. CGNAT tiene un tope de 50 (cgnat_max_score), el límite superior de la franja de revisión. Nuestra línea de bloqueo más estricta, 66 en el checkout, está por encima de ambas a propósito. Con 60 o menos, un usuario de relé con tope podría ser rechazado por compartir una dirección.

Las dos filas de permitir muestran que la puntuación es aditiva. La señal relay_ip del relé vale 10 puntos con una confianza de 0,85, lo que redondea a 9. La señal datacenter_ip del servidor de Linode vale 20 puntos con 0,5, es decir, 10. El hosting es un motivo para mirar, no para bloquear, y los relés deben pasar, como explicamos en cómo detectar tráfico de Private Relay y WARP.

Umbrales iniciales de puntuación de riesgo de IP para el inicio de sesión, el registro y el checkout

Los umbrales iniciales endurecen la línea de bloqueo a medida que aumenta el coste de un permiso erróneo: 76 en el inicio de sesión, 71 en el registro, 66 en el checkout. Trátalos como puntos de partida y ajústalos con tus propios datos de fraude.

Combina la puntuación con algunas reglas sobre las señales para los casos evidentes:

• Bloquea cualquier acción cuando detection.is_tor sea true. Es el único caso en el que el motivo por sí solo justifica un rechazo.
• Nunca bloquees de forma rígida por puntuación cuando detection.is_relay o threat.is_cgnat sean true. Aquí los topes ya lo garantizan; la regla te protege si alguien baja una línea de bloqueo más adelante.
• En el checkout, trata review como step_up. Nuestro tutorial de la API de detección de fraude por IP incluye código probado en Node y Python para exactamente esa sustitución, además de un manejo tolerante a fallos cuando una consulta agota el tiempo de espera.

Para ver qué devuelve cada tipo de dirección en el registro, y los límites de velocidad por prefijo que detectan lo que una puntuación deja pasar, lee detección de cuentas falsas en el registro.

Para saber qué significa cada franja y cómo se construye una puntuación, empieza por cómo leer una puntuación de riesgo de IP.

Un nodo de salida de Tor obtiene 100, y los métodos dicen por qué

Esta es una copia recortada de la respuesta real para 185.220.101.1, consultada a las 04:56 UTC del 22 de octubre de 2026:

Un fraud_score de 100 supera todas las líneas de bloqueo de la tabla, así que el inicio de sesión, el registro y el checkout lo rechazan. Tres motivos bastan por sí solos para llegar ahí: tor_exit (45 puntos con 0,99), known_spammer (40 con 0,9) y datacenter_blocklisted (30 con 0,75) suman 103 antes del tope de 100. detection.is_vpn es false, porque Tor se marca por separado, así que puedes bloquear de forma rígida detection.is_tor y seguir desafiando a los usuarios de VPN normales.

El cuarto motivo es una carencia por nuestra parte. no_ptr_datacenter indica que la dirección no tiene DNS inverso, pero dig -x 185.220.101.1 devolvió un nombre de host de nodo de salida de Tor a las 04:57 UTC de esa mañana. A nuestra base de datos le falta ese registro almacenado, y la corrección está registrada. El veredicto se sostiene con las otras tres señales, pero es un buen motivo para escribir reglas sobre señales de las que te fías, no sobre el total bruto.

Por qué falla un único umbral global

Un único umbral falla porque cada endpoint se enfrenta a un ataque distinto. Las páginas de inicio de sesión absorben el credential stuffing: el Verizon 2025 DBIR constató que supuso una mediana del 19% de todos los intentos de autenticación diarios, y el 44% en el peor día. Los checkouts se enfrentan a pruebas de tarjetas y los registros a cuentas falsas. Y el 2 de diciembre de 2025, los humanos generaron solo el 47% de las solicitudes HTML, según el Cloudflare Radar 2025 Year in Review.

Los sistemas maduros ya actúan por franjas. La puntuación de bots de Cloudflare va de 1 a 99, y los clientes escriben reglas para bloquear, desafiar o permitir en función de ella (puntuaciones de bots de Cloudflare). OWASP dice que el bloqueo por IP "no debe usarse como la única defensa ni como la principal debido a la facilidad para eludirlo" (OWASP Credential Stuffing Cheat Sheet). La misma página cita el análisis de Microsoft según el cual la MFA habría evitado el 99,9% de los compromisos de cuentas. Eso convierte la franja de paso adicional del inicio de sesión en un seguro barato. NIST SP 800-63B dice que una geolocalización o un bloque de direcciones IP inesperados "podría motivar el uso de controles adicionales basados en el riesgo" y no "sustituye a un factor de autenticación" (NIST SP 800-63B).

GeoIPHub construye su puntuación de riesgo explicable de 0 a 100 a partir de 36 motivos ponderados y nombra cada uno de los que se activaron en scoring.detection_methods. Algunos bajan la puntuación: un motivo de ISP residencial resta 17 puntos (menos 20 con una confianza de 0,85) y un rastreador verificado 28,5 (menos 30 con 0,95).

Un umbral bajo castiga a las direcciones compartidas y privadas

Una línea de bloqueo fijada baja "por seguridad" rechaza a clientes que comparten u ocultan su dirección por motivos normales:

• Usuarios de VPN. En el informe de VPN de 2026 de Security.org, una encuesta a 1.008 adultos de EE. UU. realizada en agosto de 2026, el 42% dijo que usa una VPN por motivos personales o de trabajo. La privacidad en general (56%) y la seguridad en general (51%) fueron los principales motivos.
• NAT de nivel de operador. El RFC 6598 reserva 100.64.0.0/10 para CGNAT, y Cloudflare señala que detrás de él "cientos o incluso miles de clientes pueden parecer originarse desde una sola dirección IP". Cloudflare también constató que a las IP CGNAT se les aplica limitación de tasa tres veces más a menudo que a otras IP, aunque la tasa mediana de bots es casi idéntica: 4,8% frente a 4,7% (Cloudflare sobre CGNAT).
• iCloud Private Relay. Cloudflare, que opera uno de los saltos del relé, dice que los sitios que usan direcciones IP para prevenir el fraude "pueden confiar" en las conexiones de Private Relay, porque Apple valida el dispositivo y la cuenta (Cloudflare sobre Private Relay).

GeoIPHub devuelve detection.is_mobile, detection.is_relay y threat.is_cgnat, y aplica el tope de 50 para CGNAT y el tope de 60 para relés antes de devolver la puntuación.

Puntúa la IP correcta, o ningún umbral tendrá sentido

Si puntúas un valor de X-Forwarded-For falsificado, tus umbrales ajustados quedan anulados antes de ejecutarse. El RFC 7239 advierte que no se puede "confiar en que la cabecera Forwarded sea correcta", porque cualquier nodo del camino, incluido el cliente, puede modificarla (RFC 7239). La regla de MDN es que cualquier uso de X-Forwarded-For con fines de seguridad "debe usar solo direcciones IP añadidas por un proxy de confianza", que se encuentran contando hacia atrás desde la entrada situada más a la derecha tantas posiciones como proxies ejecutes (MDN: X-Forwarded-For). Puntuamos la IP que nos envíes, así que obtenla primero de tu cadena de proxies de confianza.

Ajusta los umbrales con tus propios resultados

Parte de la tabla y luego mueve cada línea con evidencia. Registra la puntuación, recommended_action, detection_methods y la fecha en cada decisión, y al cabo de unas semanas compáralos con el fraude y los contracargos confirmados. Si tu línea de 66 en el checkout deja pasar contracargos entre 55 y 65, bájala, pero no a 60 o menos mientras atiendas a usuarios de Private Relay. Si la verificación de registro entre 51 y 70 rara vez detecta una cuenta mala, sube la línea.

El plan gratuito cubre 1.500 consultas al día con todos los campos. Para comprobar una sola dirección a mano, el comprobador de puntuación de riesgo de IP muestra la misma puntuación y los mismos motivos sin código.

Para el conjunto más amplio de señales, consulta nuestras guías sobre detectar tráfico anonimizado sin bloquear a clientes reales, fraude con proxies residenciales frente a proxies de datacenter, frenar el robo de cuentas y el credential stuffing, detectar el abuso de promociones y cupones en el momento del canje y dónde encajan las señales de IP en una pila de detección de fraude en pagos.

Preguntas frecuentes

¿Cuál es una buena puntuación de riesgo de IP a partir de la cual bloquear?

No existe un umbral universal único. Las franjas predeterminadas de GeoIPHub bloquean a partir de 76. Nuestros umbrales iniciales mantienen ese valor para el inicio de sesión, lo bajan a 71 para el registro y a 66 para el checkout, porque un pedido fraudulento sin tarjeta presente cuesta mucho más que volver a pedir una contraseña. Las escalas de otros proveedores son distintas, así que interpreta cualquier umbral según las franjas de su propio proveedor.

¿Qué significa una puntuación de riesgo de IP de 75?

En la escala de 0 a 100 de GeoIPHub, 75 es el límite superior de la franja step_up. El bloqueo empieza en 76. Desafíala en lugar de permitirla en silencio, y lee scoring.detection_methods, porque un 75 debido a señales de VPN y otro debido a un historial en listas de bloqueo requieren respuestas distintas. Un nodo de salida de Tor real no se queda en 75: 185.220.101.1 obtuvo 100, block, en nuestra consulta del 22 de octubre de 2026.

¿Debo bloquear automáticamente a los usuarios de VPN y proxy?

No. En la encuesta de Security.org de agosto de 2026 a 1.008 adultos de EE. UU., el 42% dijo que usa una VPN por motivos personales o de trabajo, y la privacidad y la seguridad fueron los principales motivos. Trata un indicador de VPN como motivo para un desafío adicional, no para un rechazo automático, y reserva los bloqueos rígidos para los nodos de salida de Tor y las direcciones con historial de spam o de listas de bloqueo.

¿Se puede bloquear a un usuario de iCloud Private Relay o de CGNAT solo por la puntuación?

No con los valores predeterminados de GeoIPHub. Las direcciones de Private Relay tienen un tope de 60 y las de NAT de nivel de operador un tope de 50, ambos por debajo de la línea de bloqueo predeterminada de 76. Mantén cada umbral de bloqueo por encima de 60 y una dirección compartida solo podrá ser desafiada, nunca rechazada, por la puntuación.

¿Por qué el umbral de bloqueo es más bajo en el checkout que en el inicio de sesión?

Un permiso erróneo en el checkout envía mercancía pagada con una tarjeta robada y vuelve como contracargo, mientras que un permiso erróneo en el inicio de sesión todavía tiene que superar la contraseña y cualquier segundo factor. Por eso el checkout bloquea a partir de 66 y el inicio de sesión solo a partir de 76.