Inteligencia IP¿Qué es la inteligencia de IP? Más allá de la geolocalización básica
La inteligencia de IP es todo lo que revela una IP: geolocalización, ASN, infraestructura, anonimización, historial de amenazas y una puntuación de riesgo explicable.
La mayoría de las herramientas de consulta de IP devuelven una ubicación. La inteligencia de IP moderna devuelve un expediente. Este artículo desglosa toda la superficie de datos: qué contiene cada capa, de dónde viene y qué decisiones respalda. Para cada campo individual y su tipo, consulta la referencia completa de campos de datos de IP.
Capa 1: Geolocalización
La capa fundamental. Cada dirección IP pertenece a una red que está registrada en un país, se anuncia desde una región concreta y normalmente se usa en una ciudad concreta. Los datos de geolocalización asocian rangos de IP con ubicaciones físicas mediante una combinación de registros (RIPE, ARIN, APNIC, LACNIC, AFRINIC), análisis de la topología de red y medición activa.
Lo que devuelve una consulta de geolocalización, del grupo geo de una respuesta real de GeoIPHub para la IP 91.108.56.1 de Telegram (recortada, consulta realizada el 2 de octubre de 2026):
{
"ip": "91.108.56.1",
"geo": {
"country_code": "SG",
"country_name": "Singapore",
"region": "Singapore",
"city": "Singapore (Novena)",
"latitude": 1.3208600000000001,
"longitude": 103.842,
"timezone": "Asia/Singapore",
"geo_confidence": 0.8
}
}
La precisión varía mucho según el tipo de IP. Las IPs residenciales de ISP suelen ser precisas a nivel de ciudad. Los nodos edge de CDN y las IPs anycast (como el 1.1.1.1 de Cloudflare) se geolocalizan en ubicaciones de infraestructura de red, no de usuarios. Las IPs móviles se geolocalizan con precisión a nivel de país y región, y con menos fiabilidad a nivel de ciudad. Las IPs de VPN se geolocalizan en la ubicación del servidor VPN, no en la ubicación real del usuario, y esa es la primera razón por la que la geolocalización por sí sola no basta.
Capa 2: ASN y propiedad de la red
Cada IP la anuncia un sistema autónomo (AS), una red con un ASN único que controla un conjunto de rangos de IP. El ASN te dice quién opera la red a la que pertenece la IP, que es uno de los datos individuales más informativos que existen. Este es el grupo asn del 1.1.1.1 de Cloudflare (respuesta real recortada):
{
"asn": {
"asn": 13335,
"org": "CLOUDFLARENET - Cloudflare, Inc.",
"asn_type": "cdn",
"user_type": "content_delivery_network",
"connection_type": "datacenter"
}
}
Tipos de ASN:
- ISP / residencial (Comcast, Deutsche Telekom, Jio): tráfico de personas reales
- Operador móvil (AT&T Mobility, Vodafone): teléfonos detrás de CGNAT
- Centro de datos / nube (AWS, Google Cloud, Azure, OVH): infraestructura de servidores
- CDN (Cloudflare, Akamai, Fastly): nodos edge de distribución de contenido
- Hosting / colocation: normalmente servidores alquilados, no a escala de nube
- ASN de VPN: sistemas autónomos con historial documentado de servidores VPN
El tipo de ASN es una probabilidad a priori antes de tener en cuenta cualquier evidencia de comportamiento. Una solicitud desde el AS7922 (Comcast) casi seguro viene de una persona real. Una solicitud desde el AS16509 (Amazon) casi seguro viene de un servidor o de un proceso automatizado. Ese único dato cambia lo que deberías esperar y aceptar de la conexión.
Capa 3: Clasificación de la infraestructura
Yendo más allá del ASN, la clasificación de la infraestructura identifica el tipo concreto de contexto de red en el que opera la IP:
- Residencial: asignada a una conexión de banda ancha doméstica por un ISP de consumo
- Móvil: asignada mediante CGNAT a un teléfono en una red celular
- Centro de datos: funciona en un proveedor de nube, un servidor dedicado o una instalación de colocation
- Empresarial: asignada a la infraestructura de oficina de una entidad comercial
- Edge de CDN: el tráfico sale desde un nodo edge de una red de distribución de contenido
- Satélite: asignada por ISPs por satélite (Starlink, Viasat)
Para un droplet de DigitalOcean (104.248.50.21), los campos de clasificación dicen (respuesta real recortada):
{
"asn": { "asn_type": "hosting", "user_type": "hosting", "connection_type": "datacenter" },
"detection": {
"is_hosting": true,
"is_mobile": false,
"is_satellite": false,
"is_anycast": false
}
}
Esta capa importa para el fraude y el control de acceso porque la mayoría de los usuarios reales de la mayoría de los productos de consumo se conectan desde IPs residenciales o móviles. Una IP de centro de datos que accede a tu producto de consumo es estructuralmente inusual. No siempre es maliciosa (desarrolladores, pipelines automatizados y usuarios empresariales se conectan legítimamente desde centros de datos), pero es lo bastante inusual como para ponderarla en un cálculo de riesgo.
Capa 4: Detección de anonimización
La detección de anonimización determina si la IP aparente es la IP real del usuario o un relay a través del cual está enrutando su tráfico. Hay tres tipos principales:
VPN (red privada virtual): el tráfico del usuario sale a través de un servidor VPN. La geolocalización muestra la ubicación del servidor VPN, no la ubicación real del usuario. La detección se basa en las listas de servidores publicadas por los proveedores, en sondeos activos de protocolo (handshakes de OpenVPN, IKEv2, PPTP y L2TP) y en el historial del ASN. Los proveedores comerciales de VPN como NordVPN, ExpressVPN y Mullvad mantienen una infraestructura publicada que se puede detectar de forma fiable.
Proxy (HTTP/SOCKS): tráfico retransmitido en la capa de aplicación en lugar de en la capa de red. Se detecta mediante sondeo de puertos, porque los proxies SOCKS5 y HTTP responden a sus respectivas secuencias de saludo en puertos característicos.
Proxy residencial: el anonimizador más sofisticado. El tráfico sale a través de una IP residencial real, normalmente obtenida de un dispositivo infectado con malware o de una red de proxies peer-to-peer de pago. La IP en sí pertenece a un ISP doméstico, así que la detección basada en el ASN falla. La detección requiere señales de comportamiento: la misma IP apareciendo en anuncios de redes de proxies, patrones anómalos de rotación o una diversidad de User-Agent incoherente con una conexión de un solo hogar.
Tor: la red de anonimización Tor enruta el tráfico a través de una serie de relays cifrados antes de salir por un nodo de salida de Tor. Las IPs de los nodos de salida se publican en el directorio de consenso de Tor, lo que hace que la detección sea fiable y completa.
Este es el grupo detection de 185.213.155.73, un servidor WireGuard de la lista de relays publicada por Mullvad (respuesta real recortada):
{
"detection": {
"is_vpn": true,
"is_proxy": false,
"is_tor": false,
"is_hosting": true,
"is_anonymous": true,
"anonymity_level": "medium",
"vpn_confidence": 95
}
}
Capa 5: Inteligencia de amenazas
La inteligencia de amenazas reúne evidencia externa de comportamiento malicioso: informes de los departamentos de abuso de las redes, capturas de honeypots, datos de sinkholes de botnets, registros de actividad de escaneo y activaciones de trampas de spam.
Señales clave (la materia prima de la puntuación de reputación de IP):
- Presencia en listas de bloqueo: cuántas listas de bloqueo independientes incluyen esta IP, y en qué categorías
- Informes de abuso: volumen y antigüedad de las quejas de ISPs y departamentos de abuso
- Historial de botnets: asociación con infraestructura conocida de comando y control de malware
- Huellas de escáner: evidencia de escaneo de puertos, sondeo de vulnerabilidades o credential stuffing
Esto se recoge en el grupo threat. Para el mismo servidor de Mullvad, la única categoría de amenaza es el propio anonimizador (respuesta real recortada):
{
"threat": {
"is_abusive": false,
"is_spammer": false,
"is_scanner": false,
"is_botnet": false,
"is_cgnat": false,
"threat_types": ["vpn"]
}
}
La inteligencia de amenazas es, por naturaleza, sensible al tiempo. Las entradas de las listas de bloqueo caducan a medida que las IPs cambian de manos; los informes de abuso de hace tres meses son una evidencia débil; la actividad de escaneo de ayer es una evidencia sólida. Una inteligencia de amenazas eficaz se actualiza de forma continua en lugar de en un ciclo mensual por lotes. Combinados con los datos de ubicación e infraestructura, estos feeds son la base sobre la que actúan los bloqueos en el edge, las comprobaciones de viaje imposible y las restricciones geográficas.
Capa 6: Puntuación de riesgo
Todo lo anterior se comprime en una única puntuación de 0 a 100, scoring.fraud_score: el número con el que enrutas las decisiones. Para el mismo servidor de Mullvad (respuesta real recortada):
{
"scoring": {
"fraud_score": 100,
"confidence": 0.7075,
"recommended_action": "block",
"detection_methods": [
"known_vpn_server",
"wireguard_open",
"datacenter_with_vpn_proxy",
"no_ptr_datacenter"
]
}
}
La puntuación solo es tan útil como lo explicable que sea. Un número de caja negra que sube y baja sin explicación no se puede ajustar, ni defender en una disputa de contracargo, ni auditar en busca de sesgos. El array detection_methods nombra la evidencia que contribuye (aquí: la IP está en la lista de servidores de un proveedor, esa lista la marca como servidor WireGuard y está en infraestructura de hosting), y recommended_action asigna la puntuación a una banda: allow hasta 25, review hasta 50, step_up hasta 75, block por encima de 75. Así, cuando una puntuación bloquea a un cliente legítimo, puedes identificar qué señal lo produjo y ajustar el umbral o el peso.
Cómo es una respuesta completa de inteligencia de IP
Juntando todas las capas en una sola consulta:
curl "https://api.geoiphub.com/v1/lookup/103.21.244.0" \
-H "x-api-key: YOUR_API_KEY"
Respuesta real recortada (consulta realizada el 2 de octubre de 2026; la respuesta completa contiene 10 grupos: ip, asn, geo, whois, network, detection, threat, dns, scoring, meta):
{
"ip": "103.21.244.0",
"asn": {
"asn": 13335,
"org": "CLOUDFLARENET - Cloudflare, Inc.",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"geo": {
"country_code": "CA",
"region": "Ontario",
"city": "Toronto",
"latitude": 43.6532,
"longitude": -79.3832,
"timezone": "America/Toronto"
},
"whois": {
"org": "Cloudflare, inc.",
"netname": "CLOUDFLARE_103_21_244_0"
},
"detection": {
"is_hosting": true,
"is_mobile": false,
"is_vpn": false,
"is_proxy": false,
"is_tor": false
},
"threat": {
"is_abusive": false,
"threat_types": []
},
"scoring": {
"fraud_score": 15,
"confidence": 0.25,
"recommended_action": "allow",
"detection_methods": ["datacenter_ip", "no_ptr_datacenter"]
}
}
Esta IP es infraestructura de Cloudflare, geolocalizada en Toronto: no es una persona, no es maliciosa y no oculta nada. La puntuación de fraude de 15 refleja el contexto de centro de datos (y la falta de DNS inverso típica del espacio de centros de datos) sin evidencia de anonimizador ni de abuso, así que cae en la banda allow. La acción correcta depende del caso de uso: en un flujo de checkout de consumo, merece una nota en el registro de la sesión; para un cliente de API B2B, es exactamente lo que esperarías. Para integrar una consulta como esta en tu propio flujo de registro o checkout, sigue la guía paso a paso para añadir detección de fraude por IP con la API gratuita.
Qué capas importan para cada caso de uso
| Caso de uso | Capas principales | Notas |
|---|---|---|
| Prevención del fraude en el checkout | Anonimización, puntuación de riesgo, inteligencia de amenazas | Bloquear o poner un desafío ante anonimizadores + historial de abuso |
| Puntuación del riesgo en el inicio de sesión | Anonimización, infraestructura, puntuación de riesgo | Centro de datos + VPN en el inicio de sesión es un riesgo elevado |
| Restricción geográfica / cumplimiento | Geolocalización, anonimización | La detección de VPN impide eludir la restricción geográfica |
| Fraude publicitario / filtrado de IVT | Infraestructura, huellas de bots | Centro de datos + bot = tráfico no válido |
| Localización de contenido | Geolocalización, ASN | País + ISP determinan las decisiones de idioma y CDN |
| Prevención del abuso de API | Infraestructura, inteligencia de amenazas, señales de frecuencia | Las IPs de centro de datos en listas de bloqueo justifican límites de frecuencia |
| Clasificación del tráfico de seguridad | Todas las capas | Panorama completo para la investigación de incidentes |
La inteligencia de IP en distintos equipos y sectores
Cada equipo recurre a capas distintas, y la misma señal significa cosas distintas según el negocio. Por eso la "inteligencia de IP" aparece en búsquedas de plataformas antifraude, herramientas de seguridad y analítica por igual. Es un solo conjunto de datos al servicio de varios trabajos:
- Los equipos de fraude y riesgo se apoyan en la anonimización, el historial de amenazas y la puntuación de riesgo para decidir en tiempo real el resultado del checkout, el inicio de sesión y el registro.
- Los equipos de seguridad usan las capas de infraestructura y amenazas para clasificar el tráfico entrante, detectar escaneos y enriquecer las alertas del SIEM con contexto de ASN y hosting. Explicamos por separado cómo estas señales contrarrestan patrones concretos de ciberdelincuencia.
- Los equipos de confianza y seguridad combinan los indicadores de anonimizadores con el comportamiento para detectar la evasión de bloqueos, las cuentas falsas y el abuso coordinado.
- Crecimiento y marketing usan la geolocalización y el ASN para la localización, el filtrado de tráfico no válido y una analítica más limpia.
- Cumplimiento usa los datos de país y anonimización para las restricciones geográficas, el control de sanciones y la detección de la jurisdicción.
El sector cambia lo que está en juego más que los datos. Fintech y banca ponderan al máximo la anonimización y el riesgo, porque los intentos de apropiación de cuentas se esconden detrás de una VPN o un proxy. Los videojuegos se preocupan por la evasión de bloqueos y las regiones de licencia. El comercio electrónico y los marketplaces combaten el fraude en pagos y los vendedores falsos. El SaaS puntúa el riesgo en el inicio de sesión y el abuso de la API. El streaming aplica las licencias geográficas frente a la elusión mediante VPN. Seis capas, ponderadas de forma distinta. Por eso una plataforma de inteligencia de IP es más útil que cualquier campo aislado, y por eso merece la pena comprobar qué capas cubre realmente un proveedor de datos de IP antes de elegir uno. Consulta las razones con nombre detrás de cada puntuación de riesgo.
El hueco que deja la geolocalización
Para concretar la diferencia: si un usuario en Moscú se conecta a través del servidor de Mullvad en 185.213.155.73, una consulta de geolocalización devuelve Alemania, Fráncfort del Meno. La consulta completa de GeoIPHub devuelve el mismo geo.country_code: DE, más detection.is_vpn: true, scoring.fraud_score: 100 y detection_methods con known_vpn_server y wireguard_open. Los datos de ubicación son idénticos. La inteligencia no.
En un contexto de restricción geográfica (por ejemplo, un servicio de streaming con derechos para Alemania), la geolocalización por sí sola aprueba la solicitud. La inteligencia de IP señala que no se puede confiar en la ubicación. Bloquear o permitir es una decisión de producto; pero sin la capa de inteligencia, ni siquiera puedes tomar esa decisión de forma consciente.
Esa es la frontera práctica entre la geolocalización IP y la inteligencia de IP: la geolocalización te dice lo que la dirección afirma. La inteligencia te dice cuánto debes creerla.
Preguntas frecuentes
¿Qué es la inteligencia de IP?
La inteligencia de IP es el conjunto completo de datos que se pueden obtener de una dirección IP. Es decir, no solo el país y la ciudad, sino el sistema autónomo al que pertenece, si es infraestructura residencial o de centro de datos, si está ejecutando una VPN, un proxy o un relay de Tor, su historial de abuso, su clasificación de amenazas y una puntuación de riesgo que sintetiza todo lo anterior. El término distingue el análisis completo de IP de la geolocalización básica, que normalmente solo devuelve campos de ubicación.
¿Cuál es la diferencia entre la geolocalización IP y la inteligencia de IP?
La geolocalización IP responde a: ¿dónde está esta IP? País, región, ciudad, coordenadas, zona horaria, nombre del ISP. La inteligencia de IP responde a: ¿qué es esta IP y cuánto puedo fiarme de ella? Añade el tipo de infraestructura (centro de datos, residencial, móvil), la detección de anonimización (VPN, proxy, Tor), las clasificaciones de amenazas (escáner, botnet, fuente de spam), el historial de abuso y una puntuación de riesgo sintetizada. La geolocalización es una capa dentro de la inteligencia de IP.
¿Qué puede decirte la inteligencia de IP que la geolocalización no puede?
Si la IP es una VPN o un proxy que oculta la ubicación real (lo que deja sin sentido los campos de geolocalización), si es una IP de centro de datos sin un usuario real detrás, si ha estado recientemente en listas de bloqueo por abuso, si está ejecutando activamente un servicio de proxy o de escaneo, y una estimación de probabilidad de lo arriesgada que es una solicitud desde esa IP. La geolocalización básica devuelve coordenadas; la inteligencia de IP te dice si puedes fiarte de ellas.
¿Cómo se usa la inteligencia de IP en la práctica?
Los equipos de fraude la usan para puntuar el riesgo en el checkout, el inicio de sesión y el registro. Los equipos de seguridad la usan para clasificar el tráfico entrante e identificar escaneos o abuso automatizado. Las plataformas publicitarias la usan para filtrar el tráfico no válido antes de que se cobre a una campaña. Los equipos de cumplimiento la usan para aplicar restricciones geográficas y detectar la jurisdicción. Las plataformas de contenido la usan para decisiones de licencias geográficas y de muros de pago. El caso de uso determina qué capas de inteligencia importan más.
¿La inteligencia de IP es precisa para usuarios móviles?
En parte. Los usuarios móviles comparten IPs mediante NAT de nivel de operador (CGNAT), así que la geolocalización suele ser correcta a nivel de país y región, pero imprecisa a nivel de ciudad. La clasificación de la infraestructura (operador móvil frente a centro de datos) es fiable. La detección de anonimización es fiable: un usuario móvil en una VPN se ve muy distinto de una conexión móvil nativa. La puntuación de riesgo para móviles debe calibrarse de forma distinta que para IPs residenciales, porque el CGNAT diluye la responsabilidad por IP.
El equipo detrás de la API de GeoIPHub
Escrito por el equipo de GeoIPHub, las personas que crean la API de inteligencia IP de GeoIPHub y su escáner. Los borradores se preparan con ayuda de IA y el equipo los edita; los ejemplos de la API son consultas reales contra la API en producción, salvo que se indique que son ilustrativos.
Guías de la API