Cómo se calcula la reputación de una IP: señales, pesos y tramos

La puntuación de confianza de 0 a 100 que ve junto a una IP no es una medición única, sino la suma ponderada de señales independientes entre sí. Saber cómo se construye le permite darle el peso justo en sus decisiones.

Qué señales entran

En IP-DB.com la puntuación es la suma de cinco componentes, cada uno con su propio techo, y el total se limita a 100:

• Fuentes de amenazas (hasta 90 puntos): en cuántas listas de bloqueo independientes aparece la dirección, ponderadas por la fiabilidad de cada una. Lo decisivo es la corroboración: una segunda fuente independiente suma casi tanto como la primera, una lista que solo republica otras (agregadora) aporta su peso una sola vez y varias listas del mismo operador cuentan como un único voto. Las fuentes por sí solas no llegan a 100; para eso hace falta un segundo tipo de prueba.
• Reportes de la comunidad (hasta 35 puntos): diez puntos por cada denunciante distinto y tres por cada reporte adicional de la misma persona.
• Registros DNSBL (hasta 20 puntos): diez puntos por cada lista negra de correo que incluye la dirección en el momento de la consulta.
• Un listado retirado recientemente (hasta 35 puntos): si la dirección acaba de salir de todas las fuentes, la mitad de la puntuación que tenía al salir, que baja a cero en 60 días. Nunca se aplica mientras siga listada, para no contar dos veces la misma prueba.
• El vecindario /24 (hasta 20 puntos): cero hasta que el 2 % del bloque está listado, y después 0.4 puntos por cada punto porcentual. Los vecinos por sí solos nunca llevan una dirección más allá de «baja».

Otras dos señales se muestran junto a la puntuación pero quedan fuera a propósito: el tipo de red (residencial, hosting, VPN, Tor), porque una VPN no es abuso, y Spamhaus ASN-DROP, que habla de quién opera la red y no de la dirección.

Por qué importa más «cuántas fuentes» que «cuántos registros»

Es la parte decisiva de la fórmula: fuentes independientes que se corroboran entre sí son una prueba más sólida que muchos registros de una sola fuente. Cincuenta apariciones en la misma fuente no equivalen a una aparición en cincuenta fuentes distintas. Lo mismo vale para los reportes: diez usuarios diferentes pesan mucho más que diez reportes de un solo usuario. Esa estructura también dificulta inflar la puntuación manipulando una única fuente.

Los tramos y su significado

• 0–9, limpia: sin registros en ninguna fuente. Trátela como tráfico normal.
• 10–39, baja: una señal débil o aislada. Regístrela, no la bloquee.
• 40–74, sospechosa: varias señales coinciden. Es el tramo de la verificación adicional, los límites de tasa o la revisión manual.
• 75–100, crítica: pruebas fuertes y corroboradas. Aquí está el umbral razonable para bloquear de forma automática.

Traducir la puntuación en decisiones

En lugar de un único umbral, construya una respuesta graduada: en el tramo bajo solo registre, en el medio añada fricción (verificación extra, retraso, límite de tasa) y en el alto bloquee. Cuanto más irreversible sea la decisión —cerrar una cuenta, rechazar un pago—, más alto debe estar el umbral y más peso deben tener el historial de la cuenta, los datos del dispositivo y el importe de la operación.

Cuándo una puntuación alta engaña

• Hosting compartido y CGNAT: tras una dirección puede haber cientos de usuarios legítimos.
• Bloques reciclados: un bloque que cambia de dueño arrastra un tiempo el historial del anterior.
• Registros antiguos: un incidente de hace dos años no pesa como el de ayer; mire la fecha de última observación.
• Categoría que no encaja: una dirección listada por spam no es necesariamente un riesgo para su aplicación web.

Por eso conviene leer también el desglose: IP-DB.com muestra por separado qué fuentes han coincidido, cuántos usuarios distintos han reportado, en qué categorías y cuándo se vieron por última vez los registros.

Por qué cada servicio puntúa distinto

Cada proveedor usa fuentes distintas, pondera de otro modo y aplica ventanas temporales diferentes. Que dos servicios den 40 y 80 a la misma dirección no es una contradicción, sino la misma evidencia con otra calibración. Al fijar sus umbrales, no tome la cifra de un proveedor como verdad absoluta: mida qué resultado produce cada tramo en su propio tráfico.

Acceso programático

La puntuación y sus componentes también se obtienen por API, de modo que puede aplicar sus umbrales en su propia aplicación y registrar las decisiones junto al desglose de fuentes y reportes. Para evaluar muchas direcciones de una vez está la consulta masiva.