Mejor API de detección de VPN: comparativa de métodos

La mejor API de detección de VPN es aquella cuyo método se ajusta a tu riesgo y cuyos límites comprendes, porque ninguna API puede identificar todas las VPN: la detección se basa en listas de direcciones de salida conocidas, en la red propietaria de una dirección o en el comportamiento observado, y cada uno de estos enfoques deja algo sin detectar.

Los tres métodos principales de detección

Listas de IP y de nodos de salida. El proveedor recopila las direcciones que se sabe que pertenecen a servicios VPN, relays de Tor y proxies abiertos, y comprueba si una petición procede de alguna de ellas. Tor publica su lista de relays, por lo que su detección es comparativamente fiable. Las direcciones de las VPN comerciales se recopilan de muchas fuentes y cambian con frecuencia, de modo que la cobertura es un objetivo móvil.

Atribución por ASN y red. Cada dirección pertenece a un sistema autónomo con una organización registrada. Muchos servidores de salida de VPN se encuentran en redes de alojamiento o de centros de datos, y no en ISP de consumo. Si la red propietaria vende principalmente alojamiento, es más probable que una dirección de esa red sea una VPN, un proxy o un servidor que una persona en su casa. Esto detecta nuevas direcciones de salida que ninguna lista ha visto todavía, pero también marca servidores legítimos, pasarelas corporativas y aplicaciones alojadas en la nube.

Análisis conductual. En lugar de fijarse en la dirección, analiza la sesión: viajes imposibles entre inicios de sesión, zona horaria e idioma que no concuerdan con el país de la IP, muchas cuentas desde una misma dirección o patrones de latencia. Puede detectar a un usuario de VPN que no figura en ninguna lista, pero necesita un flujo de tus propios eventos, genera falsos positivos en viajeros frecuentes y, en general, no puede hacerse a partir de una única dirección en una llamada de API sin estado.

Qué devuelve ipto y qué no

La detección de ipto combina datos de feeds de amenazas con atribución por ASN. La consulta de IP devuelve los indicadores is_vpn, is_tor, is_abuser e is_datacenter, junto con el ASN y la organización para que puedas ver el motivo. El verificador de VPN, Tor y proxy muestra el mismo resultado con las evidencias y las listas que coincidieron. Los feeds se actualizan cada 6 horas y los conjuntos de datos de IP y ASN a diario. Los mismos feeds pueden explorarse en la página de feeds de amenazas.

Se aplican límites honestos. ipto no detecta proxies residenciales, que se enrutan a través de conexiones domésticas corrientes y parecen tráfico normal de un ISP. No realiza análisis conductual. Y un resultado negativo significa «no se sabe que sea una VPN», no «desde luego no es una VPN». Conviene desconfiar de cualquier proveedor que afirme tener una cobertura completa, y debes verificar sus afirmaciones con tu propio tráfico.

Qué preguntar a cualquier API de detección de VPN

• ¿Cuáles son las fuentes de datos y el intervalo de actualización? Los feeds de hace unas horas se comportan de forma muy distinta de los archivos mensuales.
• ¿Se afirma cubrir proxies residenciales y cómo se demuestra? Es la categoría más difícil, y las declaraciones vagas son una señal de alarma.
• ¿La respuesta se explica a sí misma? Un booleano a secas es difícil de depurar. El nombre de la red, el ASN y la lista coincidente te indican si un indicador es plausible.
• ¿Cómo separa el tráfico de centros de datos del tráfico de VPN? Un indicador independiente del estilo de is_datacenter te permite tratar de forma distinta un bot alojado en la nube y una VPN de consumo.
• ¿Cuáles son los límites de uso y el coste con tu volumen? Pide los términos por escrito en lugar de fiarte de una página comparativa.
• ¿Puedes probarla sin registrarte? Ejecuta una muestra de direcciones de VPN conocidas y de direcciones domésticas corrientes, y cuenta tú mismo los fallos y las falsas alarmas.

Usa la señal con criterio

Usar una VPN es legal y habitual, por privacidad, por trabajo o en una wifi pública. Por tanto, un indicador de VPN es un motivo para añadir contexto, no para bloquear por sí solo. Combínalo con otras señales: el verificador de abuso de IP puntúa la reputación por corroboración entre varios feeds, y el verificador de puntuación de fraude fusiona señales de IP, correo electrónico, teléfono y User-Agent en una puntuación de 0 a 100 con un desglose de lo que ha contribuido. Una política razonable podría mostrar un paso de verificación ante combinaciones de riesgo, y dejar continuar a un usuario de VPN con un perfil por lo demás limpio.

Los falsos positivos merecen su propio plan. Si restringes contenido por región, un cliente legítimo conectado a una VPN corporativa no superará la comprobación, así que ofrece a los usuarios una forma de apelar o de verificarse por otro canal. Para profundizar en cómo evitar bloqueos excesivos, consulta el artículo relacionado sobre cómo reducir los falsos positivos en la detección de VPN, y la documentación de la API para conocer los campos exactos de la respuesta.

Respuestas claras