De quién viene, cuánto se le cree y hasta cuándo vale

Cuando llega un indicador hay dos juicios, y conviene escribirlos por separado. El primero es sobre la fuente: qué tan fiable ha sido históricamente, cuántos de sus indicadores resultaron ciertos al revisarlos. El segundo es sobre el dato: si este indicador concreto está confirmado por otras fuentes independientes, o lo dice una sola. Existen escalas publicadas para cada juicio; la de esta sala, A, B y C para la fuente y el conteo de corroboraciones para el dato, es una versión simplificada propia del SOC, no una norma.

Mezclarlos produce los dos errores clásicos: creerle todo a una fuente buena y descartar lo que trae una fuente mala aunque tres más lo confirmen.

Abre la consola y mira fuentes. Cada fila lleva cuántos indicadores trajo la fuente en noventa días y cuántos resultaron confirmados o falsos al revisarlos. La letra de fiabilidad resume eso, pero conviene hacer la cuenta: el porcentaje de confirmados sobre recibidos es lo que separa a una fuente que acierta de una que solo manda mucho.

Un indicador no vale para siempre. Una dirección se reasigna en semanas; un dominio se abandona al acabar la campaña; un hash deja de aparecer cuando la muestra se reemplaza. Algunos emisores publican hasta cuándo vale cada indicador (en STIX, el campo valid_until); si no lo hacen, la fecha la fija el SOC con una política. La de Quebradaseca está en politica: días de vigencia por tipo, contados desde la última vez que alguien vio el indicador.

Caducar no es borrar: un indicador caducado sale del bloqueo y de la vigilancia activa, pero se conserva para buscar hacia atrás y para saber qué se creyó en su momento.

Juntas las tres lecturas —fiabilidad de la fuente, corroboración del dato, vigencia— y el indicador que las cumple todas es el que se puede cargar con más confianza. Para saber qué fuente es de qué fiabilidad hay que cruzar lote con fuentes; para saber si sigue vigente, con politica y la fecha de hoy.

Quedan en el lote dos indicadores recientes que vienen de fuentes de fiabilidad C y que nadie más confirma: una dirección de la lista abierta y un dominio de un blog. No han caducado, así que no se descartan; tampoco tienen con qué sostener un bloqueo.