Escenario — el Viernes de ofertas y el umbral fijo

Antes de juzgar un cambio hay que saber qué se cambió. Mira reglas: solo una de las tres tiene un umbral distinto del anterior.

El cambio tuvo un motivo: la campaña de 2025 dejó una cola imposible de revisar. Mide cuánto de ese volumen no era ataque. Con campanas, calcula las alertas de la regla que no fueron confirmadas en el Viernes de ofertas de 2025.

Un umbral alto calla el ruido y también calla lo que se parece poco a él. En fallos_por_ip, mira las ventanas donde la regla no alertó. Una de ellas tiene pocos fallos por cuenta pero casi tantas cuentas distintas como fallos: es la forma de la reutilización de credenciales filtradas, y está por debajo del umbral.

Cualquier cambio a la regla, al subirla o al reemplazarla, tiene su propia ventana. Mercadeo ya definió cuándo no se tocan los sistemas antes de cada campaña. Mira calendario y busca la próxima campaña después del 30 de noviembre.

Hay una regla con un umbral que se subió ocho veces, una campaña en la que casi todo era ruido, una ventana de la madrugada con trescientas cuentas tocadas que nunca alertó y un calendario que da fechas. Un sí o un no a secas dejaría un hueco. La respuesta se sostiene si dice qué se cambia, con qué datos y antes de cuándo.