Bots y abuso: lectura de métricas

El total de peticiones de un endpoint casi no informa: una página de producto con mucho tráfico es normal en campaña. Lo que informa es la forma. Cuántas peticiones hace cada dirección de media y cuántas direcciones distintas hay. Una página de inicio con miles de direcciones y pocas peticiones cada una es tráfico de personas. Un endpoint con pocas direcciones y cientos de peticiones cada una es automatización, aunque su total parezca modesto.

Abre trafico-por-endpoint.csv: son 24 horas, con peticiones, direcciones distintas y peticiones por dirección. Compara las tres columnas y busca el endpoint cuyo comportamiento por dirección se aleja del resto. Luego revisa reglas-waf-actuales.txt: la nota del equipo dice qué endpoints no tienen regla propia.

Un patrón conocido de fraude con tarjetas es probar números robados con importes mínimos: si el pago pequeño se aprueba, la tarjeta sirve y se usa después en otro sitio. La tienda no pierde casi dinero con ese pago, pero acaba con comisiones, contracargos y la mala reputación ante su proveedor de pagos. En el registro se reconoce por una dirección que repite el mismo importe a un ritmo regular.

Abre intentos-de-pago.csv (madrugada del 29 de septiembre).

Entre los rechazos y los aprobados de una prueba de tarjetas hay mucha información: los rechazos son tarjetas que no sirvieron, los aprobados son las que sí y ya están comprometidas. Para el informe interesa la cifra de rechazos, porque dimensiona cuántos números se probaron y cuántos avisos de fraude llegarán del proveedor.

El WAF actual tiene un límite global alto (1000 peticiones por minuto por IP), un reto en el inicio de sesión y un bloqueo de agentes de usuario vacíos. Ninguna de las tres reglas habría frenado a quien valida cupones a ritmo moderado o prueba pagos cada minuto. La respuesta correcta no es bajar el límite global, que castigaría a clientes reales, ni bloquear países enteros: es una regla propia en cada endpoint sensible, con un umbral adecuado a su uso normal y una acción gradual, como un reto antes de un bloqueo.